Capacitación en gestión de la seguridad de la información ISO/IEC 27001
Capacitación práctica y lista para auditoría para construir y mantener un Sistema de Gestión de Seguridad de la Información certificable, no un curso genérico de concientización con un sello de cumplimiento pegado encima.
Curso de certificación de 5 días en vivo en línea
Del lunes 30 de noviembre al viernes 4 de diciembre de 2026, de 11:00 a. m. a 1:00 p. m. IST cada día. USD 250 por participante, incluye un certificado de The CyberDiplomat. Limitado a 25 cupos.
¿Necesita capacitar a todo un equipo o una cohorte privada? Use el formulario a continuación o escriba a info@thecyberdiplomat.com.
Cuatro módulos, organizados según quién está expuesto al riesgo
Fundamentos de ISO/IEC 27001: el SGSI, el Annex A y el proceso de certificación
La base común: qué exige la norma, cómo cambió el Annex A con la revisión de 2022 y cómo funciona realmente la certificación.
Equipo de implementación del SGSI
Evaluación de riesgos, la Declaración de Aplicabilidad y la construcción de un sistema de gestión que resista una auditoría de certificación.
Auditores internos
Planificación y ejecución de auditorías internas, recopilación de evidencias y redacción de hallazgos sobre los que la revisión por la dirección pueda actuar.
Alta dirección y liderazgo: con amplia responsabilidad de gobernanza
Obligaciones de liderazgo de la cláusula 5, revisión por la dirección, asignación de recursos y el caso de negocio para la certificación, tratados en profundidad.
Fundamentos de ISO/IEC 27001: el SGSI, el Annex A y el proceso de certificación
ISO/IEC 27001 es la norma reconocida internacionalmente para un Sistema de Gestión de Seguridad de la Información: un enfoque sistemático y basado en riesgos para proteger la información, que opera con un ciclo Planificar-Hacer-Verificar-Actuar de mejora continua y no como una lista de verificación única. La revisión de 2022 reestructuró el Annex A, que pasó de 114 controles en 14 categorías a 93 controles agrupados en cuatro temas (organizacionales, de personas, físicos y tecnológicos), y las organizaciones certificadas en la edición de 2013 tuvieron plazo hasta el 31 de octubre de 2025 para hacer la transición o perder su certificación. Las organizaciones buscan la certificación por tres razones que se superponen: es cada vez más un requisito contractual para clientes empresariales y gubernamentales, demuestra ante reguladores y aseguradoras un estándar de diligencia defendible y ofrece a las juntas directivas una forma estructurada de gobernar un riesgo que antes solo existía en TI. Este módulo brinda a cada participante, cualquiera que sea el módulo que curse después, el vocabulario común, la estructura vigente del Annex A y una idea realista de lo que implica en la práctica una auditoría de certificación de Etapa 1 y Etapa 2.
Principales áreas de riesgo abordadas
Control de acceso
Gestión de quién puede acceder a qué: registro de usuarios, acceso privilegiado, autenticación y los controles tecnológicos que aplican el principio de mínimo privilegio.
Criptografía
Políticas sobre cuándo y cómo se aplica el cifrado, y prácticas de gestión de claves que lo mantienen eficaz en lugar de meramente decorativo.
Relaciones con proveedores y riesgo de terceros
Requisitos de seguridad en los acuerdos con proveedores, y monitoreo, revisión y gestión de cambios en las cadenas de suministro de TIC.
Gestión de incidentes
Planificación, detección, evaluación y respuesta ante eventos de seguridad de la información para que los incidentes se manejen de forma coherente, no improvisada.
Continuidad del negocio
Preparación de las TIC para la continuidad del negocio (un control nuevo de 2022) y cómo mantener intacta la seguridad de la información cuando se interrumpen las operaciones.
Seguridad de los recursos humanos
Verificación de antecedentes antes de la contratación, responsabilidades de seguridad durante el empleo y procesos disciplinarios y de desvinculación que cierran los accesos a la salida.
El panorama regulatorio, explicado con claridad
Artículo 32 del RGPD: seguridad del tratamiento
El artículo 32 exige “medidas técnicas y organizativas apropiadas”, incluidas la evaluación de riesgos, el cifrado, la resiliencia y las pruebas periódicas: la misma sustancia que un SGSI ISO/IEC 27001 está diseñado para producir, aunque la certificación por sí sola no satisface todas las obligaciones del RGPD (por ejemplo, los derechos de los interesados).
Directiva NIS2 de la UE: medidas de gestión de riesgos del artículo 21
El artículo 21(2) establece diez medidas mínimas de gestión de riesgos de ciberseguridad para las entidades esenciales e importantes; los controles del Annex A de ISO/IEC 27001 se corresponden estrechamente con ellas, lo que convierte un SGSI certificado en una vía práctica para demostrar el cumplimiento de NIS2, junto con las obligaciones propias de NIS2, como los plazos de notificación de incidentes.
IT Act de la India: SPDI Rules, 2011
La regla 8 de las Reasonable Security Practices and Procedures and Sensitive Personal Data or Information Rules de la India menciona directamente IS/ISO/IEC 27001: se considera que una persona jurídica que la implementa y se certifica en ella cumple con las “prácticas de seguridad razonables” exigidas por la sección 43A de la IT Act, 2000.
El énfasis regulatorio se adapta a su país y jurisdicción: indíquenos dónde opera en el formulario a continuación y definiremos los marcos más relevantes para usted.
Diseñadas en función de quién está realmente expuesto al riesgo
Tras la base común, los participantes se dividen en rutas específicas, cada una construida a partir de los sistemas y las decisiones que ese grupo realmente gestiona.
Equipo de implementación del SGSI
Gerentes de seguridad de la información · Líderes de proyectos de SGSI · Responsables de riesgos de TI
Auditores internos
Integrantes del equipo de auditoría interna · Revisores de cumplimiento · Promotores del SGSI
“¿Por qué dividir la capacitación de esta manera? El equipo que implementa el SGSI necesita razonar cuáles de los 93 controles se aplican realmente a su perfil de riesgo y defender ese razonamiento en una Declaración de Aplicabilidad; el auditor interno necesita comprobar de forma independiente si esos controles realmente funcionan y redactar un hallazgo que resista el escrutinio de un organismo de certificación. Combinar ambos públicos en una sesión genérica aburre a los implementadores con la mecánica de la auditoría o da a los auditores una capacitación en implementación que compromete su objetividad; por eso cada módulo se construye en torno a las decisiones y los entregables de los que ese rol es realmente responsable.”
Equipo de implementación del SGSI: escenarios
Auditores internos: escenarios
Formato de estas rutas
Alta dirección y liderazgo
Ejecutivos · Miembros de la junta directiva · Patrocinadores del SGSI · Dirección de cumplimiento
ISO/IEC 27001 impone a la alta dirección obligaciones específicas e indelegables en la cláusula 5: el compromiso del liderazgo no es una firma en una política, sino una rendición de cuentas continua que los auditores evalúan específicamente. Las juntas directivas que tratan la certificación como un proyecto de TI y no como una responsabilidad de gobernanza suelen reprobar su primera auditoría de Etapa 2, o la aprueban con un SGSI demasiado débil para resistir un incidente real. Este módulo profundiza en la gobernanza, la asignación de recursos y la integración estratégica más que cualquier otro módulo del programa.
En profundidad
- Talleres con instructor
- Módulos de e-learning a su propio ritmo
- Ejercicios de escenarios y de simulación
- Actualizaciones específicas por rol
Los cuatro módulos pueden impartirse juntos como un programa completo, o las rutas específicas por rol pueden licenciarse por separado para las organizaciones que solo necesitan cubrir un público.
Lo que está en juego detrás de la capacitación
Una norma, cuatro temas, 93 controles
La reestructuración de 2022 consolidó una década de controles dispersos en un marco coherente: capacitación construida en torno a esa estructura, no a la obsoleta de 2013.
La certificación es un ejercicio de gobernanza, no de papeleo
Los auditores verifican si el liderazgo realmente aplica el ciclo PDCA: este módulo trata la revisión por la dirección y la asignación de recursos como contenidos centrales de la capacitación, no como algo secundario.
Roles, no solo controles
Una Declaración de Aplicabilidad y un hallazgo de auditoría interna son tan buenos como la persona que los elaboró. La capacitación se dirige precisamente a esos dos roles.
Lleve esta capacitación a su equipo de implementación del SGSI, a su función de auditoría interna o a su equipo directivo.
Agende una consulta para definir los módulos adecuados antes de su próxima auditoría de certificación o de seguimiento. Indíquenos su país y adaptaremos el enfoque regulatorio y el formato de impartición a su región.
Modular por diseño
Implemente el programa completo de cuatro módulos o licencie solo las rutas que su organización necesita, todas construidas sobre el módulo base común.
Respondemos en un día hábil. ¿Prefiere el correo electrónico? Escriba a info@thecyberdiplomat.com.
¿Busca otro programa?
Explore nuestra gama completa de categorías de capacitación acreditada.