Contexto Interno.
En primer lugar, la organización debe establecer los límites y la aplicabilidad del Sistema de Gestión de Seguridad de la Información para determinar su ámbito de aplicación.
El marco interno es el entorno interno en el que se basa la organización para lograr sus objetivos del SGSI. El proceso de gestión de riesgos debe estar alineado con la cultura, los procesos, la estructura y la planificación estratégica de la organización. El contexto interno es lo que en el seno de la organización puede afectar la forma en que una organización gestiona su seguridad.
El contexto interno puede incluir:
- El gobierno y administración, la estructura organizacional, los roles y responsabilidades;
- Las políticas, los objetivos y las estrategias que existen para alcanzarlos;
- Capacidades, entendidas en términos de recursos y conocimiento (por ejemplo, capital, tiempo, personas, procesos, sistemas y tecnologías);
- Las relaciones con las percepciones y valores de las partes interesadas internas;
- La cultura de la organización;
- Los sistemas de información, flujos de información y procesos de toma de decisiones (tanto formales como informales);
- Normas, directrices y modelos adoptados por la organización y la forma y el alcance de las relaciones contractuales.