Requisitos de ISO 27001:2023

1. Introducción a ISO/IEC 27001:2023

• Visión general del Sistema de Gestión de Seguridad de la Información (ISMS) de ISO/IEC 27001
• Propósito y beneficios de implementar un ISMS
• Rol de ISO 27001 en la gobernanza de ciberseguridad
• Estructura de la familia de normas ISO 27000
• Conceptos clave:
  • Seguridad de la información
  • Gestión de riesgos
  • Controles de seguridad
  • Mejora continua
• Visión general del proceso de certificación ISO 27001

2. Cambios en la edición ISO/IEC 27001:2023

2.1 ¿Qué ha cambiado?

• Visión general de las actualizaciones de la edición 2022/2023 de ISO 27001
• Motivos de la revisión de la norma
• Alineación con las prácticas modernas de ciberseguridad
• Impacto en las organizaciones certificadas existentes

2.2 Alcance de los cambios

• Cambios en la terminología y estructura
• Actualizaciones en los requisitos de las cláusulas de ISO 27001
• Impacto en la documentación del ISMS
• Requisitos de transición desde ediciones anteriores
• Plazos y consideraciones para la migración

2.3 Controles de seguridad actualizados del Anexo A

• Visión general de la nueva estructura del Anexo A
• Transición de 14 dominios de control a 4 temas:
  • Controles organizacionales
  • Controles de personas
  • Controles físicos
  • Controles tecnológicos
• Nuevos controles de seguridad y actualizaciones
• Cambios en los atributos de los controles
• Comprensión de la aplicabilidad de los controles

3. Comprensión de la seguridad de la información y la gestión de riesgos

3.1 Definición de la seguridad en las organizaciones modernas

• Principios de seguridad de la información:
  • Confidencialidad
  • Integridad
  • Disponibilidad
• Impacto empresarial de los incidentes de seguridad
• Desafíos de seguridad en entornos modernos
• Equilibrio entre seguridad, usabilidad y requisitos de negocio

3.2 Enfoque de gestión de riesgos

• Identificación de riesgos de seguridad de la información
• Metodologías de evaluación de riesgos
• Opciones de tratamiento de riesgos
• Creación de planes de tratamiento de riesgos
• Selección de controles de seguridad apropiados
• Declaración de Aplicabilidad (SoA)

4. Implementación de los cambios de ISO 27001:2023

4.1 Preparación para la transición

• Evaluación de la madurez del ISMS actual
• Realización de un análisis de brechas (gap analysis)
• Identificación de las actualizaciones requeridas
• Actualización de políticas y procedimientos
• Revisión de los controles de seguridad existentes

4.2 Implementación de controles actualizados

• Correspondencia de los controles existentes con la nueva estructura del Anexo A
• Evaluación de la efectividad de los controles
• Integración de nuevos requisitos de seguridad
• Gestión de los cambios organizacionales

4.3 Caso práctico de implementación

• Revisión de una organización de ejemplo
• Identificación de brechas de seguridad
• Selección de controles apropiados
• Desarrollo de recomendaciones de mejora
• Creación de una hoja de ruta de implementación

5. Auditoría según ISO 27001:2023

5.1 Fundamentos de la auditoría de ISMS

• Propósito y principios de la auditoría
• Auditoría interna frente a auditoría de certificación
• Responsabilidades del auditor
• Criterios y alcance de la auditoría
• Enfoque de auditoría basado en evidencia

5.2 Planificación de una auditoría ISO 27001

• Creación de un programa de auditoría
• Preparación de listas de verificación
• Definición de objetivos de auditoría
• Identificación de procesos y controles relevantes
• Selección de métodos de auditoría

5.3 Ejecución de la auditoría

• Reuniones de apertura
• Técnicas de entrevista
• Revisión de documentación
• Recopilación de evidencia objetiva
• Prueba de la efectividad de los controles
• Registro de los hallazgos de la auditoría

6. Hallazgos y reporte de auditoría

6.1 Gestión de los resultados de la auditoría

• Identificación de no conformidades
• Clasificación de hallazgos:
  • No conformidades mayores
  • No conformidades menores
  • Observaciones
  • Oportunidades de mejora
• Análisis de causa raíz
• Acciones correctivas

6.2 Reporte de auditoría

• Redacción de informes de auditoría efectivos
• Comunicación de hallazgos a la gerencia
• Priorización de acciones de mejora
• Actividades de seguimiento

7. Buenas prácticas para la implementación y auditoría de ISO 27001

• Desafíos comunes durante la implementación
• Evitar errores comunes en auditoría
• Construcción de una cultura de seguridad efectiva
• Mantenimiento de la efectividad del ISMS
• Prácticas de mejora continua
• Integración de ISO 27001 con otras normas:
  • ISO 9001
  • ISO 22301
  • ISO 27701

8. Taller práctico y estudio de caso

• Revisión de un entorno ISMS de ejemplo
• Realización de una evaluación de brechas
• Identificación de controles aplicables
• Preparación de preguntas para la auditoría
• Evaluación de evidencia
• Creación de hallazgos de auditoría
• Presentación de recomendaciones

9. Discusión y resumen

• Repaso de los cambios de ISO 27001:2023
• Consideraciones clave para los auditores
• Lecciones aprendidas de los estudios de caso
• Mejores prácticas para una implementación exitosa
• Preguntas y respuestas
• Recursos adicionales y próximos pasos