• •Política de seguridad de la información aprobada por la dirección.
• •Análisis de riesgos formal (ISO 27005) con matriz de riesgos, plan de tratamiento y SoA.
• •Roles y responsabilidades formalizadas (CISO, DPO, custodios de clave, oficiales TSA, etc.).
• •Comité de seguridad funcionando con periodicidad documentada.
• •Procedimiento de auditoría interna y revisión por la dirección.

[`../02-gap-analysis/27001-sgsi.md`](../02-gap-analysis/27001-sgsi.md), [`../02-gap-analysis/401-general-tsp.md`](../02-gap-analysis/401-general-tsp.md) §5, §6.