El diagnóstico de la seguridad de la información es el acto de investigar y analizar los riesgos asociados a los procesos del propio negocio y su entorno.

Un diagnóstico eficaz va a permitir:

• Conocer los activos y recursos a proteger, los puntos vulnerables de cada proceso y las amenazas asociadas.
• Evaluar la viabilidad y efectividad de los controles de reducción a la exposición de amenazas que se están desarrollando.
• Identificar el nivel de riesgo aceptable para que la organización pueda existir.
• Calcular el coste del impacto de materialización de las amenazas identificadas.
• Valorar la capacidad de recuperación frente a incidentes y la probabilidad de continuidad de los procesos del negocio.
• Elaborar planes de acción para la mejora y solución de los puntos críticos.

Las organizaciones se estructuran en sistemas con el fin de alcanzar unos objetivos mediante la aplicación de procesos. Por ello, para el diagnóstico eficiente de seguridad de la información se recomienda el análisis funcional de la organización, considerando las siguientes áreas:

• Sistema de gestión, políticas, planes de seguridad y base reglamentaria.
• Inventario de Hardware, Software y la evaluación de su valor real y de pérdida.
• Seguridad de la red e Internet.
• Accesos remotos y uso de servicios de acceso a aplicaciones de la organización.
• Publicaciones de la organización.
• Ordenadores de mesa y estaciones de trabajo en red.
• Seguridad física y ambiental de la Edificación.
• Fronteras de responsabilidades y disciplina tecnológica de la red.

Todas ellas deben estar identificadas e inventariadas. Así mismo, de cada una de ellas deben verificarse diferentes aspectos básicos relacionados con la normativa vigente, la aplicabilidad al caso real de la organización, la eficiencia del control ejercido, el valor económico,  la empleabilidad y la formación del personal encargado

El diagnóstico de la seguridad de la información propone un enfoque sistémico y por objetivos, aplicado a los principios básicos de evidencia, análisis, síntesis y de control. El procedimiento para acometer el diagnóstico se puede resumir en las siguientes fases:

• Presentamos un programa de diagnóstico con la definición de los objetivos, identificación de activos y recursos, técnicas a aplicar, recursos disponibles y temporalización.
• Contamos con personal formado y cualificado oficialmente que sea capaz de verificar y revisar los equipos y aplicaciones informáticas, la red y el personal a cargo.
• Estabelcemos un expediente que registre evidencias, organice la documentación solicitada, recopile actas y material relacionados con las pruebas realizadas.
• Presentemos un informe con los resultados del diagnóstico que recoja la identificación del sistema, las fechas de ejecución, el equipo encargado, los criterios de medición y objetivos comprobados, los resultados finales, los elementos no conformes, una conclusión final y una serie de recomendaciones de mejora.