SGSI è il Sistema di Gestione della Sicurezza delle Informazioni: il quadro che un'organizzazione usa per definire le policy di sicurezza, assegnare responsabilità, selezionare i controlli e verificare se quei controlli funzionano ancora. In molti ambienti è il livello di gestione alla base di ISO/IEC 27001, che trasforma la sicurezza da strumenti isolati in un programma strutturato e basato sul rischio.
È importante perché la sicurezza informatica non riguarda solo il blocco di malware o dei furti; riguarda anche l'assicurarsi che le protezioni siano coerenti, verificabili e allineate al rischio aziendale. Un SGSI solido aiuta i team a gestire il controllo degli accessi, la risposta agli incidenti, la strategia di backup, il rischio dei fornitori e la pianificazione della continuità operativa. Nelle difese reali, guida le valutazioni del rischio e le revisioni dei controlli; negli attacchi reali, le lacune nell'SGSI emergono spesso come governance debole, supervisione mancante o scarsa pianificazione del ripristino. Per questo i rischi per la disponibilità, come la mancanza di energia o il maltempo estremo, rientrano anch'essi nella pianificazione dell'SGSI.