Curso Cyber Cultura
ISO 27701: Prácticas de Cumplimiento y Controles
El PIMS de la ISO/IEC 27701:2025, independiente o integrado al SGSI.
Capacita al alumno para implementar un Sistema de Gestión de la Privacidad de la Información (PIMS) conforme a la ISO/IEC 27701:2025, cumpliendo los requisitos de privacidad para responsables y encargados del tratamiento.
La edición de 2025 convirtió la 27701 en una norma de sistema de gestión propia: el PIMS puede implementarse y certificarse sin la ISO/IEC 27001, o integrarse a un SGSI existente. El curso cubre los dos caminos.
- Carga horaria
- 5 horas
- Formato
- En línea o in company
- Inversión
- A consultar
Le respondemos con fechas, formato e inversión.
A quién está dirigido
- DPOs y profesionales de privacidad que van a implementar o mantener un PIMS.
- Responsables de SGSI que quieren integrar la privacidad al sistema de gestión.
- Empresas que tratan datos personales como encargadas del tratamiento y necesitan demostrar cumplimiento a sus clientes.
Lo que usted va a desarrollar
- Mapear los tratamientos (ROPA) y las bases legales y realizar la EIPD.
- Gestionar los derechos de los titulares y los avisos de privacidad.
- Implementar los controles del Anexo A para responsables y encargados del tratamiento y los contratos con terceros.
- Integrar la privacidad al ciclo de desarrollo, a los logs, al enmascaramiento, a la conservación y a la eliminación.
- Medir el cumplimiento: Declaración de Aplicabilidad del PIMS, métricas de LGPD y 27701 y auditorías.
Contenido programático
5 horas
01Fundamentos de la ISO/IEC 27701:2025 y del PIMS
- El PIMS como sistema de gestión propio, certificable sin la ISO/IEC 27001, y la integración con un SGSI existente
- Qué cambió respecto a la edición de 2019 y cómo hacer la transición
- Roles y responsabilidades: responsable y encargado del tratamiento, DPO o Encarregado (figura de la LGPD), dueños de procesos y de datos
- Principios de privacidad y su evidencia (LGPD)
02Estructura de la ISO/IEC 27701:2025
- Cláusulas 4 a 10: requisitos del PIMS (contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora)
- Anexo A: controles de referencia del PIMS para responsables, para encargados y de seguridad de la información comunes a ambos
- Anexo B: orientaciones para la implementación de los controles
- Correspondencia con la ISO/IEC 27001 y 27002 y con los reglamentos de privacidad
03Gobernanza de la privacidad y documentos del PIMS
- Política corporativa de privacidad, normas y procedimientos (arquitectura documental)
- Comité de Privacidad, frecuencia de reuniones, registro de decisiones e integración con el comité de seguridad
- Riesgos de privacidad (integración con la ISO/IEC 27005 y la ISO 31000) y criterios de alto riesgo
04Inventario de tratamientos (ROPA) y bases legales
- Campos mínimos: finalidades, bases legales, categorías, sistemas, terceros, conservación y medidas
- Bases legales de la LGPD y selección con evidencias
- LIA (interés legítimo): finalidad, necesidad y ponderación
- Actualización continua: cambios, nuevos terceros y nuevas finalidades
05EIPD: Evaluación de Impacto relativa a la Protección de Datos
- Disparadores: alto riesgo, datos sensibles y de menores, decisiones automatizadas, monitoreo y nuevas tecnologías
- Estructura: necesidad y proporcionalidad, riesgos para los titulares, medidas de mitigación y decisión
- Aprobación por el DPO o el Comité y revalidación ante cambios sustanciales
06Derechos de los titulares
- Portal y canales, verificación de identidad, plazos y excepciones
- Flujos por derecho: acceso, rectificación, supresión, portabilidad, revocación y revisión de decisiones automatizadas
- Pistas de auditoría y métricas de eficacia
07Responsable del tratamiento: controles del Anexo A
- Transparencia y avisos, finalidad y minimización, privacy by default
- Consentimiento y preferencias; gestión de cookies y SDKs
- Conservación y eliminación; clasificación y ciclo de vida
- Transferencias internacionales: supuestos legales y salvaguardas
- Contratos con encargados: instrucciones, subencargados, seguridad, auditoría, eliminación y devolución
08Encargado del tratamiento: controles del Anexo A
- Tratamiento según las instrucciones del responsable y registro de actividades
- Seguridad y confidencialidad; segregación; notificación de incidentes
- Subencargados: aprobación y control; devolución y eliminación de los datos al finalizar
- Evidencias periódicas al responsable: informes, pruebas y certificaciones
09Privacidad en la ingeniería y en el ciclo de desarrollo
- Requisitos de privacidad en las historias de usuario; modelado de amenazas, incluido LINDDUN
- SAST, DAST, SCA y detección de secretos con verificaciones de privacidad
- Logs con minimización y enmascaramiento; segregación de entornos; policy-as-code en el CI/CD
- Desidentificación: seudonimización, anonimización, tokenización, cifrado y gestión de claves
10Terceros y cadena de suministro
- Due diligence según la criticidad: evidencias, certificaciones, SOC 2, pentest y postura en la nube
- Contrato de tratamiento de datos (DPA) y cláusulas de LGPD: notificación, apoyo a los derechos, eliminación y transferencia
- Monitoreo continuo, SLAs y offboarding seguro, con certificado de destrucción o devolución
11Incidentes con datos personales
- Clasificación de la severidad y del riesgo para el titular; coordinación con SecOps
- Criterios y contenido de la comunicación a los titulares y a la ANPD (autoridad brasileña de protección de datos), cuando corresponda
- Cadena de custodia, comunicación y acciones correctivas; actualización de la EIPD y de los controles
12Continuidad y preparación de las TIC para la privacidad
- RTO y RPO para servicios con datos personales; failover y restore con validación de integridad y seguridad
- Backups inmutables y eliminación coherente con la política de conservación
- Pruebas integradas (tabletops) con escenarios de datos personales
13Métricas, auditorías y Declaración de Aplicabilidad
- KPIs y KRIs: solicitudes de titulares, bases legales evidenciadas, EIPD vigentes, encargados con DPA e incidentes
- Declaración de Aplicabilidad del PIMS (Anexo A) y matriz de cumplimiento entre la LGPD y la 27701
- Auditorías internas y externas, no conformidades y acciones correctivas; excepciones y aceptación del riesgo de privacidad
14Ejemplo simulado y artefactos prácticos
Lo que incluye el curso
- Ejemplo simulado
- Artefactos prácticos
Para su equipo
Este curso también se ofrece en formato in company, presencial o remoto, con un grupo cerrado para su empresa.
Curso Cyber Cultura
ISO 27701: Prácticas de Cumplimiento y Controles
Le respondemos con fechas, formato e inversión.
cyber@cyberconsulting.com.br