ISO 27001:2022 para pequeñas empresas: certifica tu SGSI

Este curso utiliza inteligencia artificial.

Un cliente le dice a una pequeña empresa que necesita ISO 27001 en doce meses, o el contrato vuelve a licitarse. Este curso sigue a esa empresa desde ese correo hasta el certificado, y construye por el camino cada documento que necesita. Te los llevas todos, en blanco y rellenados, listos para adaptar a tu propia organización.

Pensado para pymes, no para grandes empresas. El curso está escrito para propietarios, gerentes y la persona a quien le han encargado ISO 27001 en empresas de unas 5 a 50 personas, normalmente en la nube (Microsoft 365 o Google Workspace y aplicaciones SaaS) y con la informática externalizada. No necesitas un equipo de seguridad.

Cifras concretas, no tópicos. Dimensionamos el trabajo en días y en libras: entre 80 y 300 horas de esfuerzo interno el primer año, un presupuesto orientativo de unas 12.000 a 20.000 libras para una empresa de unas 25 personas, los días de auditoría según la plantilla y el coste de las auditorías de seguimiento. Las cifras son orientativas y del Reino Unido, y te indicamos dónde cambian según el país.

Qué cubre el curso

• Un plan de doce meses con fases, esfuerzo en días y presupuesto
• Contexto, partes interesadas (incluida la modificación de 2024 sobre el cambio climático), alcance y roles cuando no hay equipo de seguridad
• Una política de seguridad de dos páginas y objetivos que se pueden medir cada mes
• Inventario de activos, método de riesgos, apreciación y tratamiento de riesgos con costes, según las cláusulas 6.1.2 y 6.1.3
• El anexo A para una empresa pequeña y la Declaración de Aplicabilidad línea a línea, con exclusiones justificadas
• Controles paso a paso en Microsoft 365: gestor de contraseñas, autenticación multifactor, altas y bajas, dispositivos, copias de seguridad, parches, proveedores e incidentes
• La información documentada que exige la norma y cómo mantener las evidencias ligeras
• La rutina mensual del SGSI, métricas, auditoría interna sin auditor interno, revisión por la dirección y acción correctiva
• Elegir un organismo de certificación, las auditorías de etapa 1 y etapa 2, cerrar no conformidades y el ciclo de tres años

Una empresa, de principio a fin. Seguimos a Ledgerwick Payroll Services, una gestora de nóminas británica de 24 personas que guarda los datos bancarios de 9.000 empleados de sus clientes. Cada clase produce un documento real de Ledgerwick, y cada control se cita con su número del anexo A.

Qué incluye

• 29 clases en vídeo con subtítulos, unas tres horas y media en total
• Cuestionarios de sección y tareas con respuestas modelo basadas en Ledgerwick
• Un kit de 15 documentos en Word y Excel, cada uno en blanco y rellenado con el ejemplo de Ledgerwick: alcance, política, objetivos, inventario de activos, método y registro de riesgos, plan de tratamiento, Declaración de Aplicabilidad, proveedores, incidentes, métricas, auditoría interna, revisión por la dirección, acciones correctivas y lista de preparación para la etapa 1

Qué no es este curso. No es un curso de auditor líder ni de implantación para grandes empresas, y no reproduce el texto de la norma. Citamos los números de cláusula y de control y explicamos cada requisito con nuestras palabras, así que tener a mano un ejemplar de ISO/IEC 27001:2022 es útil junto a las clases.

Al terminar, tendrás un plan con días y presupuesto para tu propia empresa, un conjunto completo de documentos del SGSI, un registro de riesgos y una Declaración de Aplicabilidad que puedes defender ante un auditor, y una rutina para mantener el sistema vivo después del certificado.