Análisis del curso “ISO 27001 Implementa Seguridad de la Información paso a paso” de Grover Vásquez: ¿vale la pena?

Qué promete y qué encontré al analizarlo

ISO 27001 Implementa Seguridad de la Información paso a paso, de Grover Vásquez, promete enseñarte a interpretar e implementar la norma con ejemplos, plantillas y los cambios de 2022. Es el curso de ISO 27001 en español con más reseñas de los que revisamos: 3,227, con un 4.63. Se creó en 2021 y se actualizó el 27 de abril de 2026; son 9.9 horas en 110 clases.

Su temario sigue el ciclo PDCA (planificar, hacer, verificar, actuar), de la preparación del proyecto a la auditoría interna y la mejora, con hora y media de gestión de riesgos. El problema está en los controles: el curso recorre el Anexo A con los 14 dominios de la edición 2013, ya retirada, y deja los cambios de la vigente, la de 2022, para una sección aparte de 74 minutos.

El temario, en resumen

• Arranque y preparación (30 elementos, 2.2 h): qué es un sistema de gestión de seguridad de la información (SGSI), cómo convencer a la alta dirección, análisis de brecha, costos y documentos obligatorios, con 2 cuestionarios.
• Plan (20, 1.9 h): contexto, partes interesadas y alcance, política, objetivos, roles, recursos, concientización, comunicación y documentos, con 4 prácticas.
• Riesgos (12, 1.6 h): metodología, activos, amenazas y vulnerabilidades, análisis, tratamiento, Declaración de Aplicabilidad y plan de tratamiento.
• Do y Check-Act (28, 2.9 h): operación del SGSI, los 14 dominios del Anexo A de 2013, medición, auditoría interna, revisión por la dirección y mejora.
• Actualización 2022 y cierre (22, 1.3 h): cláusulas nuevas y modificadas, reorganización del Anexo A, una clase por cada control nuevo (11) y otra sobre certificaciones.

Puntos fuertes

• Todo el ciclo, cláusula por cláusula. Las secciones 4, 5 y 7 explican los requisitos con su número de cláusula, del contexto (4.1) a la mejora. Como ingeniero, valoro que puedas seguirlo con la norma abierta.
• Riesgos con método. La sección de riesgos (12 clases, 94 minutos) los trata en 6 pasos, de la metodología a la Declaración de Aplicabilidad y el plan de tratamiento. Es el corazón de un SGSI: de ahí salen los controles que aplicas.
• El lado de negocio. Hay clases para convencer a la alta dirección, entender la brecha entre TI y el negocio, elegir cómo implementar la norma y estimar duración y costo. Sin apoyo de la dirección ni un alcance claro, un SGSI no pasa del papel.
• Prácticas y material para tu SGSI. Las 4 prácticas resuelven partes interesadas, alcance, política y objetivos, y las 8 secciones de contenido traen su material descargable (15 recursos, según Udemy).

Aspectos mejorables

• El Anexo A es el de 2013. La sección 6 recorre sus 14 dominios en 14 clases y 98 minutos. La edición 2022 los reorganiza en 4 temas y 93 controles, y la de 2013 figura como retirada en iso.org. Ojo: A.7 era recursos humanos y hoy son los controles físicos.
• La versión 2022, como añadido. Su sección dedica 11 minutos a las cláusulas que cambian, casi 4 a la reorganización del Anexo A y unos 52 a los 11 controles nuevos; los otros 82 no tienen clase con su número actual. En la sección 7, la cláusula 10 sigue numerada como en 2013, y ningún título menciona la enmienda de 2024 sobre cambio climático.
• Poca práctica evaluada. Hay 2 cuestionarios, de 7 y 3 preguntas, en las dos primeras secciones, y las 4 prácticas son videos con ejemplos resueltos, no tareas. Riesgos, controles y auditoría no tienen práctica ni cuestionario, y los subtítulos son automáticos.
• Auditoría y revisión, una clase cada una. La auditoría interna ocupa 7:24 y la revisión por la dirección, 6:41: bastan para entender qué exige la norma, no para planear un programa de auditoría. Ningún título trata ISO 19011, la guía para auditar sistemas de gestión.

Conclusión honesta

Este curso es una buena guía para entender cómo se implementa un SGSI, con el orden del proyecto, los riesgos y el lado de negocio bien resueltos, pero no integra la norma vigente.

Úsalo con ISO/IEC 27001:2022 al lado y arma tu Declaración de Aplicabilidad con sus 93 controles y la tabla de correspondencia de ISO/IEC 27002:2022. La norma tiene salida laboral: según nuestra guía sobre cuánto gana un ingeniero en ciberseguridad, el 2 de octubre de 2026 OCC mostraba 221 anuncios que la mencionaban. Para los controles técnicos, sigue con Ciberseguridad Defensiva, y si desarrollas software, con Desarrollo de Software Seguro.

Preguntas frecuentes