Requisitos de ISO 27001:2023

1. Introducción a ISO/IEC 27001:2023

• Resumen del Sistema de Gestión de Seguridad de la Información (ISMS) ISO/IEC 27001.
• Propósito y beneficios de implementar un ISMS.
• Rol de ISO 27001 en la gobernanza de ciberseguridad.
• Estructura de la familia de normas ISO 27000.
• Conceptos clave:
  • Seguridad de la información.
  • Gestión de riesgos.
  • Controles de seguridad.
  • Mejora continua.
• Resumen del proceso de certificación ISO 27001.

2. Cambios en la edición ISO/IEC 27001:2023

2.1 ¿Qué ha cambiado?

• Resumen de las actualizaciones de la edición ISO 27001:2022/2023.
• Motivos de la revisión de la norma.
• Alineación con las prácticas modernas de ciberseguridad.
• Impacto en las organizaciones certificadas existentes.

2.2 Alcance de los cambios

• Cambios en la terminología y la estructura.
• Actualizaciones en los requisitos de las cláusulas de ISO 27001.
• Impacto en la documentación del ISMS.
• Requisitos de transición desde ediciones anteriores.
• Cronograma y consideraciones para la migración.

2.3 Controles de seguridad de la nueva Apéndice A actualizado

• Resumen de la nueva estructura del Apéndice A.
• Transición de 14 dominios de control a 4 temas:
  • Controles organizacionales.
  • Controles humanos.
  • Controles físicos.
  • Controles tecnológicos.
• Controles de seguridad nuevos y actualizados.
• Cambios en los atributos de los controles.
• Comprensión de la aplicabilidad de los controles.

3. Comprensión de la seguridad de la información y la gestión de riesgos

3.1 Definiendo la seguridad en las organizaciones modernas

• Principios de seguridad de la información:
  • Confidencialidad.
  • Integridad.
  • Disponibilidad.
• Impacto en el negocio de los incidentes de seguridad.
• Desafíos de seguridad en entornos modernos.
• Equilibrio entre seguridad, usabilidad y requisitos de negocio.

3.2 Enfoque de gestión de riesgos

• Identificación de riesgos de seguridad de la información.
• Metodologías de evaluación de riesgos.
• Opciones de tratamiento de riesgos.
• Elaboración de planes de tratamiento de riesgos.
• Selección de controles de seguridad adecuados.
• Declaración de Aplicabilidad (SoA).

4. Implementación de los cambios de ISO 27001:2023

4.1 Preparación para la transición

• Evaluación de la madurez actual del ISMS.
• Realización de un análisis de brechas (gap analysis).
• Identificación de las actualizaciones requeridas.
• Actualización de políticas y procedimientos.
• Revisión de los controles de seguridad existentes.

4.2 Implementación de controles actualizados

• Correlación de los controles existentes con la nueva estructura del Apéndice A.
• Evaluación de la efectividad de los controles.
• Integración de nuevos requisitos de seguridad.
• Gestión de los cambios organizacionales.

4.3 Estudio de caso de implementación práctica

• Revisión de una organización de ejemplo.
• Identificación de brechas de seguridad.
• Selección de controles adecuados.
• Desarrollo de recomendaciones de mejora.
• Creación de un plan de ruta (roadmap) para la implementación.

5. Auditoría según ISO 27001:2023

5.1 Fundamentos de la auditoría del ISMS

• Propósito y principios de la auditoría.
• Auditoría interna versus auditoría de certificación.
• Responsabilidades del auditor.
• Criterios y alcance de la auditoría.
• Enfoque de auditoría basado en evidencia.

5.2 Planificación de una auditoría ISO 27001

• Creación de un programa de auditoría.
• Preparación de listas de verificación de auditoría.
• Definición de objetivos de auditoría.
• Identificación de procesos y controles relevantes.
• Selección de métodos de auditoría.

5.3 Realización de la auditoría

• Reuniones de apertura.
• Técnicas de entrevista.
• Revisión de documentación.
• Recopilación de evidencia objetiva.
• Prueba de la efectividad de los controles.
• Registro de los hallazgos de la auditoría.

6. Hallazgos y reporte de auditoría

6.1 Gestión de resultados de auditoría

• Identificación de no conformidades.
• Clasificación de hallazgos:
  • No conformidades mayores.
  • No conformidades menores.
  • Observaciones.
  • Oportunidades de mejora.
• Análisis de causa raíz.
• Acciones correctivas.

6.2 Reporte de auditoría

• Redacción de reportes de auditoría efectivos.
• Comunicación de hallazgos a la gerencia.
• Establecimiento de prioridades para las acciones de mejora.
• Actividades de seguimiento.

7. Buenas prácticas para la implementación y auditoría de ISO 27001

• Desafíos comunes durante la implementación.
• Evitar errores comunes en la auditoría.
• Construcción de una cultura de seguridad efectiva.
• Mantenimiento de la efectividad del ISMS.
• Prácticas de mejora continua.
• Integración de ISO 27001 con otras normas:
  • ISO 9001.
  • ISO 22301.
  • ISO 27701.

8. Taller práctico y estudio de caso

• Revisión de un entorno ISMS de ejemplo.
• Realización de una evaluación de brechas.
• Identificación de controles aplicables.
• Preparación de preguntas de auditoría.
• Evaluación de evidencia.
• Creación de hallazgos de auditoría.
• Presentación de recomendaciones.

9. Discusión y resumen

• Revisión de los cambios en ISO 27001:2023.
• Consideraciones clave para auditores.
• Aprendizajes obtenidos de los estudios de caso.
• Mejores prácticas para una implementación exitosa.
• Preguntas y respuestas.
• Recursos adicionales y próximos pasos.