Seguridad de la información ISO 27001

Qué incluye

• 15 módulos con examen final
• Certificado de participación en PDF por correo, con la lista completa de temas
• Número de certificado verificable en línea
• Base normativa: ISO/IEC 27001:2022, cap. 7.2 y 7.3; control 6.3
• Caso práctico con una empresa mexicana de ejemplo

Contenido: 15 módulos

1. De qué se trata — y qué no es este cursoDelimitación: parte general de la capacitación en seguridad de la información según ISO/IEC 27001:2022 cap. 7.3 y control 6.3 — no sustituye las políticas de la empresa ni el SGSI
2. El marco normativo y legal en un solo lugar — ISO/IEC 27001, LFPDPPP, secreto industrial, NIS-2Marco normativo y legal: ISO/IEC 27001:2022 con Amd 1:2024, ISO/IEC 27002:2022 (93 controles en 4 temas), Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, vigente desde el 21/03/2025), protección del secreto industrial (LFPPI), obligaciones laborales de confidencialidad, Directiva europea NIS-2 como referencia internacional para la cadena de suministro
3. Los tres objetivos de protección — confidencialidad, integridad, disponibilidadObjetivos de protección de la seguridad de la información: confidencialidad, integridad y disponibilidad (ISO/IEC 27000, cap. 3), diferencia con la protección de datos personales y la seguridad de TI, importancia en el día a día
4. Su papel y sus obligacionesObligaciones de cada persona: cumplir la política de seguridad, proteger la información de autenticación, uso aceptable (control 5.10), reportar eventos sin demora (control 6.8), tomar la capacitación (cap. 7.3), consecuencias de los incumplimientos (control 6.4)
5. Contraseñas y autenticación multifactorContraseñas y autenticación multifactor: longitud antes que complejidad (recomendación de referencia: corta y compleja con al menos 8 caracteres de cuatro tipos o larga con 20 a 25 caracteres de dos tipos), frases de contraseña, una contraseña propia por servicio, gestor de contraseñas, sin cambio sin motivo, MFA con app o token físico (controles 5.17, 8.5)
6. Seguridad del correo electrónico y phishingSeguridad del correo y phishing: señales de alerta (urgencia, dirección del remitente, enlaces, adjuntos, peticiones inverosímiles), fraude del CEO, spear phishing y mensajes generados con IA, revisión de cuatro preguntas antes de abrir, verificación por un canal independiente, reportar en lugar de borrar (controles 6.8, 8.7, 8.23)
7. Puesto de trabajo, bloqueo de pantalla y dispositivos móvilesPuesto de trabajo y dispositivos móviles: escritorio limpio y pantalla limpia (control 7.7), bloqueo de pantalla al levantarse y automático a más tardar a los 10 minutos, impresoras e impresiones, cifrado del equipo, reportar de inmediato una pérdida, nunca conectar memorias USB ajenas (controles 7.9, 7.10, 8.1)
8. Confidencialidad, clasificación y necesidad de saberClasificación y confidencialidad: cuatro niveles (pública, interna, confidencial, estrictamente confidencial), etiquetado (controles 5.12, 5.13), necesidad de saber y derechos de acceso (control 5.15), ningún servicio de nube privado, acuerdos de confidencialidad (control 6.6), destrucción segura según ISO/IEC 21964 a partir del nivel de seguridad P-4 (control 7.14)
9. Uso seguro de internet, software y redes socialesUso seguro de internet: leer bien HTTPS y las advertencias del navegador, descargas solo de fuentes autorizadas, ninguna instalación propia de software (control 8.19), filtro web (control 8.23), servicios de IA y datos de la empresa, redes sociales e información de la empresa (control 5.10)
10. Visitantes, acceso e ingeniería socialVisitantes e ingeniería social: registro y acompañamiento de visitantes (controles 7.1, 7.2, 7.6), tailgating, pretexting, presión de autoridad y de urgencia, verificar la identidad por un canal conocido, remitir a recepción con amabilidad pero con firmeza
11. Detectar y reportar incidentes de seguridadIncidentes de seguridad: señales de alerta (ransomware, accesos ajenos, envío erróneo, pérdida de equipos), medidas inmediatas (desconectar de la red, no apagar, no «rescatar» nada por cuenta propia), reporte sin demora (control 6.8), gestión de incidentes (controles 5.24–5.28), información inmediata a los titulares según la LFPDPPP, como referencia internacional plazos de 24 h / 72 h / 1 mes de la NIS-2, cultura de reporte
12. Trabajo en casa, trabajo móvil y videoconferenciasTrabajo en casa y trabajo móvil: solo equipos de la empresa, VPN para el acceso, wifi cifrado (WPA2/WPA3), que no lean familiares ni el entorno, impresiones y destrucción en casa, videoconferencias solo con herramientas autorizadas, filtro de privacidad y equipos nunca sin vigilancia en lugares públicos (controles 6.7, 7.9, 8.1)
13. Caso práctico: la factura adjuntaCaso práctico de adjunto de phishing: ruta de decisión desde el adjunto abierto, pasando por la desconexión de la red y el reporte inmediato, hasta la evaluación por el área responsable — obligaciones según la LFPDPPP y el contrato con el cliente, aprendizaje del incidente (controles 5.25–5.27, 6.8)
14. Procedimiento en su propia empresaProcedimiento en su propia empresa: responsable de seguridad de la información y personas de contacto, ruta de reporte y número de emergencia ante incidentes de seguridad, política de contraseñas y MFA, niveles de clasificación, equipos, software y servicios en la nube permitidos, reglas de trabajo en casa, exigencias de clientes y obligaciones de protección de datos de la empresa
15. Evidencias de la capacitaciónEvidencias: constancia de capacitación como información documentada (cap. 7.2, 7.3, 7.5), control 6.3 — capacitación inicial antes del primer acceso, repetición periódica (en la práctica anual), evidencia ante el auditor, los clientes y la autoridad, capacitación también de la dirección