Bienvenida al curso · Auditoría e implementación de ISO 27001

Financiera Talamanca S.A., una entidad ficticia de San José supervisada por la SUGEF, recibió un correo de su banco corresponsal en el extranjero. Para seguir operando la cuenta en dólares, el corresponsal pide una certificación de seguridad de la información reconocida. Abajo, entre paréntesis, una sola línea:

Favor adjuntar certificado ISO/IEC 27001 vigente, indicando el alcance
y la fecha de la última auditoría de seguimiento.

Talamanca tiene antivirus, respaldos y una persona encargada de tecnología. Lo que no tiene es un sistema que ordene todo eso, lo apruebe la dirección y deje evidencia. No le falta tecnología: le falta gestión. Este curso recorre, de principio a fin, cómo construir y auditar ese sistema.

Bienvenido a Auditoría e implementación de ISO 27001. Aquí no hay terminal ni código. Todo lo que va a producir son documentos de gestión: un alcance, una política, una matriz de riesgos, una Declaración de Aplicabilidad, un plan de controles, un hallazgo de auditoría. Son los entregables que un auditor pide y que la dirección firma.

Qué va a lograr

Definir el contexto, las partes interesadas, el alcance y la política de un SGSI según ISO/IEC 27001:2022.
Construir una metodología de riesgos, su matriz y su plan de tratamiento con propietarios y fechas.
Redactar una Declaración de Aplicabilidad sobre los 93 controles del Anexo A y sus cuatro temas.
Planificar la implementación de controles organizativos, de personas, físicos y tecnológicos, con sus evidencias y su relación con la Ley 8968.
Preparar una auditoría interna, redactar hallazgos con no conformidades y acciones correctivas, y trazar el camino a la certificación.

Para quién es y qué necesita

Es para quien debe implementar o auditar un SGSI: oficiales de seguridad, encargados de cumplimiento, auditores internos, jefaturas de tecnología y consultores. También para profesionales de administración, derecho o riesgo que acompañan un proyecto de certificación. No necesita saber programar ni usar la consola.

Conviene haber hecho GRC: riesgo, políticas y normativas (ISO 27001, NIST CSF y Ley 8968), porque este curso da por conocidos la matriz de probabilidad por impacto, el vocabulario de gobierno y las obligaciones de la Ley 8968. Para practicar solo necesita un procesador de texto y una hoja de cálculo. Tenga a mano, como referencia, el índice del Anexo A de la edición 2022; no hace falta comprar la norma para seguir el curso.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. El SGSI y su alcance	Qué es un SGSI, contexto, partes interesadas, alcance, liderazgo y política	Definir el alcance y la política de un SGSI
2. Gestión de riesgos	Metodología, evaluación, tratamiento, SoA y el Anexo A 2022	Matriz de riesgos y selección de controles
3. Implementar los controles	Controles organizativos, de personas, físicos y tecnológicos; evidencias y Ley 8968	Implementar tres controles con sus evidencias
4. Auditoría interna y mejora	Programa de auditoría, hallazgos, no conformidades, revisión por la dirección y certificación	Redactar un hallazgo con su acción correctiva
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Los cuatro laboratorios son sobre Talamanca y se encadenan: el alcance y la política del primero alimentan la matriz del segundo, que alimenta el plan de controles del tercero, que a su vez se audita en el cuarto. Hágalos en orden y antes de leer la solución de referencia. En gestión, dos profesionales pueden redactar distinto y ambos tener razón; lo que se evalúa es que la decisión quede justificada y con un responsable.

Cada lección cierra con una pregunta rápida de repaso. No se salte los laboratorios: son el documento que de verdad lo prepara para una auditoría. Al aprobar la evaluación final recibe el certificado del curso y la insignia.

Tiempo estimado

El curso completo toma unas cuatro horas y media, con cien minutos en los laboratorios. Le sugerimos una lección por día y reservar una sesión aparte para cada laboratorio.