Definir el ámbito adecuado a las necesidades de negocio y dotar a la organización de los conocimientos necesarios.

En el ámbito de aplicación, identificar la madurez de los procedimientos, los controles aplicables, los riesgos y los controles de mitigación. Comprender el negocio y determinar la brecha entre los requisitos de las normas y las prácticas de la organización para asignar recursos y así lograr una implementación eficiente del SGSI.

Elaborar la documentación obligatoria e iniciar el tratamiento de riesgos teniendo en cuenta los controles aplicables.

Ejecutar los procesos y procedimientos definidos evidenciando el cumplimiento de los objetivos, identificar oportunidades de mejora y todas las no conformidades y garantizar que la gerencia superior revisará el SGSI.

Auditoría elaborada por terceras partes para demostrar la madurez del SGSI y la reducción del riesgo de acuerdo con los objetivos definidos. Seguimiento del SGSI sobre la forma de servicios de operación y gestión (planificación, evaluación de desempeño y mejora continua).