El objetivo de un SGSI es proporcionar seguridad a los procesos de los Sistemas de Información que soportan los procesos de negocio. Deberá entrevistarse a directores de área, directores de división, jefes de producto y usuarios finales para comprender los objetivos de negocio de la organización y sus distintos procesos de negocio que deberán clasificarse en función de su criticidad. Una vez identificados los procesos de negocio críticos deberán estudiarse los procesos informáticos que soportan a los primeros (que a su vez serán críticos).

Identificar dependencias entre procesos de negocio e informáticos

Deberá clasificarse la dependencia de los procesos de negocio respecto a los procesos informáticos que los tratan en los siguientes grupos:

· Básico a moderado: Cuando el proceso de negocio puede desarrollarse alternativamente con un coste adicional módico.

· Alto: Cuando el proceso de negocio puede desarrollarse alternativamente (por ejemplo de forma manual) con un coste significativo

· Muy alto: Cuando el proceso de negocio no puede desarrollarse sin un proceso informático