ISO 27001:2022 — Los 93 Controles del Anexo A Explicados

Domina los 93 controles del Anexo A con explicación control por control, ejemplos reales y plantillas de políticas.

Created byDr. Amar Massoud (Español)

Last updated 9/2026

Spanish

What you'll learn

Explicar el propósito y la orientación de implementación de los 93 controles del Anexo A de ISO/IEC 27001:2022
Identificar los cambios de la edición 2022 y los 11 controles nuevos respecto de la edición 2013
Aplicar los controles organizacionales a políticas, activos, proveedores, incidentes y cumplimiento
Implementar los controles de personas a lo largo del ciclo de vida del empleado
Diseñar controles físicos de perímetro, entrada, monitoreo y protección de equipos
Seleccionar controles tecnológicos de acceso, criptografía, redes, desarrollo seguro y monitoreo
Redactar y adaptar políticas y procedimientos a partir de las plantillas del curso
Justificar la inclusión o exclusión de cada control en la Declaración de Aplicabilidad

Course content

6 sections • 104 lectures • 5h 48m total length

Bienvenida al Curso3:24
Te damos la bienvenida a este curso sobre el Anexo A de ISO 27001, explicado con ejemplos. Puntos que tratamos: Los 93 controles de seguridad del Anexo A; Qué exige cada control y por qué existe; Ejemplos prácticos en cada control; Controles organizacionales, de personas, físicos y tecnológicos.
Por Qué Necesitamos el Anexo A4:22
ISO 27001 es una norma internacional que describe las buenas prácticas de un sistema de gestión de seguridad de la información. Puntos que tratamos: Enfoque basado en riesgos; Evaluación de riesgos; Tratamiento del riesgo; 93 controles en 4 categorías.
Cambios en el Anexo A de 20224:04
Si eres nuevo en el Anexo A puedes saltar esta lección. Para quien conoce la versión de 2013, hubo varios cambios. Puntos que tratamos: 5.7 Inteligencia de amenazas; 5.23 Seguridad en servicios en la nube; 5.30 Preparación tecnológica para la continuidad; 7.4 Monitoreo de seguridad física.
Cuestionario — Introducción al Anexo A

Introducción a los Controles Organizacionales1:15
En el Anexo A de ISO 27001 versión 2022, la categoría organizacional cumple un papel decisivo. Son treinta y siete controles. Puntos que tratamos: Enfoque estructurado del riesgo; Políticas alineadas al negocio; El factor humano; Activos físicos y digitales.
5.1 Políticas de Seguridad de la Información3:05
El control 5.1 son las políticas de seguridad de la información. Su objetivo es controlar cómo se escriben y revisan. Puntos que tratamos: Definidas, aprobadas, publicadas y comunicadas; Una política de alto nivel aprobada por la dirección; Políticas temáticas que la complementan; Uso aceptable de los recursos.
5.1 Ejemplos de Políticas y su Revisión3:44
Veamos dos ejemplos de políticas de nivel inferior: escritorio limpio y uso aceptable. Puntos que tratamos: Propósito; Alcance; Regla principal; Equipos.
5.2 Roles y Responsabilidades de Seguridad3:08
El control 5.2 son los roles y responsabilidades de seguridad de la información. Deben definirse y documentarse. Puntos que tratamos: Oficial de Seguridad de la Información; Administrador de tecnología; Alta dirección; Auditor interno.
5.3 Segregación de Funciones3:12
El control 5.3 es la segregación de funciones. Las funciones y áreas de responsabilidad deben separarse para evitar conflictos. Puntos que tratamos: Dividir el conocimiento y los privilegios; Prevenir el fraude y el error; Autorización: dos personas para un pago; Documentación: uno redacta, otro aprueba.
5.4 Responsabilidades de la Dirección2:21
El siguiente control es el 5.4, sobre las responsabilidades de la dirección. Puntos que tratamos: Informar antes de dar acceso; Orientar según el puesto; Capacitar de forma continua; Hacer cumplir los términos de empleo.
5.5 Contacto con las Autoridades2:14
El control 5.5 es mantener contacto con las autoridades pertinentes. Se define respondiendo cuatro preguntas. Puntos que tratamos: ¿Cómo?; ¿Quién?; ¿En qué circunstancias?; ¿Qué información?.
5.6 Contacto con Grupos de Interés Especial2:38
El control 5.6 destaca la importancia de mantener contacto con grupos de interés especial. Puntos que tratamos: Identificar los grupos relevantes; Asignar un responsable; Unirse y participar; Colaborar y compartir.
5.7 Inteligencia de Amenazas2:36
El control 5.7 es la inteligencia de amenazas, un control nuevo en la versión 2022 de la norma. Puntos que tratamos: Estratégica; Táctica; Operativa; De reactivo a proactivo.
5.8 Seguridad de la Información en Proyectos4:24
El control 5.8 aborda la seguridad de la información en la gestión de proyectos, con un enfoque de seguridad por diseño. Puntos que tratamos: Priorizar la seguridad en todo el ciclo; Integrarla en la metodología de proyectos; Objetivos de seguridad como objetivos del proyecto; Evaluación de riesgos temprana.
5.9 Inventario de Activos de Información5:51
Entremos en el control 5.9, que trata del inventario de información y de los activos asociados. Puntos que tratamos: Inventariar los activos y sus propietarios; Identificar activos y asignar propiedad; Actualizar en cada alta, cambio o baja; Revisar los activos contra el inventario.
5.10 Uso Aceptable de los Activos5:18
Tras el inventario, la categorización y la identificación de propietarios, toca definir el uso aceptable de los activos. Puntos que tratamos: Definir y documentar las reglas; Implementar controles y comunicar; Dirigir la comunicación a quien corresponde; Reglas de correo e internet.
5.11 Devolución de Activos2:29
El último control sobre activos es el 5.11, la devolución de activos. Puntos que tratamos: Proteger los activos al terminar la relación; Todos deben devolver lo que tienen; Un proceso documentado que registre la devolución; Lista de verificación de salida.
5.12 Clasificación de la Información2:45
El control 5.12 es un aspecto crítico que trata de la clasificación de la información. Puntos que tratamos: Identificar las necesidades de protección; Categorizar por sensibilidad y valor; Alinear con el negocio y la ley; El propietario responde por la clasificación.
5.13 Etiquetado de la Información2:18
El control 5.13 trata del etiquetado de la información. Puntos que tratamos: Comunicar la clasificación; Procedimientos alineados al esquema; Etiquetas reconocibles y manejables; Formatos físicos y electrónicos.
5.14 Transferencia de Información2:57
El control 5.14 subraya la importancia de tener políticas claras para proteger la transferencia de información. Puntos que tratamos: Proteger la información en tránsito; Detectar y frenar el código malicioso; Proteger los adjuntos sensibles; Definir el uso aceptable de los medios.
5.14 Transferencia Física y Verbal2:39
Al transferir medios de almacenamiento físicos hacen falta reglas y acuerdos específicos. Puntos que tratamos: Responsabilidades de envío y recepción; Direccionamiento y transporte correctos; Embalaje que proteja el contenido; Lista de mensajeros autorizados.
5.15 Control de Acceso3:26
El control 5.15 trata del control de acceso: asegurar el acceso autorizado y prevenir el no autorizado. Puntos que tratamos: Los propietarios definen los requisitos; Una política temática comunicada; Qué entidad necesita qué acceso; Necesidad de conocer y clasificación.
5.15 Principios y Política de Control de Acceso3:07
En el control de acceso se usan varios principios rectores. Veamos los más frecuentes. Puntos que tratamos: Necesidad de conocer; Necesidad de usar; Mínimo privilegio; Modelos de implementación.
5.16 Gestión de Identidades3:49
La gestión de identidades es crucial para asegurar que quien accede a la información esté correctamente identificado y autorizado. Puntos que tratamos: Una identidad, una persona; Identidades compartidas solo si hacen falta; Entidades no humanas con supervisión aparte; Deshabilitar sin demora lo que ya no se usa.
5.17 Información de Autenticación2:46
El control 5.17 trata de la información de autenticación y de cómo se asigna y gestiona. Puntos que tratamos: Contraseñas temporales únicas; Verificar la identidad antes de entregar; Transmitir por un canal protegido; Acuse de recibo.
5.17 Sistema de Gestión de Contraseñas3:35
Un sistema de gestión de contraseñas es esencial para asegurar la autenticación correcta de las entidades. Puntos que tratamos: Permitir elegir y cambiar la contraseña; Exigir contraseñas fuertes; Forzar el cambio cuando toca; Impedir la reutilización.
5.18 Derechos de Acceso5:47
El control 5.18 son los derechos de acceso: cómo se asignan y se retiran a los usuarios. Puntos que tratamos: Un proceso documentado y claro; Autorización del propietario; Segregación entre aprobar e implementar; Retirar cuando ya no se necesita.
5.19 Seguridad en las Relaciones con Proveedores5:10
Pasemos al control 5.19, la política de seguridad para las relaciones con proveedores. Puntos que tratamos: Una política que mitigue el riesgo del proveedor; Acuerdos claros sobre qué acceso se concede; Identificar y documentar los tipos de proveedor; Un ciclo de vida estandarizado.
5.20 Seguridad en los Acuerdos con Proveedores3:17
El control 5.20 trata de abordar la seguridad dentro de los acuerdos con proveedores. Puntos que tratamos: Describir la información y cómo se accede; Clasificar la información; Requisitos legales y regulatorios; Controles obligatorios para ambas partes.
5.21 Seguridad en la Cadena de Suministro Tecnológica2:44
El control 5.21 trata de gestionar la seguridad en la cadena de suministro de tecnología. Puntos que tratamos: Evaluar el riesgo por tipo de servicio; Requisitos propios de la adquisición; Propagar los requisitos aguas abajo; Lo mismo para los productos.
5.22 Monitoreo y Gestión de Cambios de Proveedores3:06
El control 5.22 trata del monitoreo, la revisión y la gestión de cambios de los servicios de proveedores. Puntos que tratamos: Concentrarse en lo que más impacta; Verificar el cumplimiento del acuerdo; Revisar informes y reuniones de avance; Auditar al proveedor.
5.23 Seguridad en el Uso de Servicios en la Nube3:30
El propósito de este control es orientar sobre cómo gestionar la seguridad de la información en los servicios en la nube. Puntos que tratamos: Una política sobre el uso de la nube; Criterios y alcance de uso; Repartir los controles; Procedimientos de incidentes y aseguramiento.
5.24 Planificación de la Gestión de Incidentes3:16
El propósito del control 5.24 es asegurar una respuesta rápida, eficaz, consistente y ordenada ante los incidentes. Puntos que tratamos: Definir los procedimientos por anticipado; Responsabilidades de la dirección; Planificación y preparación; Monitoreo, detección y reporte.
5.25 a 5.27 Evaluación, Respuesta y Aprendizaje3:56
El propósito del control 5.25 es establecer un esquema de categorización y priorización de incidentes. Puntos que tratamos: Un esquema acordado por anticipado; Criterios para categorizar; El punto de contacto evalúa; Evaluar lo antes posible.
5.28 Recolección de Evidencia3:28
El control 5.28 trata de la recolección de evidencia. Su propósito es gestionarla de forma consistente y eficaz. Puntos que tratamos: Para acciones disciplinarias y legales; Considerar las distintas jurisdicciones; Identificar, recolectar, adquirir y preservar; Certificar al personal y las herramientas.
5.29 y 5.30 Continuidad de la Seguridad3:22
El control 5.29 trata de la seguridad de la información durante una disrupción. Puntos que tratamos: Que las funciones críticas continúen; Determinar cómo se adaptan los controles; Evaluar el impacto sobre la tríada; Integrar la seguridad en la continuidad.
5.31 Requisitos Legales, Regulatorios y Contractuales3:25
El control 5.31 busca asegurar el cumplimiento de los requisitos legales, regulatorios y contractuales. Puntos que tratamos: Considerarlos al redactar políticas; Y al diseñar los controles; Al clasificar la información; Al evaluar y tratar los riesgos.
5.32 Derechos de Propiedad Intelectual4:11
El control 5.32 busca asegurar el cumplimiento de los requisitos sobre propiedad intelectual y productos propietarios. Puntos que tratamos: Definir y comunicar una política; Adquirir solo de fuentes confiables; Registros de activos y prueba de licencia; No exceder el número de licencias.
5.33 Protección de los Registros3:20
El control 5.33 es la protección de los registros, para cumplir los requisitos legales y contractuales sobre su protección y disponibilidad. Puntos que tratamos: Guías de almacenamiento y custodia; Un calendario de retención; Identificar y permitir la destrucción; Considerar la clasificación.
5.34 Privacidad y Protección de Datos Personales3:24
El control 5.34 trata de la privacidad y la protección de los datos personales. Puntos que tratamos: Qué son los datos personales; Por qué son sensibles; Una política temática comunicada; Procedimientos y responsabilidades.
5.35 a 5.37 Revisión, Cumplimiento y Procedimientos4:28
El control 5.35 es la revisión independiente de la seguridad de la información. Puntos que tratamos: Asegurar conveniencia, adecuación y eficacia; Revisiones periódicas planificadas; Realizadas por personas independientes; Con competencia y sin conflicto.
Cuestionario — Controles Organizacionales (5.1 a 5.13)
Cuestionario — Controles Organizacionales (5.14 a 5.23)
Cuestionario — Controles Organizacionales (5.24 a 5.37)
Tarea 1 — Política de seguridad, roles y segregación de funciones
Tarea 2 — Inventario de activos, clasificación y etiquetado

Introducción a los Controles de Personas1:15
Entramos en la segunda categoría del Anexo A: los controles de personas. Puntos que tratamos: El elemento humano; Todo el ciclo laboral; Cultura y conducta; Trabajo remoto y reporte.
6.1 Verificación de Antecedentes4:25
El control 6.1 de la categoría de personas es la verificación de antecedentes. Puntos que tratamos: Confirmar idoneidad y elegibilidad; Para todo el personal; Cumplir la legislación aplicable; Privacidad y datos personales.
6.2 Términos y Condiciones de Empleo2:45
El control 6.2 de la categoría busca que el personal entienda sus responsabilidades de seguridad. Puntos que tratamos: Incluir las políticas en el contrato; Acuerdos de confidencialidad; Responsabilidades y derechos legales; Clasificación y manejo de activos.
6.3 Concienciación, Educación y Formación4:42
El control 6.3 busca que el personal y las partes interesadas conozcan y cumplan sus responsabilidades de seguridad de la información. Puntos que tratamos: Programa alineado con las políticas; Considerar qué se protege y con qué controles; Continuo y periódico; Formación inicial para nuevos roles.
6.4 Proceso Disciplinario1:56
El propósito del control 6.4 es asegurar que las consecuencias de violar la política de seguridad se entiendan, para disuadir y tratar adecuadamente a quienes las incumplan. Puntos que tratamos: Verificar antes de iniciar el proceso; Respuesta graduada; Intencionalidad y reincidencia; Requisitos legales y contractuales.
6.5 Responsabilidades tras la Terminación o Cambio de Empleo3:45
El propósito de este control es proteger los intereses de la organización durante los cambios o terminaciones de empleo o de contrato. Puntos que tratamos: Definir qué responsabilidades siguen vigentes; Recogerlas en el contrato; Tratar el cambio como una terminación más un inicio; Transferir los roles de seguridad.
6.6 Acuerdos de Confidencialidad o No Divulgación2:24
El control 6.6 busca mantener la confidencialidad de la información accesible por el personal o por partes externas. Puntos que tratamos: Proteger información sensible y secretos comerciales; Divulgación sólo a quien tiene necesidad de conocer; Aplican al personal y a las partes externas; Los términos dependen de la información.
6.7 Trabajo Remoto5:40
El control 6.7 se refiere al trabajo remoto, y su propósito es asegurar la seguridad de la información cuando el personal trabaja fuera de las instalaciones. Puntos que tratamos: El riesgo del trabajo fuera de la oficina; Una política temática de trabajo remoto; Seguridad física del sitio remoto; Requisitos de seguridad en las comunicaciones.
6.8 Reporte de Eventos de Seguridad de la Información2:07
El control 6.8 de la categoría de personas busca apoyar el reporte oportuno, consistente y efectivo de los eventos de seguridad que el personal pueda identificar. Puntos que tratamos: Reportar lo antes posible; Reportar a tiempo reduce el impacto; Conocer el procedimiento y el punto de contacto; Un mecanismo accesible para todos.
Cuestionario — Controles de Personas (6.1 a 6.8)
Tarea 3 — El ciclo de vida del empleado, control por control

Introducción a los Controles Físicos1:22
Pasamos a la tercera categoría del Anexo A en su última versión: los controles físicos. Puntos que tratamos: Impedir el acceso físico no autorizado; Un alcance amplio; Guardias, cerraduras y cámaras; Almacenamiento y transporte de la información.
7.1 Perímetros de Seguridad Física2:15
El control 7.1 de esta categoría busca prevenir el acceso físico no autorizado, el daño y la interferencia a la información y a los activos asociados. Puntos que tratamos: Definir ubicación y solidez según los requisitos; Un perímetro sin huecos; Materiales sólidos en el exterior; Puertas y ventanas protegidas.
7.2 Entrada Física5:17
El control 7.2 busca asegurar que sólo ocurra acceso físico autorizado a la información y a los activos asociados de la organización. Puntos que tratamos: Controlar y aislar los puntos de acceso; Restringir el acceso al personal autorizado; Otorgar, revisar y revocar autorizaciones; Mantener y monitorear bitácoras.
7.3 Asegurar Oficinas, Salas e Instalaciones2:06
El control 7.3 busca prevenir el acceso físico no autorizado, el daño y la interferencia en oficinas, salas e instalaciones. Puntos que tratamos: Ubicar las instalaciones críticas fuera del alcance del público; Edificios discretos; Ni visible ni audible desde el exterior; Blindaje electromagnético.
7.4 Monitoreo de la Seguridad Física2:40
El control 7.4 son las medidas para prevenir e identificar el acceso físico no autorizado. Puntos que tratamos: Vigilar con sistemas variados; Videovigilancia en edificios críticos; Detectores de contacto, sonido y movimiento; Infrarrojos y rotura de cristal.
7.5 Protección Contra Amenazas Físicas y Ambientales2:36
El control 7.5 busca proteger a los activos físicos y a los sistemas de información de cualquier daño potencial causado por desastres naturales, intrusiones físicas u otras amenazas ambientales. Puntos que tratamos: Evaluar el riesgo antes y de forma periódica; Monitorear los cambios en las amenazas; Buscar asesoría especializada; Considerar la topografía local.
7.6 Trabajo en Áreas Seguras2:38
El propósito del control 7.6 es resguardar la información y los activos de las áreas seguras frente al acceso no autorizado y al daño causado por quienes trabajan en ellas. Puntos que tratamos: Aplican a todo el personal y toda actividad; Acceso según necesidad de conocer; Evitar el trabajo sin supervisión; Cerrar e inspeccionar las áreas vacías.
7.7 Escritorio Limpio y Pantalla Limpia2:13
El control 7.7 busca minimizar la pérdida, el daño o el acceso no autorizado a la información en escritorios, pantallas y otras áreas accesibles, dentro y fuera del horario laboral. Puntos que tratamos: Una política temática comunicada; Guardar bajo llave lo sensible; Proteger los dispositivos de usuario; Cierre de sesión automático.
7.8 Ubicación y Protección del Equipo2:01
El control 7.8 busca minimizar el impacto potencial de las amenazas físicas y ambientales, así como del acceso no autorizado y del daño al equipo. Puntos que tratamos: Ubicar el equipo minimizando el acceso; Posicionar con cuidado lo que procesa datos sensibles; Controles frente a amenazas físicas y ambientales; Reglas sobre comer, beber y fumar.
7.9 Seguridad de Activos Fuera de las Instalaciones3:17
El control 7.9 busca proteger las operaciones de la organización de interrupciones y prevenir el acceso no autorizado, el daño, el robo o el compromiso de los dispositivos que están fuera del sitio. Puntos que tratamos: Proteger los dispositivos que salen; Autorización de la dirección; Nunca dejar el equipo desatendido; Seguir las instrucciones del fabricante.
7.10 Medios de Almacenamiento2:36
El propósito del control 7.10 es mantener la confidencialidad, la integridad y la disponibilidad de la información en los medios de almacenamiento, evitando divulgación, modificación, retiro o destrucción no autorizados. Puntos que tratamos: El riesgo de los medios removibles; Una política temática comunicada; Autorizar y registrar los retiros; Almacenamiento seguro según la clasificación.
7.11 Servicios de Suministro2:11
El control 7.11 busca asegurar la continuidad de las operaciones y prevenir daños a la información mitigando el riesgo de falla o interrupción de los servicios de suministro. Puntos que tratamos: Dependemos de la electricidad, las telecomunicaciones y el agua; Configurar y mantener según el fabricante; Evaluar la capacidad periódicamente; Inspeccionar y probar con regularidad.
7.12 Seguridad del Cableado2:05
El control 7.12 busca evitar la pérdida, el daño, el robo o el compromiso de la información, y las interrupciones de las operaciones, por problemas con el cableado eléctrico y de telecomunicaciones. Puntos que tratamos: Cableado subterráneo cuando sea posible; Proteger el cable enterrado; Segregar energía de comunicaciones; Conductos blindados y salas cerradas.
7.13 Mantenimiento del Equipo2:16
El control 7.13 busca asegurar la operación continua y eficiente de las instalaciones de procesamiento de información y prevenir la pérdida, el daño, el robo o el compromiso de la información. Puntos que tratamos: Mantener según las especificaciones del proveedor; Implementar y monitorear un programa de mantenimiento; Sólo personal autorizado; Registrar fallas y mantenimientos.
7.14 Disposición Segura o Reutilización del Equipo3:47
El control 7.14 de la categoría física busca evitar el acceso no autorizado a la información o su fuga al dar de baja o reutilizar equipo. Puntos que tratamos: Verificar si hay medios de almacenamiento; Destruir físicamente o sobrescribir; Quitar etiquetas y marcas; Retirar los controles al dejar un inmueble.
Ejemplo de Política de Seguridad Física4:50
Para resumir todos los aspectos de la seguridad física, veamos un ejemplo sencillo de política de seguridad física. Puntos que tratamos: Establecer las reglas de acceso físico; Identificar las áreas sensibles; Definir y restringir el acceso a esas áreas; Alcance amplio.
Cuestionario — Controles Físicos (7.1 a 7.14)
Tarea 4 — Evaluación del perímetro y la seguridad física

Introducción a los Controles Tecnológicos1:31
Llegamos a la última categoría del Anexo A: los controles tecnológicos. Puntos que tratamos: Medidas implementadas a través de la tecnología; Ejemplos concretos; Hacen cumplir las políticas; Primera línea de defensa.
8.1 Dispositivos de Usuario Final5:35
El control 8.1 busca resguardar la información frente a las amenazas potenciales que plantean los dispositivos de usuario final. Puntos que tratamos: Una política de configuración y manejo seguro; Considerar la información y su clasificación; Registrar los dispositivos y protegerlos físicamente; Restringir la instalación de software.
8.2 Derechos de Acceso Privilegiado4:54
El control 8.2 busca asegurar que los derechos de acceso privilegiado se otorguen únicamente a usuarios, componentes de software y servicios autorizados. Puntos que tratamos: Un proceso de autorización controlado; Identificar quién los necesita; Asignar por competencia y mínimo necesario; Mantener el proceso y el registro.
8.3 Restricción del Acceso a la Información2:54
El control 8.3 busca restringir el acceso únicamente a los usuarios autorizados y prevenir el acceso no autorizado. Puntos que tratamos: Nada sensible para identidades desconocidas; Acceso público sólo a ubicaciones sin información sensible; Mecanismos de configuración; Controlar qué datos ve cada usuario.
8.4 Acceso al Código Fuente2:40
El control 8.4 busca resguardar frente a la introducción de funciones no autorizadas, prevenir alteraciones accidentales o intencionales y proteger la confidencialidad de la propiedad intelectual. Puntos que tratamos: Control estricto del código y las herramientas; Repositorio centralizado; Diferenciar lectura y escritura por rol; Componentes compartidos entre desarrolladores.
8.5 Autenticación Segura2:50
El control 8.5 busca garantizar el acceso seguro a los sistemas, las aplicaciones y los servicios mediante la autenticación del usuario o de la entidad. Puntos que tratamos: Elegir la técnica adecuada; Fuerza proporcional a la clasificación; Alternativas a la contraseña; Autenticación multifactor en sistemas críticos.
8.6 Gestión de Capacidad3:51
El sexto control tecnológico busca asegurar la capacidad requerida de las instalaciones de procesamiento de información, los recursos humanos, las oficinas y otras instalaciones. Puntos que tratamos: Identificar los requisitos de capacidad; Ajuste y monitoreo del sistema; Pruebas de esfuerzo; Controles detectivos.
8.7 Protección Contra el Malware5:32
El control 8.7 busca resguardar la información y los activos relacionados frente al software malicioso. Puntos que tratamos: Un enfoque de múltiples facetas; Prevenir el software no autorizado; Bloquear sitios web maliciosos; Reducir las vulnerabilidades explotables.
8.8 Gestión de Vulnerabilidades Técnicas6:25
El control 8.8 busca prevenir la explotación de vulnerabilidades técnicas mediante controles de gestión de vulnerabilidades y pruebas de seguridad regulares. Puntos que tratamos: Un inventario de activos preciso; Roles y responsabilidades definidos; Fuentes de seguimiento de vulnerabilidades; Exigir el reporte a los proveedores.
8.9 Gestión de la Configuración4:17
El control 8.9 busca asegurar que el hardware, el software, los servicios y las redes funcionen correctamente con los ajustes de seguridad requeridos. Puntos que tratamos: Procesos y herramientas que impongan la configuración; Roles, responsabilidades y procedimientos; Plantillas estándar de configuración segura; Nivel de protección suficiente.
8.10 Eliminación de Información3:00
El propósito de este control es prevenir la exposición innecesaria de información sensible y cumplir los requisitos legales, estatutarios, regulatorios y contractuales de eliminación de información. Puntos que tratamos: Retener sólo el tiempo necesario; Elegir el método de borrado adecuado; Registrar los resultados como evidencia; Prueba de borrado de terceros.
8.11 Enmascaramiento de Datos3:09
El control 8.11 busca limitar la exposición de datos sensibles, incluida la información personal identificable, y cumplir los requisitos legales, estatutarios, regulatorios y contractuales. Puntos que tratamos: Ocultar datos sensibles; Romper el vínculo con la identidad; Verificar que se hizo bien; Considerar todos los elementos.
8.12 Prevención de Fuga de Datos2:29
El control 8.12 busca detectar y prevenir la divulgación y la extracción no autorizadas de información por parte de personas o sistemas. Puntos que tratamos: Identificar, clasificar y monitorear lo sensible; Herramientas de prevención de fuga; Restringir copiar, pegar y subir; Aprobación del propietario para exportar.
8.13 Respaldo de la Información4:03
El control 8.13 busca crear un plan e implementar medidas para la recuperación de datos y sistemas en caso de falla o pérdida. Puntos que tratamos: Una política temática de respaldo; Registros y procedimientos documentados; Alcance y frecuencia según el negocio; Ubicación remota y segura.
8.14 Redundancia de las Instalaciones de Procesamiento2:41
El control 8.14 busca asegurar la operación continua y la disponibilidad ante fallas mediante medidas de redundancia en la arquitectura de sistemas. Puntos que tratamos: Identificar los requisitos de disponibilidad; Diseñar la arquitectura con redundancia; Duplicar las instalaciones; Procedimientos de activación y alertas.
8.15 Registro de Eventos2:58
El control 8.15 se enfoca en el registro de eventos para capturarlos, mantener la integridad de las bitácoras, detectar eventos de seguridad, prevenir el acceso no autorizado y apoyar las investigaciones. Puntos que tratamos: Definir el propósito del registro; Documentarlo en una política temática; Qué debe contener cada evento; Qué eventos registrar.
8.15 Registro de Eventos — Políticas y Análisis5:52
Veamos un extracto de una política de registro de eventos. Puntos que tratamos: Producir, conservar y revisar; Resguardar las bitácoras; Los administradores no modifican su propio rastro; Documentar la desactivación del registro.
8.16 Actividades de Monitoreo4:47
El control 8.16 busca identificar actividad o comportamiento anómalo e inusual que pueda indicar un compromiso o un incidente de seguridad. Puntos que tratamos: Definir alcance y nivel de monitoreo; Tráfico entrante y saliente; Acceso a sistemas críticos; Bitácoras de las herramientas de seguridad.
8.17 Sincronización de Relojes2:55
El control 8.17 busca permitir la correlación y el análisis de los eventos relacionados con la seguridad y apoyar las investigaciones de incidentes. Puntos que tratamos: Documentar los requisitos de tiempo; Definir un tiempo de referencia estándar; Una fuente de tiempo confiable; Protocolos NTP y PTP.
8.18 Uso de Programas de Utilidad Privilegiados2:21
El control 8.18 busca asegurar que el uso de programas de utilidad no dañe los controles de seguridad de los sistemas y las aplicaciones. Puntos que tratamos: Qué son y por qué preocupan; La consecuencia posible; Limitar a un mínimo de usuarios de confianza; Identificación, autenticación y autorización.
8.19 Instalación de Software en Sistemas en Producción2:44
El control 8.19 busca asegurar la integridad de los sistemas en producción y prevenir la explotación de vulnerabilidades técnicas. Puntos que tratamos: Sólo administradores capacitados y autorizados; Sólo código ejecutable aprobado; Pruebas extensivas antes de instalar; Bibliotecas y control de configuración.
8.20 Seguridad de Redes2:21
Uno de los controles tecnológicos más importantes es la seguridad de redes. Su propósito es proteger la información en las redes y sus instalaciones de soporte frente al compromiso a través de la red. Puntos que tratamos: Identificar tipo y clasificación de la información; Responsabilidades y documentación; Separar la operación de red de la de sistemas; Proteger los datos en redes públicas y de terceros.
8.21 Seguridad de los Servicios de Red2:51
El control 8.21 busca asegurar la seguridad en el uso de los servicios de red. Puntos que tratamos: Identificar características y niveles de servicio; Asegurar que el proveedor las implemente; Monitorear la capacidad del proveedor; Derecho de auditoría y atestaciones de terceros.
8.22 Segregación de Redes2:18
El propósito de este control es dividir la red en fronteras de seguridad y controlar el tráfico entre ellas según las necesidades del negocio. Puntos que tratamos: Dividir en dominios y separar de la red pública; Criterios para definir los dominios; Segregación física o lógica; Perímetro claramente definido.
8.23 Filtrado Web2:26
El control 8.23 busca proteger los sistemas del compromiso por malware y prevenir el acceso a recursos web no autorizados. Puntos que tratamos: Bloquear IP o dominio de sitios peligrosos; Identificar a qué sitios debe accederse; Sitios con función de carga de información; Sitios maliciosos y servidores de mando y control.
8.24 Uso de Criptografía4:18
El control 8.24 busca que la organización emplee la criptografía de manera alineada con sus necesidades de negocio y de seguridad, para proteger la confidencialidad, la autenticidad y la integridad de la información. Puntos que tratamos: Una política temática de criptografía; Principios y nivel de protección; Tipo, fuerza y calidad de los algoritmos; Dónde se aplica la criptografía.
8.24 Gestión de Claves Criptográficas5:07
Este control se relaciona con la gestión adecuada de las claves criptográficas usadas para proteger la información sensible. Puntos que tratamos: Todo el ciclo de vida de la clave; Estándares, procedimientos y métodos acordados; Generar, emitir y distribuir; Cambiar, revocar y recuperar.
8.25 Ciclo de Vida de Desarrollo Seguro2:33
El control 8.25 busca asegurar que la seguridad de la información se diseñe e implemente dentro del ciclo de vida de desarrollo seguro del software y de los sistemas. Puntos que tratamos: Separar desarrollo, prueba y producción; Orientación de seguridad en el ciclo de vida; Requisitos de seguridad desde la especificación; Pruebas de sistema y de seguridad.
8.26 Requisitos de Seguridad de las Aplicaciones4:50
El control 8.26 busca asegurar que todos los requisitos de seguridad de la información se identifiquen y atiendan al desarrollar o adquirir aplicaciones. Puntos que tratamos: Identificarlos con evaluación de riesgos; Confianza en la identidad y clasificación; Segregación y nivel de acceso; Resiliencia frente a ataques.
8.27 Arquitectura y Principios de Ingeniería de Sistemas Seguros2:47
El control 8.27 busca asegurar que los sistemas de información se diseñen, implementen y operen de forma segura dentro del ciclo de vida de desarrollo. Puntos que tratamos: Establecer y documentar los principios; Revisar la tecnología nueva; Considerar el rango completo de controles; Analizar capacidades de prevención, detección y respuesta.
Principios de Ingeniería de Sistemas Seguros: Ejemplos6:07
Veamos algunos principios concretos que se pueden usar en la implementación de ISO 27001. Empecemos por los cuatro primeros. Puntos que tratamos: La seguridad es parte integral del diseño; Desde el diseño y también en los sistemas heredados; Formar a los desarrolladores; Asumir que los sistemas externos son inseguros.
8.28 Codificación Segura5:12
El control 8.28 busca asegurar que el software se escriba de forma segura, reduciendo el número de vulnerabilidades potenciales. Puntos que tratamos: Procesos y gobierno de codificación segura; Extenderlos a componentes de terceros; Monitorear amenazas reales; Expectativas y principios aprobados.
8.29 Pruebas de Seguridad en Desarrollo y Aceptación2:53
El control 8.29 busca validar si los requisitos de seguridad de la información se cumplen cuando las aplicaciones o el código se despliegan al entorno de producción. Puntos que tratamos: Probar sistemas nuevos, actualizaciones y versiones; Probar contra requisitos funcionales y no funcionales; Probar las funciones de seguridad; Probar codificación y configuración seguras.
8.30 Desarrollo Tercerizado2:35
El control 8.30 busca asegurar que las medidas de seguridad de la información que la organización requiere se implementen en el desarrollo de sistemas tercerizado. Puntos que tratamos: Comunicar y acordar requisitos; Monitorear y revisar continuamente; Licencias, propiedad del código y propiedad intelectual; Requisitos contractuales de diseño, codificación y pruebas.
8.31 Separación de Entornos de Desarrollo, Prueba y Producción4:28
El control 8.31 busca proteger el entorno de producción y sus datos frente al compromiso causado por las actividades de desarrollo y prueba. Puntos que tratamos: Identificar el nivel de separación necesario; Reglas y autorización de despliegue; Dominios distintos; Probar antes de aplicar a producción.
8.32 Gestión de Cambios3:28
El control 8.32 busca preservar la seguridad de la información al ejecutar cambios en cualquier sistema de la organización. Puntos que tratamos: Procedimientos de control de cambios en todo el ciclo de vida; Planificar y evaluar el impacto; Comunicar, probar y aceptar; Implementar con planes de despliegue y registrar.
8.33 Información de Prueba2:36
El control 8.33 busca asegurar la relevancia de las pruebas y la protección de la información operativa que se usa para probar. Puntos que tratamos: Seleccionar la información con cuidado; No copiar información sensible; Mismos controles de acceso que en producción; Autorizar y registrar cada copia.
8.34 Protección de los Sistemas Durante las Pruebas de Auditoría2:10
Llegamos al último control. El 8.34 busca minimizar el impacto de la auditoría y de otras actividades de aseguramiento sobre los sistemas en producción y los procesos de negocio. Puntos que tratamos: Acordar las solicitudes con la dirección; Acordar y controlar el alcance; Limitar al acceso de sólo lectura; Si no es posible, que las ejecute un administrador.
Cuestionario — Controles Tecnológicos (8.1 a 8.11)
Cuestionario — Controles Tecnológicos (8.12 a 8.23)
Cuestionario — Controles Tecnológicos (8.24 a 8.34)
Tarea 5 — Control de acceso, acceso privilegiado y criptografía

Requirements

No se requiere experiencia previa en seguridad de la información
Es útil, aunque no obligatorio, conocer a grandes rasgos qué es un sistema de gestión
Acceso a una copia de la norma ISO/IEC 27001:2022 ayuda, pero el curso es autocontenido

Description

Este curso utiliza inteligencia artificial.

El Anexo A de ISO/IEC 27001:2022 es el corazón operativo de la norma: 93 controles de seguridad que traducen la intención de un sistema de gestión en medidas concretas. Y es también donde la mayoría de los proyectos se atasca, porque el texto de la norma dice qué hay que lograr pero casi nunca cómo se ve en la práctica.

Este curso recorre los 93 controles, uno por uno. Para cada control verás su propósito, la orientación de implementación que da la norma y —donde aporta valor— un ejemplo real: un extracto de política, un procedimiento, una plantilla o un caso de uso que puedes adaptar directamente a tu organización.

La versión 2022 reorganizó los 114 controles de la edición 2013 en cuatro categorías e introdujo 11 controles nuevos. El curso sigue exactamente esa estructura:

Controles organizacionales (37): políticas, roles, activos, clasificación, control de acceso, proveedores, incidentes, continuidad y cumplimiento
Controles de personas (8): verificación de antecedentes, términos de empleo, concienciación, proceso disciplinario, trabajo remoto y reporte de eventos
Controles físicos (14): perímetros, entrada física, monitoreo, equipos, medios de almacenamiento, cableado y disposición segura
Controles tecnológicos (34): dispositivos de usuario, acceso privilegiado, malware, vulnerabilidades, registro y monitoreo, criptografía, redes, desarrollo seguro y gestión de cambios

¿Para quién es este curso?

Responsables de implementar un SGSI que necesitan aterrizar el Anexo A
Auditores internos y consultores que deben evaluar controles con criterio
Profesionales de TI y seguridad que quieren entender el porqué detrás de cada medida
Cualquiera que prepare una certificación ISO 27001 y necesite dominar el Anexo A

Lo que te llevas:

Comprensión práctica de los 93 controles, su propósito y su orientación de implementación
Los cambios de la edición 2022 y los 11 controles nuevos
Ejemplos concretos: políticas de control de acceso, escritorio limpio, respaldo, criptografía, seguridad física, antimalware, gestión de cambios y más
Criterios para decidir qué controles aplican a tu contexto y cómo justificarlo en tu Declaración de Aplicabilidad
Vocabulario preciso para conversar con auditores, dirección y proveedores

Contenido del curso:

104 lecciones en video con narración profesional y visuales animados
Cobertura completa de los 93 controles del Anexo A, sin saltarse ninguno
Plantillas y extractos de políticas listos para adaptar
Estructura navegable por categoría, para volver a cualquier control cuando lo necesites

Lo que este curso no es: no es un recorrido por las cláusulas 4 a 10 de la norma ni un curso de auditoría. Es el complemento que se centra por completo en el Anexo A, que es justamente la parte donde más tiempo se pierde durante una implementación.

Who this course is for:

Responsables e implementadores de un SGSI ISO 27001
Auditores internos y consultores de seguridad de la información
Profesionales de TI, seguridad y cumplimiento
Personas que preparan una certificación ISO 27001 y necesitan dominar el Anexo A
Dueños de negocio que quieren entender qué exige realmente la norma

ISO 27001:2022 — Los 93 Controles del Anexo A Explicados

What you'll learn

Explore related topics

Course content

Introducción3 lectures • 12min

Controles Organizacionales37 lectures • 2hr 6min

Controles de Personas9 lectures • 29min

Controles Físicos16 lectures • 44min

Controles Tecnológicos38 lectures • 2hr 16min

Conclusión1 lecture • 1min

Requirements

Description

Who this course is for: