johan

4.3 REQUISITOS DE DOCUMENTACIÓN
4.3.1 Generalidades
La documentación del SGSI debe incluir registros de las decisiones de la dirección, asegurar que las acciones sean trazables a lasdecisiones y políticas de la gerencia, y que los resultados registrados sean reproducibles.
Es importante estar en capacidad de demostrar la relación entre los controles seleccionados y losresultados del proceso de valoración y tratamiento de riesgos, y seguidamente, con la política y objetivos del SGSI.
La documentación del SGSI debe incluir:
a) declaraciones documentadas de lapolítica y objetivos del SGSI (véase el numeral 4.2.1, literal b));
b) el alcance del SGSI (véase el numeral 4.2.1, literal a))
c) los procedimientos y controles que apoyan el SGSI;
d) unadescripción de la metodología de valoración de riesgos (véase el numeral 4.2.1, literal c));
e) el informe de valoración de riesgos (véase el numeral 4.2.1, literales c) a g));
f) el plan detratamiento de riesgos (véase el numeral 4.2.2, literal b));
g) Los procedimientos documentados que necesita la organización para asegurar la eficacia de la planificación, operación y controlde sus procesos de seguridad de la información, y para describir cómo medir la eficacia de los controles (véase el numeral 4.2.3, literal c));
h) Los registros exigidos por esta norma (véaseel numeral 4.3.3), y i) La declaración de aplicabilidad.
NOTA 1 En esta norma, el término “procedimiento documentado” significa que el procedimiento está establecido, documentado, implementadoy mantenido.
NOTA 2 El alcance de la documentación del SGSI puede ser diferente de una organización a otra debido a:
- El tamaño de la organización y el tipo de sus actividades, y - Elalcance y complejidad de los requisitos de seguridad y del sistema que se está gestionando.
NOTA 3 Los documentos y registros pueden tener cualquier forma o estar en cualquier tipo de medio