ISO/IEC 27001 Foundation — Unidad de autoaprendizaje
Autoaprendizaje
ISO/IEC 27001 Foundation
Un curso de autoaprendizaje sobre la ISO/IEC 27001:2022 (y Amd 1:2024): desde los fundamentos de la seguridad de la información, pasando por el proceso de riesgos y los 93 controles del Anexo A, hasta el camino hacia la certificación. Cada lección concluye con preguntas de examen y cada sección, con una prueba final.
Aviso sobre el progresoEste navegador no permite guardar datos de archivos abiertos localmente. El curso funciona por completo, pero las marcas de verificación y los resultados de los cuestionarios se pierden al cerrarlo. Solución: permita en la configuración del navegador el almacenamiento de datos de sitios web para esta página.
Así está estructurado el curso
Orden recomendado, aunque cada sección también funciona por sí solaLa estructura del curso
Nueve secciones que se apoyan unas en otras: desde los fundamentos hasta la certificación
Las nueve secciones
La barra de cada tarjeta muestra su progreso-
1
Fundamentos de la seguridad de la información
Por qué la seguridad de la información es un asunto de la dirección, qué activos se protegen y en qué se diferencia la seguridad de la información de la protección de datos y de la mera seguridad TI.
-
2
Comprender los sistemas de gestión
Qué caracteriza a un sistema de gestión: niveles, orientación a procesos, documentación y el ciclo PDCA como mapa de toda la norma.
-
3
El SGSI a fondo
Estructura, funciones e implantación de un SGSI, la familia de normas en torno a la 27001 y la dotación mínima sin la cual no se supera ninguna auditoría.
-
4
La norma ISO/IEC 27001 en síntesis
El plano del documento: estructura, objeto y campo de aplicación, normas para consulta y el origen de los términos.
-
5
Requisitos de la ISO/IEC 27001 (capítulos 4–6)
El núcleo: contexto y alcance, liderazgo y política, evaluación de riesgos, tratamiento de riesgos y la declaración de aplicabilidad.
-
6
Apoyo y documentación (capítulo 7)
Recursos, competencia, concienciación, comunicación y control de la información documentada: el capítulo en el que los SGSI fracasan en la práctica.
-
7
Operación y evaluación (capítulos 8–9)
Operación, medición, auditoría interna, revisión por la dirección y el camino desde la no conformidad hasta una acción correctiva eficaz.
-
8
Anexo A y controles
Los 93 controles de los cuatro temas, la estructura de un control, la declaración de aplicabilidad y una vista general con buscador.
-
9
Certificación y normas relacionadas
El camino hacia el certificado, la cadena de acreditación y el encaje de los marcos relacionados, desde IT-Grundschutz (metodología del BSI alemán) hasta ITIL 4.
Cómo trabajar con el curso
Leer y marcar
Cada lección contiene un mensaje clave, puntos para recordar con referencia a la norma y un ejemplo práctico. La casilla de la izquierda la marca como completada.
Autocorrección
Dos preguntas de opción múltiple por lección. Tras seleccionar una respuesta, aparece la retroalimentación sobre su respuesta, la solución correcta y una explicación con la referencia a la norma.
Cerrar la sección
Cada sección termina con una prueba final de ocho a doce preguntas. Se considera superada a partir del 60 por ciento.
Consulta
La Sección 8 contiene los 93 controles del Anexo A con filtro y búsqueda de texto completo; también puede utilizarse como obra de consulta independiente del curso.
Términos clave
Los términos siguen la ISO/IEC 27000, a la que remite el capítulo 3 de la norma- SGSI
- Sistema de gestión de la seguridad de la información: el marco organizado con el que una organización gestiona la seguridad de la información.
- Alcance
- Límites y aplicabilidad del SGSI según el apdo. 4.3. Figura después en el certificado.
- Parte interesada
- Persona u organización que puede afectar al SGSI o verse afectada por él (apdo. 4.2).
- Riesgo
- Efecto de la incertidumbre sobre los objetivos; puede ser positivo o negativo, por eso la norma habla de riesgos y oportunidades.
- Propietario del riesgo
- Rol que decide sobre el tratamiento de un riesgo y la aceptación del riesgo residual (apdo. 6.1.3 f)).
- Declaración de aplicabilidad
- Statement of Applicability (SoA). Indica los controles, su justificación, su estado de implementación y la justificación de las exclusiones (apdo. 6.1.3 d)).
- Plan de tratamiento de riesgos
- Plan con controles, responsables y plazos, aprobado por los propietarios de los riesgos (apdo. 6.1.3 e), 8.3).
- Información documentada
- Término genérico que abarca documentos normativos internos y registros (apdo. 7.5).
- Evento de seguridad de la información
- Ocurrencia observada que puede ser relevante para la seguridad de la información (A.6.8).
- Incidente de seguridad de la información
- Evento o serie de eventos que probablemente afecten a las operaciones o a la seguridad de la información (A.5.25).
- No conformidad
- Incumplimiento de un requisito. Exige corrección y eliminación de la causa (apdo. 10.2).
- Corrección
- Elimina la situación en sí; no debe confundirse con la acción correctiva.
- Acción correctiva
- Elimina la causa para que la no conformidad no vuelva a producirse (apdo. 10.2 b) a e)).
- Alta dirección
- Persona o grupo de personas que dirige y controla la organización al más alto nivel. Destinataria del cap. 5 y del apdo. 9.3.
- Anexo SL
- Estructura armonizada para las normas de sistemas de gestión: la razón por la que la 27001, la 9001 y la 20000-1 tienen la misma estructura.
- Acreditación
- Confirmación de la competencia de una entidad de certificación por parte de la entidad nacional de acreditación.