ISO 27001:2022, Auditor líder en seguridad de la información

En el módulo 2 de este curso, nos centraremos en la implementación de la planificación estratégica del Sistema de Gestión de Seguridad de la Información (SGSI) basado en los requisitos de la norma ISO 27001:2022. Exploraremos los aspectos clave para comprender la organización y su contexto, así como la determinación del alcance del SGSI y la implementación de una política de seguridad de la información.

Aprenderemos cómo identificar las necesidades y expectativas de las partes interesadas y cómo incorporarlas en el SGSI. También abordaremos la planificación de objetivos de seguridad de la información y las acciones necesarias para alcanzarlos.

Además, analizaremos la importancia de establecer roles, responsabilidades y autoridades claras dentro de la organización en relación con la seguridad de la información.

En este módulo, se hará énfasis en la importancia del liderazgo y compromiso de la alta dirección en el proceso de implementación del SGSI. Exploraremos cómo comunicar eficazmente la política de seguridad de la información dentro de la organización y cómo asegurar la participación y sensibilización del personal.

En este módulo, exploraremos los conceptos fundamentales de la gestión de riesgos y oportunidades en el contexto de la seguridad de la información. Aprenderemos a identificar y evaluar los riesgos potenciales para la confidencialidad, integridad y disponibilidad de la información, así como las oportunidades para mejorar la seguridad.

Además, abordaremos la gestión del cambio, un aspecto crítico para garantizar la eficacia del sistema de gestión de seguridad de la información. Analizaremos cómo planificar y ejecutar cambios en los procesos y sistemas de información, asegurando que se minimicen los impactos negativos y se maximicen los beneficios.

A lo largo del módulo, utilizaremos casos prácticos y ejemplos reales para ilustrar los conceptos y brindar una comprensión práctica de cómo aplicar los controles y prácticas recomendadas para gestionar los riesgos y aprovechar las oportunidades en el entorno de seguridad de la información.

Al finalizar este módulo, los estudiantes estarán equipados con las habilidades y conocimientos necesarios para identificar, evaluar y gestionar los riesgos de seguridad de la información, así como para implementar cambios de manera efectiva en el sistema de gestión de seguridad de la información.

Aprende más sobre el famoso SoA, en alineación a la gestión del riesgo

Aprende sobre los recursos necesarios para el sistema de gestión de seguridad de la información, incluyendo competencia, conciencia y comunicación. Además, descubre cómo gestionar la información documentada, desde su creación y actualización hasta el control y la protección de su disponibilidad y confidencialidad. Comprende la importancia de estos elementos para respaldar de manera efectiva la implementación y mejora continua del sistema de gestión de seguridad de la información

En este módulo se abordan los aspectos relacionados con la planificación, implementación y control de los procesos operativos necesarios para cumplir con los requisitos del sistema de gestión de seguridad de la información. Se establecen criterios para los procesos y se implementa un control adecuado para asegurar que los procesos se ejecuten según lo planificado. Además, se gestionan los cambios planificados y se revisan las consecuencias de los cambios no previstos, tomando las medidas necesarias para mitigar cualquier efecto adverso.

En este módulo, se proporcionará a los estudiantes una comprensión detallada sobre la planificación, implementación y control de los procesos operativos esenciales para garantizar el cumplimiento de los requisitos del sistema de gestión de seguridad de la información. Se les enseñará cómo establecer criterios para los procesos y cómo implementar controles efectivos para proteger dispositivos como switches, routers y firewalls. También se abordarán las mejores prácticas para proteger los endpoints, incluyendo el uso de software de seguridad, la aplicación de parches y la implementación de políticas de seguridad adecuadas.

En esta parte del módulo, los estudiantes aprenderán sobre la importancia de realizar un seguimiento, medición, análisis y evaluación adecuados en el sistema de gestión de seguridad de la información. En el numeral 9.1, se abordará la determinación de lo que se debe vigilar y medir, así como los métodos y momentos adecuados para llevar a cabo estos procesos. También se aprenderá quién debe realizar el seguimiento y la medición, y cuándo y quién debe analizar y evaluar los resultados.

En el numeral 9.3, se enfocará en la Revisión por la Dirección, donde los estudiantes comprenderán las entradas, salidas y responsabilidades asociadas con este proceso. Se explorará la importancia de las entradas, como los resultados del seguimiento y medición, los informes de auditorías internas, las no conformidades encontradas y la evaluación del desempeño de la seguridad de la información. Además, se aprenderá cómo utilizar estas entradas para evaluar el cumplimiento legal y normativo, identificar mejoras y establecer objetivos y metas.

Aprende los conceptos y principios claves de las auditorías internas.

Aprende a modelar un programa de auditoría de acuerdo a la norma

En este módulo profundizaremos en la realización de la auditoría, una de las partes más críticas y detalladas del proceso. Desglosaremos el proceso en pasos manejables, empezando por las generalidades y luego pasando a cada fase en detalle: el inicio de la auditoría, la preparación de las actividades de auditoría, la realización de las actividades de auditoría, la preparación y distribución del informe de auditoría, la finalización de la auditoría y, finalmente, la realización de las actividades de seguimiento de una auditoría. Este módulo está diseñado para equiparte con los conocimientos y habilidades necesarios para realizar una auditoría de manera eficaz y eficiente, siguiendo la norma ISO 19011:2018

El Módulo 4 se centra en el desarrollo y la mejora de la competencia del auditor. Analizaremos las generalidades de la competencia del auditor, determinaremos los criterios de competencia necesarios y cómo evaluarlos de forma efectiva. Exploraremos las formas de seleccionar el método de evaluación más adecuado y cómo llevar a cabo la evaluación en sí. Este módulo también proporcionará orientación sobre cómo mantener y mejorar la competencia del auditor, incluyendo el desarrollo profesional continuo y la participación regular en auditorías. Este módulo está diseñado para garantizar que te conviertas en un auditor competente y efectivo, de acuerdo con la norma ISO 19011:2018

Te enseñaremos a estructurar y redactar una acción correctiva de manera práctica.

El Módulo 5, Parte 1, del Anexo A de la norma ISO/IEC 27001:2022 aborda el capítulo 5, que se enfoca en los controles organizacionales de seguridad de la información. Este módulo proporciona las directrices y los requisitos para implementar y mantener los controles necesarios para proteger la información en una organización. Cubre aspectos clave como la inteligencia de amenazas, el uso aceptable de los activos, el control de acceso, la gestión de identidades, la información de autenticación, entre otros, con el objetivo de garantizar la confidencialidad, integridad y disponibilidad de la información sensible.

El Capítulo 6 del Anexo A de la norma ISO/IEC 27001 se enfoca en el control de personas en relación con la seguridad de la información. Este capítulo aborda aspectos como la selección de personal, términos y condiciones de empleo, conciencia de seguridad de la información, proceso disciplinario, responsabilidades después de la terminación o cambio de empleo, acuerdos de confidencialidad o no divulgación, trabajo remoto y reporte de eventos de seguridad de la información. Estos controles son fundamentales para garantizar que el personal cumpla con las políticas de seguridad de la información y proteja los activos de la organización.

Este módulo se enfoca en los controles físicos para proteger los activos y la información de una organización. Estos controles abarcan aspectos como los perímetros de seguridad física, el monitoreo de accesos no autorizados, la seguridad de oficinas, habitaciones e instalaciones, la protección contra amenazas físicas y ambientales, el emplazamiento y la protección de equipos, la seguridad de activos fuera de las instalaciones, entre otros. Estos controles físicos contribuyen a salvaguardar los activos críticos de la organización, prevenir intrusiones y proteger la infraestructura física contra amenazas externas.

Este módulo se centra en los controles tecnológicos para garantizar la seguridad de la información y los sistemas de información. Proporciona directrices y requisitos para implementar medidas técnicas efectivas, como la protección de dispositivos de punto final, la gestión de derechos de acceso privilegiado, la restricción de acceso a la información, la autenticación segura, la gestión de la capacidad, la protección contra malware, la gestión de vulnerabilidades técnicas, la gestión de la configuración, entre otros. Estos controles ayudan a prevenir y mitigar riesgos tecnológicos, asegurando la confidencialidad, integridad y disponibilidad de la información.

Estimados estudiantes,

Nos complace informarles que hemos agregado nuevo material complementario al curso de ISO 27001. Este nuevo capítulo, titulado "Recursos de Ciberseguridad e Inteligencia de Amenazas", está diseñado para enriquecer sus conocimientos y habilidades en áreas críticas de la ciberseguridad de la mano de los expertos.

¿Qué aprenderán en este nuevo capítulo?

• Conceptos Claves de Inteligencia de Amenazas: Un Control Clave del Anexo A de ISO 27001

• MITRE Corporation y ATT&CK®

• DLP´s

• Herramientas de Simulación de Ataques

• Análisis de Bibliotecas y repositorios para Inteligencia de Amenazas

En este módulo, aprenderás:

• Definir y registrar elementos de configuración (EC), asegurando la integridad de la información en cada etapa.

• Controlar los cambios para mantener la coherencia y seguridad en los procesos de gestión.

• Verificar y auditar la información de configuración para respaldar otras actividades clave de gestión del servicio.