GRCreal // expediente: academia curso: ISO 27001 Lead Implementer
ISO 27001 · SGSI · FUNDAMENTOS
Modulo 1

Introduccion a ISO 27001

Antes de hablar de controles, auditorias o riesgos,
hay que entender que intenta resolver realmente ISO 27001.

MÓDULO 01 / 10ISO 27001 · Lead Implementer
FOCOIntroduccion a ISO 27001

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Seguridad de la informacion
Los tres pilares: CIA
ISO 27001 gira alrededor de tres principios que se conocen como la triada CIA. No son tres palabras bonitas para una presentacion. Son tres propiedades que cualquier activo de informacion debe mantener para ser gestionado con seguridad.
C Confidencialidad. La informacion solo debe ser accesible para quien esta autorizado. Un dato accesible para quien no debe serlo es una brecha, aunque nadie se entere todavia.
I Integridad. La informacion debe mantenerse completa y sin alteraciones no autorizadas. Un fichero modificado sin rastro, una configuracion cambiada sin registro: eso es un problema de integridad.
A Disponibilidad. La informacion tiene que estar accesible cuando el negocio la necesita. Un ransomware no roba datos. Los hace inaccesibles. Eso es un ataque a la disponibilidad.
El objetivo de ISO 27001 es proteger esos tres pilares de forma sistematica, medible y sostenida en el tiempo. No en un momento puntual. Siempre.
SGSI
Que es realmente un SGSI
Un Sistema de Gestion de Seguridad de la Informacion no es un conjunto de documentos. Tampoco es una herramienta, ni una certificacion en la pared, ni un proyecto con fecha de fin.
“Tenemos los documentos de ISO 27001 en el servidor. Con eso deberia ser suficiente.”
Frase real. Organizacion real. Brecha real nueve meses despues.
Un SGSI es un modelo de gestion. Eso significa que tiene que funcionar como parte del dia a dia de la organizacion, no como un proyecto paralelo que solo se activa cuando hay una auditoria.

Lo que incluye un SGSI real:
→Personas con roles y responsabilidades definidos y asumidos
→Procesos documentados que se ejecutan realmente
→Riesgos identificados, evaluados y con tratamiento decidido
→Controles implementados porque existe un riesgo que los justifica
→Objetivos de seguridad medibles y revisados periodicamente
→Integracion real con el negocio, no una capa superpuesta sobre el
Lo que NO es un SGSI aunque muchas organizaciones lo confundan con uno: una carpeta de politicas, un firewall actualizado, una auditoria anual, o un Excel de riesgos que nadie revisa.
Estructura de la norma
Como se organiza ISO 27001
ISO 27001 sigue la estructura de alto nivel comun a todos los sistemas de gestion ISO. Esto tiene una implicacion practica importante: si ya tienes ISO 9001 o ISO 22301, puedes integrar requisitos sin duplicar trabajo. La estructura es intencionalmente compatible.

La norma tiene dos partes diferenciadas:
4Contexto de la organizacion · Quien eres y donde operas
5Liderazgo · Quien manda y que se compromete
6Planificacion · Riesgos, controles, objetivos
7Soporte · Recursos, competencias, documentacion
8Operacion · Ejecutar lo que planificaste
9Evaluacion del desempeno · Medir si funciona
10Mejora continua · Corregir, aprender, avanzar
Ademas de estos clausulados, la norma tiene el Anexo A: un catalogo de controles de seguridad organizados por tematicas. En la version 2022 son 93 controles agrupados en 4 categorias. En la version anterior eran 114 en 14 dominios.

Importante: el Anexo A no es una lista de tareas pendientes. Es un catalogo de referencia. Solo aplicas los controles que justificas a partir de tus riesgos y los documentas en la Declaracion de Aplicabilidad.
Ecosistema normativo
ISO 27001 no esta sola
ISO 27001 es la norma certificable: define los requisitos que debes cumplir. Pero hay normas complementarias que te ayudan a implementarla:
27002Guia de buenas practicas para implementar los controles del Anexo A. No es certificable.
27003Orientacion para implementar el propio sistema de gestion. Muy util en la fase inicial.
27005Marco metodologico para la gestion de riesgos de seguridad de la informacion.
27701Extension para privacidad. Compatible con RGPD. Muy relevante en entornos europeos.
Para implementar bien ISO 27001 no necesitas leer todas estas normas de principio a fin. Pero si necesitas saber que existen y cuando resulta util ir a cada una.
Error tipico de implementacion
Certificarse no es lo mismo que estar preparado
“Tenemos ISO 27001 desde hace tres anos.”
La frase que muchas veces esconde un SGSI que nadie mantiene activo.
El error mas frecuente no es no implementar ISO 27001. El error mas frecuente es implementarla para el certificado y no para el negocio.

Un SGSI implementado solo para pasar la auditoria tiene estas caracteristicas:
⚠Las politicas existen en PDF pero nadie las conoce ni las sigue
⚠El analisis de riesgos se actualiza dos semanas antes de la auditoria
⚠Los controles estan documentados como activos pero no se gestionan
⚠La alta direccion firma documentos pero no participa en las decisiones de seguridad
⚠Cuando llega un incidente real, el SGSI no ayuda. No esta integrado en la operacion.
Este curso no busca que apruebes un examen. Busca que entiendas como construir un SGSI que funcione cuando la realidad se complica.

Cumplir no siempre significa estar preparado.
Resumen del modulo
Lo que debes llevarte de aqui
1ISO 27001 protege Confidencialidad, Integridad y Disponibilidad de la informacion
2Un SGSI es un modelo de gestion integrado en el negocio, no una caja de documentos
3La norma tiene clausulas 4 a 10 mas un Anexo A de controles de referencia
4Los controles del Anexo A se seleccionan a partir del riesgo, no al reves
5Certificarse y estar preparado no son la misma cosa. El objetivo es lo segundo.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Introduccion a ISO 27001», comienza delimitando alcance, criterio, responsables, operación, evidencias y mejora. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance y contexto aprobados
  • metodología y evaluación de riesgos
  • plan de tratamiento y Declaración de Aplicabilidad
  • procedimientos, registros y métricas operativas
  • auditoría interna, revisión y acciones de mejora
CASO DE REVISIÓN

Aplicación de «Introduccion a ISO 27001»

Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta alcance, criterio, responsables, operación, evidencias y mejora.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • implantar controles antes de entender el riesgo
  • copiar documentación genérica
  • dar por terminado el SGSI al obtener la certificación
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Introduccion a ISO 27001»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Introduccion a ISO 27001

Una pyme quiere certificarse en seis meses y empieza comprando un SIEM, un EDR y una herramienta GRC antes de definir qué información y procesos protegerá.

CONTEXTO TÉCNICO

M365, AWS, portátiles, desarrollo propio y proveedores SaaS.

DECISIÓN

  • Comenzar por contexto, alcance, riesgos y objetivos antes de seleccionar tecnología.
  • Asignar un responsable y una fecha de revisión.
  • Definir cómo se comprobará la eficacia.

EVIDENCIA

  • Partes interesadas, procesos, información, alcance, riesgos y plan de implantación.
  • Corroborar con una fuente independiente.
  • Conservar población, periodo y responsable.

ERROR A EVITAR

  • Confundir implantación de ISO 27001 con compra de herramientas.
  • Aceptar afirmaciones sin prueba suficiente.
  • Cerrar acciones sin verificación posterior.
MINI EJERCICIO RESUELTO

¿Qué entregable debería preceder a la selección de controles?

Respuesta orientativa: Un alcance y una evaluación de riesgos aprobados.

¿QUÉ CAMBIARÍA SI…?

la empresa ya dispone de controles técnicos maduros?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Has documentado «Introduccion a ISO 27001». ¿Qué tendría que ocurrir en operación para demostrar que no se ha quedado en diseño?

Busca propietario, frecuencia, ejecución, desviaciones y evidencia producida por el proceso normal.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Los tres pilares: CIA

  2. 02

    Que es realmente un SGSI

  3. 03

    Como se organiza ISO 27001

El siguiente paso es entender
por que las organizaciones implementan ISO 27001.
Siguiente modulo: Business Case
← Anterior Continuar →