EXPEDIENTE /04 — EL FACTOR HUMANO

Un control que sóloentiende una personano es un control.

Formación en seguridad de la información y estándares ISO para las tres audiencias que un SGSI tiene que convencer: la dirección que lo aprueba, el equipo que lo opera y la organización que lo vive. Cinco programas sobre norma vigente, con ejercicios construidos a partir de tu propia operación — no láminas genéricas.

  • ISO/IEC 27001
  • ISO/IEC 27002
  • ISO/IEC 27005
  • ISO 22301
  • ISO 19011
FIG. 05 — EL FACTOR HUMANO

PROGRAMAS

Cinco programas, en el orden en que se construye un SGSI.

Se toman sueltos o como ruta completa: entender la norma, auditarla, medir el riesgo, operar los controles y sostener la operación cuando algo falla.

  • ISO/IEC 27001:2022 · INTERPRETACIÓN DE REQUISITOS

    Descifrar la norma

    DIRIGIDO A
    Responsables del SGSI, TI, cumplimiento
    DURACIÓN
    16 h · 2 sesiones

    La norma leída como la lee un auditor: cláusula por cláusula, separando lo que de verdad exige de lo que la industria acostumbra. Al terminar, el grupo puede abrir el documento y saber qué se le está pidiendo a su organización.

    TEMARIO

    • Estructura de alto nivel y contexto de la organización (cláusulas 4–6)
    • Liderazgo, alcance del SGSI y declaración de aplicabilidad
    • Operación, evaluación del desempeño y mejora (cláusulas 8–10)
    • Lectura del Anexo A: qué exige realmente cada control

  • AUDITORES INTERNOS · ISO/IEC 27001 · ISO 19011

    Auditar con criterio

    DIRIGIDO A
    Auditores internos designados, TI, calidad
    DURACIÓN
    24 h · 3 sesiones

    Formar a quien va a auditar en casa. El eje no es la teoría sino la evidencia: cómo se planea el muestreo, cómo se entrevista sin inducir la respuesta y cómo se redacta un hallazgo que nadie pueda discutir.

    TEMARIO

    • Principios de auditoría y competencias del auditor (ISO 19011)
    • Programa, plan y lista de verificación de auditoría
    • Técnicas de entrevista y muestreo de evidencia
    • Redacción de hallazgos, no conformidades e informe
    • Auditoría simulada de punta a punta sobre un caso real

  • GESTIÓN DE RIESGOS · ISO/IEC 27005

    Medir el riesgo

    DIRIGIDO A
    Responsables de riesgo, SGSI, dirección de TI
    DURACIÓN
    16 h · 2 sesiones

    El riesgo deja de ser un color en una tabla. Se construyen criterios de aceptación que la dirección puede firmar y escalas que sobreviven a la pregunta incómoda de por qué ese número y no otro.

    TEMARIO

    • Marco de gestión de riesgo y criterios de aceptación
    • Identificación de activos, amenazas y vulnerabilidades
    • Análisis y valoración: escalas que la dirección entiende
    • Tratamiento, riesgo residual y monitoreo continuo

  • REFORZAMIENTO DE CONTROLES · ISO/IEC 27002:2022

    Aterrizar los controles

    DIRIGIDO A
    Equipos de TI y operación, dueños de control
    DURACIÓN
    16 h · 2 sesiones

    El salto que casi nunca se enseña: del enunciado del Anexo A a la configuración concreta. Qué tiene que existir, quién lo opera y qué evidencia deja — para que el control resista una auditoría en vez de una lectura amable.

    TEMARIO

    • Los cuatro temas: organizacional, personas, físico y tecnológico
    • Atributos de control y cómo usarlos para priorizar
    • Del enunciado del Anexo A a la configuración real
    • Evidencia: qué debe existir para que el control sea auditable

  • CONTINUIDAD DEL NEGOCIO · ISO 22301

    Sostener la operación

    DIRIGIDO A
    Dirección, continuidad, operación crítica
    DURACIÓN
    20 h · 3 sesiones

    Qué se hace el día que la operación se detiene. Se trabaja el análisis de impacto, los tiempos que el negocio puede tolerar y un plan que alguien pueda ejecutar bajo presión, no leer en calma.

    TEMARIO

    • Análisis de impacto al negocio (BIA), RTO y RPO
    • Estrategias de continuidad y de recuperación
    • Redacción y activación del plan de continuidad
    • Ejercicios, pruebas y mejora del plan

FORMATOS

El mismo programa, donde tu equipo pueda tomarlo.

GRUPO CERRADO · EN TU SEDE

In-company

Sólo tu equipo, con los ejercicios armados sobre tu propio alcance, tus controles y tus hallazgos. Es el formato que más rinde: lo que se practica en el aula es literalmente el trabajo que sigue el lunes.

AULA VIRTUAL · NO VIDEO GRABADO

Remoto en vivo

Mismo temario y mismos ejercicios, en sesiones en vivo para equipos distribuidos. Se conserva lo que hace que un taller funcione: preguntas en el momento, trabajo en equipo y revisión del ejercicio frente al grupo.

SESIÓN PARA DIRECCIÓN

Ejecutivo

Versión condensada para el comité: qué le exige la norma específicamente a la alta dirección, qué decisiones no puede delegar y qué se juega el negocio si el SGSI se queda en el papel.

CÓMO SE IMPARTE

Nadie aprende una norma escuchándola.

  1. FASE 01

    Diagnóstico del grupo

    Quiénes son, de dónde parten y qué tienen que poder hacer al terminar. Sin esa conversación, cualquier curso es un molde aplicado a la fuerza.

  2. FASE 02

    Diseño a la medida

    El temario se ajusta a tu sector, tu alcance y tus controles. Los ejemplos salen de tu operación, no de un manual de otra industria.

  3. FASE 03

    Sesiones

    Exposición corta y ejercicio largo. Cada bloque cierra con algo que el grupo produce: un alcance redactado, una no conformidad, una matriz de riesgo.

  4. FASE 04

    Evaluación

    Examen y ejercicio práctico calificado. Quien acredita se lleva constancia con horas y temario; quien no, se lleva retroalimentación concreta.

  5. FASE 05

    Seguimiento

    Semanas después, una sesión de dudas con lo que ya intentaron aplicar. Ahí es donde la capacitación se convierte en capacidad instalada.

QUÉ TE LLEVAS

Constancia, material y capacidad instalada.

  • Material del curso y plantillas de trabajo reutilizables
  • Constancia con nombre, horas y temario cubierto
  • Resultados de evaluación por participante
  • Ejercicios resueltos sobre casos de tu propia operación
  • Sesión de seguimiento posterior para dudas de aplicación

REGLAS DE LA CASA

Dichas claras antes de empezar.

  • La constancia acredita la formación recibida, no una certificación emitida por un organismo acreditado. Decirlo claro es parte del servicio.
  • Grupos acotados: pasado cierto número el taller se vuelve conferencia y el ejercicio deja de funcionar.
  • Lo que se use como caso de estudio queda bajo confidencialidad — no sale del aula ni se reutiliza con otro cliente.

¿Tu equipo sabe leer la norma,o sólo sabe dónde está guardada?

Cuéntanos a quién hay que formar y para cuándo. Armamos el programa y te lo mandamos con temario y fechas.

Solicitar programaVer todos los servicios