Curso Cyber Cultura
Cyber GRC: Estructura, Procesos e Indicadores
Gobernanza, riesgos y compliance de seguridad y privacidad, de principio a fin.
Enseña a estructurar la gobernanza, los procesos y los indicadores para alinear la seguridad y la privacidad con los objetivos de negocio y el cumplimiento.
- Carga horaria
- 5 horas
- Formato
- En línea o in company
- Inversión
- A consultar
Le respondemos con fechas, formato e inversión.
A quién está dirigido
- CISOs, DPOs y gestores que crean o reorganizan un programa de GRC.
- Analistas de riesgos, compliance y auditoría.
- Consultores que estructuran programas de seguridad y privacidad.
Lo que usted va a desarrollar
- Definir el modelo de gobernanza: comités, RACI, tres líneas de defensa e indicadores.
- Operar la gestión de riesgos: catálogo, evaluación, tratamiento, aceptaciones y excepciones.
- Conectar el GRC con SecOps, proyectos, terceros y privacidad (LGPD e ISO/IEC 27701).
- Construir paquetes ejecutivos: one-pager, heatmap y decisiones.
- Establecer el ciclo de auditorías y de mejora continua.
Contenido programático
5 horas
01Fundamentos de GRC en seguridad
- Conceptos y alcance del GRC; relación con el gobierno corporativo y de TI (COBIT)
- Roles y responsabilidades: alta dirección, comités, CISO, DPO y dueños del riesgo
- Tres líneas de defensa aplicadas a la seguridad y la privacidad
02Normas y marcos de referencia
- ISO/IEC 27001 y 27002 (controles)
- ISO/IEC 27005 e ISO 31000 (gestión de riesgos)
- NIST CSF 2.0 y CIS Controls v8
- ISO/IEC 27701 (privacidad)
- ISO 22301 (continuidad) e ISO/IEC 27031 (preparación de las TIC)
- LGPD y panorama regulatorio sectorial
03Estructura de gobernanza de seguridad y privacidad
- Políticas, normas, procedimientos y estándares técnicos
- Comités de seguridad y privacidad y reporte a la alta dirección
- Roles (RACI) y accountability
- Cultura, concienciación y capacitación continua
04Gestión de riesgos cibernéticos
- Criterios: apetito, tolerancia, impacto y probabilidad
- Proceso ISO/IEC 27005 e ISO 31000, del contexto al tratamiento
- Catálogo de amenazas, escenarios y análisis de los controles existentes
- Riesgo de terceros y de la cadena de suministro, incluida la nube
- Riesgos de privacidad y evaluación de impacto (EIPD)
- Riesgo operacional y de continuidad (BIA y dependencias críticas)
- Priorización y hoja de ruta, cualitativa y semicuantitativa
05Cumplimiento y auditorías
- Mapeo de requisitos legales, regulatorios y contractuales
- Declaración de Aplicabilidad y matriz de controles
- Evidencias, pistas de auditoría y gestión de excepciones
- Auditoría interna y externa, no conformidades y acciones correctivas
06Controles, métricas y madurez
- Selección y priorización de controles basada en el riesgo (ISO, NIST y CIS)
- KPIs, KRIs y OKRs ejecutivos; paneles y storytelling de riesgo
- Modelos de madurez y ciclos de mejora continua
- Gobernanza de datos, clasificación y ciclo de vida de la información
07Gestión de terceros y contratos
- Due diligence, criterios de criticidad y evaluaciones periódicas
- Requisitos contractuales de seguridad y privacidad y SLAs
- Monitoreo continuo, evidencias y offboarding de proveedores
08Integración entre GRC, SecOps e ingeniería
- Gestión de vulnerabilidades y parches orientada al riesgo
- Gestión de incidentes, lecciones aprendidas y cambios
- Inventario y CMDB, hardening y DevSecOps
09Continuidad, resiliencia y crisis
- BIA y estrategias de continuidad (ISO 22301)
- Preparación de las TIC (ISO/IEC 27031), DRP y pruebas
- Gestión de crisis, comunicación y partes interesadas
10La privacidad en el programa de GRC
- Programa de privacidad (LGPD): bases legales, derechos y principios
- Privacy by design y by default, minimización y conservación
- Gobernanza del consentimiento, derechos del titular e incidentes con datos personales
11Comunicación ejecutiva y compromiso
- Informes al consejo y a la dirección, heatmaps y escenarios
- Business cases, priorización de inversiones y retorno de la seguridad
12Capacitación y concienciación en seguridad y privacidad
- Fundamentos y referencias
- Estrategia del programa
- Matriz de rutas por perfil
- Currículo mínimo y contenidos clave
- Metodologías y formatos
- Simulaciones y práctica
- Comunicación y compromiso
- Métricas, eficacia y mejora continua
- Gobernanza y evidencias
- Implementación y operación
- Artefactos del curso
13Taller y artefactos prácticos
- Construcción de la matriz de riesgos y de los criterios
- Declaración de Aplicabilidad y matriz de cumplimiento (ejemplo guiado)
- Plan de tratamiento y hoja de ruta trimestral
- Plantilla de dashboard ejecutivo de riesgos y cumplimiento
- Plantillas: Política de Seguridad de la Información, Matriz RACI, due diligence de terceros, checklists de auditoría y EIPD
Lo que incluye el curso
- Taller guiado
- Plantillas de artefactos
Para su equipo
Este curso también se ofrece en formato in company, presencial o remoto, con un grupo cerrado para su empresa.
Curso Cyber Cultura
Cyber GRC: Estructura, Procesos e Indicadores
Le respondemos con fechas, formato e inversión.
cyber@cyberconsulting.com.br