Indicaciones prácticas para la implementación de controles ISO 27001

Descripción general

Descubrirás indicaciones prácticas para implementar los controles del Anexo A de ISO 27001:2022 utilizando ISMS Copilot, desde el diseño de configuraciones técnicas hasta la creación de flujos de trabajo operativos que demuestren una implementación efectiva de controles de seguridad.

A quién va dirigido

Estas indicaciones están diseñadas para:

• Equipos de TI y seguridad que implementan los controles del Anexo A
• Administradores de sistemas que configuran controles de seguridad
• Ingenieros de DevOps que integran la seguridad en la infraestructura
• Profesionales de cumplimiento que documentan la implementación de controles

Antes de comenzar

Indicaciones para controles organizacionales (A.5)

Diseñar roles de seguridad de la información (A.5.1-A.5.3)

"Diseña la estructura organizativa para los roles de seguridad de la información según los controles A.5.1-A.5.3 de ISO 27001:2022. Define: estructura de gobernanza de la seguridad de la información (comités, líneas de reporte), definiciones de roles y responsabilidades (CISO, equipo de seguridad, equipo de TI, unidades de negocio), matriz de segregación de funciones para prevenir conflictos, rutas de escalamiento para decisiones de seguridad, integración con la estructura organizativa general, mecanismos para demostrar el compromiso de la dirección y asignación de recursos para la función de seguridad. Adecuado para [tamaño y estructura de la empresa]."

Implementar sistema de gestión de políticas (A.5.2)

"Diseña un sistema de gestión de políticas para mantener nuestras políticas de ISO 27001 según el control A.5.2. Incluye: estructura del repositorio de políticas y controles de acceso, flujo de trabajo del ciclo de vida de las políticas (borrador, revisión, aprobación, publicación, retiro), control de versiones y seguimiento de cambios, calendario de revisión de políticas y recordatorios, proceso de consulta con partes interesadas, autoridades de aprobación de políticas por tipo, seguimiento de comunicación y acuse de recibo de políticas, gestión de excepciones de políticas e integración con el proceso de incorporación de empleados."

Configurar gestión de activos (A.5.9)

"Implementa un sistema de inventario y gestión de activos para el control A.5.9 de ISO 27001. Diseña: métodos de descubrimiento de activos (escaneo automatizado, registro manual), atributos de activos a rastrear (propietario, clasificación, ubicación, dependencias, estado del ciclo de vida), flujo de trabajo de asignación de propiedad de activos, proceso de etiquetado de clasificación, mecanismos de aplicación de uso aceptable, integración con CMDB o gestión de activos de TI, seguimiento del ciclo de vida de los activos (desde la adquisición hasta la disposición) y paneles de informes para la supervisión de activos."

Diseñar marco de control de acceso (A.5.15-A.5.18)

"Diseña un marco integral de control de acceso para los controles A.5.15-A.5.18 de ISO 27001 utilizando [tu sistema de identidad, ej. Azure AD, Okta]. Incluye: gestión del ciclo de vida de la identidad (aprovisionamiento, cambios, desaprovisionamiento), modelo de control de acceso basado en roles (RBAC) con roles mapeados a funciones laborales, flujo de trabajo de solicitud y aprobación de acceso, estrategia de gestión de acceso privilegiado, mecanismos de autenticación (SSO, MFA, sin contraseña), modelos de autorización (RBAC, ABAC), proceso y calendario de revisión de acceso, e implementación técnica en [tu sistema de directorio]."

Ejemplo: "Diseña un marco integral de control de acceso para los controles A.5.15-A.5.18 utilizando Azure AD con acceso condicional. Nuestro entorno: 200 usuarios, aplicaciones SaaS, infraestructura en la nube de Azure, estaciones de trabajo de acceso privilegiado para administradores."

Indicaciones para controles de personas (A.6)

Crear proceso de selección de seguridad (A.6.1)

"Crea un proceso de selección y verificación de antecedentes para empleados según el control A.6.1 de ISO 27001. Define: requisitos de selección según la sensibilidad del rol (estándar, elevado, privilegiado), verificaciones previas al empleo (antecedentes penales, historial laboral, educación, referencias, crédito para roles financieros), cronograma de selección en el proceso de contratación, requisitos para proveedores de selección de terceros, consideraciones para candidatos internacionales, desencadenantes de selección continua (cambios de rol, incidentes de seguridad), cumplimiento de consentimiento y privacidad del candidato, retención de registros e integración con el flujo de trabajo de incorporación de RR.HH."

Implementar programa de concienciación en seguridad (A.6.3)

"Diseña un programa integral de concienciación y formación en seguridad para el control A.6.3 de ISO 27001. Incluye: formación básica en concienciación de seguridad (temas de contenido, método de entrega, duración, frecuencia), lista de verificación de orientación en seguridad para nuevos empleados, rutas de formación basadas en roles (desarrolladores, administradores, gerentes, todo el personal), programa de simulación de phishing (frecuencia, niveles de dificultad, desencadenantes de formación correctiva), estrategia de comunicaciones de seguridad (boletines, alertas, campañas), medición de la efectividad de la formación (cuestionarios, encuestas, correlación con incidentes), integración con el sistema de gestión del aprendizaje y seguimiento y generación de informes de cumplimiento."

Configurar proceso disciplinario (A.6.4)

"Desarrolla un proceso disciplinario para violaciones de políticas de seguridad según el control A.6.4 de ISO 27001. Define: categorías de violaciones y niveles de gravedad, procedimientos de investigación para violaciones sospechosas, acciones disciplinarias por tipo de violación (advertencia, suspensión, terminación), autoridades de escalamiento y aprobación, requisitos de documentación, derechos del empleado y debido proceso, integración con los procedimientos disciplinarios de RR.HH., privacidad y confidencialidad durante las investigaciones y protocolos de comunicación para casos sensibles."

Indicaciones para controles físicos (A.7)

Diseñar controles de acceso físico (A.7.1-A.7.2)

"Diseña controles de seguridad física para nuestras instalaciones según los controles A.7.1-A.7.2 de ISO 27001. Incluye: definición del perímetro de seguridad y barreras físicas, puntos de entrada y mecanismos de control de acceso (lectores de tarjetas, biometría, esclusas), proceso de gestión de visitantes (registro, escolta, devolución de tarjetas), zonas de seguridad y restricciones de acceso (público, empleado, restringido, sala de servidores), sistemas de vigilancia (ubicación de CCTV, grabación, retención), dotación de personal de seguridad y procedimientos de patrulla, procedimientos de acceso fuera de horario e integración entre sistemas de acceso físico y lógico."

Implementar seguridad de equipos (A.7.7-A.7.8)

"Crea procedimientos de escritorio limpio, pantalla limpia y seguridad de equipos para los controles A.7.7-A.7.8 de ISO 27001. Define: requisitos de escritorio limpio (al final del día, manejo de material confidencial), políticas de pantalla limpia (bloqueo por tiempo de inactividad, pantallas de privacidad, posicionamiento del monitor), disposiciones de almacenamiento seguro (gabinetes cerrados, cajas fuertes), ubicación de equipos para evitar visualización no autorizada, restricciones en áreas de visitantes, aplicabilidad al trabajo remoto, verificaciones de auditoría y cumplimiento, formación y recordatorios para empleados y mecanismos de aplicación."

Diseñar proceso de eliminación segura (A.7.10, A.7.14)

"Implementa un proceso de eliminación segura para equipos y medios según los controles A.7.10 y A.7.14 de ISO 27001. Incluye: tipos de medios dentro del alcance (papel, discos duros, SSD, unidades USB, dispositivos móviles, cintas de respaldo), métodos de eliminación por tipo de medio (trituración, desmagnetización, borrado criptográfico, destrucción física), procedimientos de verificación de saneamiento de datos, requisitos de certificado de destrucción, gestión y supervisión de proveedores de eliminación, registros de auditoría y seguimiento de eliminación, flujo de trabajo de aprobación de eliminación para sistemas sensibles y cumplimiento ambiental y normativo."

Indicaciones para controles tecnológicos (A.8)

Configurar autenticación segura (A.8.5)

"Implementa controles de autenticación segura para el control A.8.5 de ISO 27001 utilizando [tu proveedor de identidad]. Configura: inscripción y aplicación de autenticación multifactor (MFA) por nivel de riesgo del usuario, métodos de autenticación (aplicaciones autenticadoras, tokens de hardware, biometría, SMS como respaldo), políticas de acceso condicional (ubicación, dispositivo, nivel de riesgo), inicio de sesión único (SSO) para aplicaciones integradas, gestión de sesiones (tiempo de espera, sesiones concurrentes), autenticación de cuentas de servicio, autenticación y autorización de API, opciones de autenticación sin contraseña y monitoreo de fallos de autenticación y anomalías."

Ejemplo: "Implementa autenticación segura para el control A.8.5 utilizando Azure AD. Configura MFA para todos los usuarios, acceso condicional basado en riesgo de inicio de sesión, cumplimiento del dispositivo y ubicación. Habilita la autenticación sin contraseña para ejecutivos utilizando Windows Hello y claves FIDO2."

Diseñar gestión de acceso privilegiado (A.8.2-A.8.3)

"Implementa un sistema de gestión de acceso privilegiado para los controles A.8.2-A.8.3 de ISO 27001. Diseña: inventario y clasificación de cuentas privilegiadas, flujo de trabajo de solicitud y aprobación de acceso privilegiado (acceso justo a tiempo), estaciones de trabajo de acceso privilegiado (PAW) para tareas administrativas, grabación y monitoreo de sesiones para actividades privilegiadas, almacenamiento de contraseñas para credenciales privilegiadas (usando [solución PAM]), rotación automática de contraseñas, procedimientos de emergencia de acceso de ruptura de cristal, revisiones y recertificación de acceso privilegiado y registro de auditoría de actividades privilegiadas."

Implementar restricción de acceso (A.8.1)

"Configura restricciones de acceso a la red y la información para el control A.8.1 de ISO 27001. Implementa: estrategia de segmentación de red y microsegmentación, reglas de firewall basadas en el principio de mínimo privilegio, controles de acceso a nivel de aplicación (autenticación, autorización), restricciones de acceso a datos por nivel de clasificación, mecanismos de aplicación de necesidad de conocer, segregación de entornos de desarrollo, pruebas y producción, controles de acceso remoto (VPN, confianza cero, acceso condicional) y registro y monitoreo de acceso para todos los recursos restringidos."

Configurar seguridad de sistemas de información (A.8.9-A.8.11)

"Implementa la gestión de configuración y el endurecimiento para los controles A.8.9-A.8.11 de ISO 27001. Incluye: configuraciones de referencia de seguridad para [tus sistemas operativos/plataformas], mantenimiento de la base de datos de gestión de configuración (CMDB), estándares y listas de verificación de endurecimiento, detección y corrección de desviaciones de configuración, plantillas de configuración segura para nuevos sistemas, auditorías regulares de configuración, control de cambios para modificaciones de configuración, copia de seguridad y recuperación de configuraciones e integración con la gestión de vulnerabilidades para identificar configuraciones incorrectas."

Diseñar prevención de fuga de datos (A.8.12)

"Implementa controles de prevención de fuga de datos para el control A.8.12 de ISO 27001. Diseña: integración con la clasificación de datos (etiquetado automático), políticas DLP para diferentes tipos de datos (PII, datos de pago, propiedad intelectual, confidencial), canales de monitoreo (correo electrónico, web, USB, aplicaciones en la nube, impresión), acciones de las políticas (alerta, bloqueo, cifrado, cuarentena), formación de usuarios para alertas DLP, flujo de trabajo de excepciones y aprobación de políticas DLP, respuesta a incidentes para violaciones de DLP y métricas de efectividad y ajuste de DLP."

Implementar controles de copia de seguridad (A.8.13)

"Configura un sistema de copia de seguridad y recuperación para el control A.8.13 de ISO 27001. Implementa: alcance de la copia de seguridad (todos los sistemas y datos críticos), frecuencia de copia de seguridad por nivel de sistema (continua, cada hora, diaria, semanal), política de retención de copias de seguridad (GFS - Abuelo-Padre-Hijo), almacenamiento de copias de seguridad (en sitio, fuera de sitio, en la nube), cifrado de copias de seguridad en tránsito y en reposo, verificación de integridad de las copias de seguridad, calendario de pruebas de restauración, monitoreo automatizado de copias de seguridad y alertas, e integración con recuperación ante desastres con objetivos de RTO/RPO."

Configurar registro y monitoreo (A.8.15-A.8.16)

"Implementa un registro y monitoreo integral para los controles A.8.15-A.8.16 de ISO 27001 utilizando [tu herramienta SIEM]. Configura: fuentes de registro y tipos de eventos a recopilar (autenticación, acceso, cambios, eventos de seguridad, errores), centralización y agregación de registros en el SIEM, retención de registros por tipo de registro y requisitos normativos, protección de registros (integridad, control de acceso, cifrado), reglas de monitoreo y alerta en tiempo real, casos de uso de seguridad y lógica de detección, procedimientos y responsabilidades de revisión de registros, flujos de trabajo de investigación de incidentes y panel de monitoreo para operaciones de seguridad."

Ejemplo: "Implementa registro y monitoreo para los controles A.8.15-A.8.16 utilizando Microsoft Sentinel. Recopila registros de Azure AD, Office 365, recursos de Azure, AD local, firewalls y endpoints. Configura detección para fuerza bruta, escalada de privilegios, exfiltración de datos y malware."

Diseñar controles criptográficos (A.8.24)

"Implementa controles criptográficos para el control A.8.24 de ISO 27001. Configura: cifrado para datos en reposo (bases de datos, almacenamiento de archivos, copias de seguridad) utilizando [método de cifrado], cifrado para datos en tránsito (TLS 1.2+, suites de cifrado aprobadas), sistema de gestión de claves (generación, almacenamiento, rotación, destrucción), custodia de claves de cifrado para escenarios de recuperación, gestión de certificados digitales y PKI, algoritmos criptográficos y longitudes de clave aprobados, cifrado en la nube (claves gestionadas por el cliente vs. gestionadas por el proveedor) y auditoría y verificación de cumplimiento de controles criptográficos."

Implementar gestión de vulnerabilidades (A.8.8)

"Diseña un programa de gestión de vulnerabilidades para el control A.8.8 de ISO 27001 utilizando [tus herramientas de escaneo]. Implementa: calendario de escaneo de vulnerabilidades (escaneos autenticados semanales para sistemas críticos, mensuales para todos los sistemas), cobertura de escaneo (red, aplicaciones, contenedores, infraestructura en la nube), clasificación de gravedad de vulnerabilidades y SLA (críticas en 24 horas, altas en 7 días, medias en 30 días), flujo de trabajo de gestión de parches y pruebas, controles compensatorios para sistemas no parcheables, manejo de divulgación de vulnerabilidades, métricas e informes para la dirección e integración con la gestión de activos y cambios."

Configurar desarrollo seguro (A.8.25-A.8.31)

"Implementa un ciclo de vida de desarrollo seguro para los controles A.8.25-A.8.31 de ISO 27001. Diseña: requisitos de seguridad en el proceso de desarrollo, modelado de amenazas para nuevas funcionalidades, estándares de codificación segura para [tus lenguajes de programación], proceso de revisión de código con enfoque en seguridad, pruebas de seguridad de aplicaciones estáticas (SAST) en la canalización de CI/CD, pruebas dinámicas (DAST) antes de la implementación, escaneo de dependencias y bibliotecas de terceros, pruebas de seguridad en la fase de QA, gestión de datos de desarrollo/pruebas (enmascaramiento de datos, datos sintéticos) y verificaciones de seguridad en la implementación en producción."

Diseñar gestión de cambios (A.8.32)

"Implementa un sistema de gestión de cambios para el control A.8.32 de ISO 27001 utilizando [tu herramienta de gestión de cambios]. Configura: proceso de solicitud y aprobación de cambios, categorización de cambios (estándar, normal, emergencia), evaluación de riesgos para los cambios, proceso de la junta asesora de cambios (CAB), requisitos de pruebas antes de la implementación, ventanas de implementación y períodos de bloqueo, procedimientos y criterios de reversión, revisión posterior a la implementación, proceso de cambios de emergencia con aprobación retroactiva y análisis y métricas de cambios (tasa de éxito, incidentes causados por cambios)."

Indicaciones para la implementación de gestión de incidentes

Crear capacidad de respuesta a incidentes (A.5.24-A.5.28)

"Implementa un programa de respuesta a incidentes de seguridad para los controles A.5.24-A.5.28 de ISO 27001. Diseña: fuentes de detección de incidentes (SIEM, EDR, informes de usuarios, inteligencia de amenazas), clasificación y niveles de gravedad de incidentes, estructura del equipo de respuesta a incidentes y rotación de guardia, guías de respuesta a incidentes por tipo de incidente (ransomware, filtración de datos, DDoS, amenaza interna), procedimientos de recolección de evidencia y forenses, plan de comunicación (escalamiento interno, notificación a clientes, reporte regulatorio), sistema de seguimiento y gestión de casos de incidentes, proceso de revisión posterior al incidente y lecciones aprendidas, y ejercicios de simulación y pruebas de respuesta a incidentes."

Configurar detección de eventos de seguridad (A.8.16)

"Diseña la detección y respuesta a eventos de seguridad utilizando [tus herramientas SIEM/EDR]. Implementa: casos de uso de seguridad y reglas de detección (anomalías de autenticación, movimiento lateral, exfiltración de datos, escalada de privilegios, ejecución de malware), integración de inteligencia de amenazas, análisis de comportamiento y aprendizaje automático para la detección de anomalías, ajuste de alertas y reducción de falsos positivos, flujo de trabajo de triaje e investigación de alertas, acciones de respuesta automatizadas (deshabilitar cuenta, poner en cuarentena, bloquear IP), guías del SOC para escenarios comunes y seguimiento y mejora del MTTR (tiempo medio de respuesta)."

Indicaciones para la implementación de continuidad del negocio

Diseñar programa de continuidad del negocio (A.5.29-A.5.30)

"Implementa un programa de continuidad del negocio y recuperación ante desastres para los controles A.5.29-A.5.30 de ISO 27001. Crea: análisis de impacto en el negocio (BIA) para identificar funciones críticas, objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) por función de negocio, estrategias de continuidad (redundancia, conmutación por error, soluciones alternativas, procesos manuales), sitios alternativos de procesamiento o DR en la nube, planes de comunicación durante interrupciones, roles y responsabilidades del equipo de BC, calendario de pruebas del plan de BC (simulación anual, prueba completa cada 2 años), desencadenantes de mantenimiento del plan e integración con la respuesta a incidentes y gestión de crisis."

Implementar continuidad de las TIC (A.8.14)

"Diseña la continuidad y redundancia de las TIC para el control A.8.14 de ISO 27001. Implementa: redundancia de sistemas y alta disponibilidad para sistemas críticos, mecanismos de conmutación por error automatizados, replicación de datos (sincrónica para críticos, asincrónica para otros), sitio de recuperación ante desastres o región en la nube, verificación de RTO y RPO mediante pruebas, procedimientos de retorno al sitio principal una vez recuperado, redundancia de proveedores para servicios críticos e integración con los procesos de restauración de copias de seguridad del control A.8.13."

Indicaciones para la implementación de gestión de proveedores

Diseñar programa de seguridad de proveedores (A.5.19-A.5.23)

"Implementa un programa de gestión de seguridad de terceros para los controles A.5.19-A.5.23 de ISO 27001. Crea: clasificación de riesgo de proveedores (alto/medio/bajo según el acceso a datos y criticidad), proceso de evaluación de seguridad de proveedores y cuestionario, requisitos de seguridad en el proceso de adquisición, requisitos contractuales de seguridad (controles de seguridad, derechos de auditoría, notificación de incidentes, obligaciones de cumplimiento), verificación de seguridad en la incorporación de proveedores, monitoreo y revisiones de desempeño continuo de proveedores, gestión y restricciones de acceso de proveedores, coordinación de respuesta a incidentes con proveedores y procedimientos de baja de proveedores y devolución de datos."

Configurar seguridad de servicios en la nube (A.5.23)

"Implementa controles de seguridad para servicios en la nube según el control A.5.23 de ISO 27001 para [tus proveedores de nube]. Aborda: comprensión y documentación del modelo de responsabilidad compartida, verificación de seguridad del proveedor de nube (SOC 2, ISO 27001, FedRAMP), configuraciones de seguridad específicas de la nube (IAM, cifrado, red, registro), requisitos de soberanía y residencia de datos, herramientas de gestión de postura de seguridad en la nube (CSPM), agente de seguridad de acceso a la nube (CASB) si se utilizan múltiples SaaS, consistencia de seguridad en múltiples nubes y coordinación de respuesta a incidentes con el proveedor de nube."

Indicaciones para la implementación de cumplimiento y legal

Implementar controles de privacidad (A.5.33-A.5.34)

"Diseña un programa de protección de la privacidad para los controles A.5.33-A.5.34 de ISO 27001 y el cumplimiento del GDPR. Implementa: proceso de cumplimiento de los derechos de los interesados (acceso, rectificación, supresión, portabilidad), privacidad por diseño en nuevos proyectos y sistemas, desencadenantes y proceso de evaluaciones de impacto en la privacidad (PIA), gestión del consentimiento para marketing y procesamiento opcional, registros e inventario de procesamiento de datos, automatización de retención y eliminación de datos, mecanismos de transferencia transfronteriza (SCC, decisiones de adecuación) y responsabilidades del delegado de protección de datos (DPO) o equipo de privacidad."

Diseñar gestión de cumplimiento (A.5.31)

"Implementa un sistema de gestión de cumplimiento para el control A.5.31 de ISO 27001. Crea: inventario de obligaciones de cumplimiento (requisitos legales, regulatorios, contractuales), mapeo de monitoreo y control de cumplimiento, calendario de evaluación de cumplimiento, proceso de monitoreo de cambios regulatorios, formación en cumplimiento para el personal relevante, informes de cumplimiento a la dirección y la junta, evaluación de riesgos de cumplimiento, verificación externa de cumplimiento (auditorías, evaluaciones) y retención de registros como evidencia de cumplimiento según [regulaciones aplicables]."

Indicaciones para pruebas y verificación

Diseñar pruebas de efectividad de controles

"Crea un programa de pruebas y validación de controles para verificar la efectividad de los controles del Anexo A. Para el control [número de control], diseña: objetivos y alcance de las pruebas, metodología de prueba (revisión de documentos, observación, pruebas técnicas, reejecución), enfoque de muestreo y tamaño de la muestra, frecuencia de las pruebas (monitoreo continuo, trimestral, anual), evidencia esperada y criterios de aprobación/rechazo, herramientas de prueba y automatización, requisitos de independencia del evaluador, informe de deficiencias y remediación, y documentación de pruebas como evidencia de auditoría."

Realizar recorrido de control

"Crea un documento de recorrido de control para el control del Anexo A [número y nombre del control]. Incluye: descripción y objetivo del control, referencias de políticas y procedimientos, flujo de proceso paso a paso (narrativa y diagrama), roles y responsabilidades en cada paso, sistemas y herramientas involucrados, entradas y salidas, puntos de control y verificaciones, excepciones y escalamientos, y evidencia generada por el control. Utiliza esto para capacitar al personal y demostrar a los auditores."

Indicaciones para integración y automatización

Automatizar implementación de controles

"Diseña la automatización para el control ISO 27001 [número de control] utilizando [tus herramientas de automatización, ej. PowerShell, Terraform, Ansible]. Crea: objetivos y alcance de la automatización, enfoque de implementación técnica, scripts de automatización o infraestructura como código, pruebas y validación de la automatización, manejo de errores y reversión, programación y orquestación, registro y pista de auditoría de acciones automatizadas, puntos de intervención manual y documentación para el mantenimiento y solución de problemas de la automatización."

Integrar herramientas de seguridad

"Diseña una estrategia de integración para herramientas de seguridad que apoyen los controles de ISO 27001. Integra: proveedor de identidad (AD/Azure AD/Okta), SIEM (Splunk/Sentinel/Chronicle), EDR (CrowdStrike/Defender/SentinelOne), escáner de vulnerabilidades (Qualys/Rapid7/Tenable), solución PAM, herramienta DLP, CASB y sistema de tickets. Para cada integración: define flujos de datos, configuraciones de API, flujos de trabajo de alertas, oportunidades de automatización e informes de panel unificado."

Consejos para utilizar estas indicaciones de manera efectiva

Bibliotecas de indicaciones relacionadas

Completa tu implementación de ISO 27001 con estas colecciones de indicaciones relacionadas:

• [Indicaciones para la evaluación de riesgos de ISO 27001](/ISO 27001 prompt library)
• [Indicaciones para políticas y procedimientos de ISO 27001](/ISO 27001 prompt library)
• [Indicaciones para la preparación de auditorías de ISO 27001](/ISO 27001 prompt library)
• [Biblioteca de indicaciones para SOC 2](/SOC 2 prompt library)

Obtener ayuda

Para obtener apoyo con la implementación de controles:

• Comprende los requisitos: Revisa la guía de evaluación de riesgos de ISO 27001 para ver qué controles abordan tus riesgos
• Crea documentación: Utiliza las [indicaciones para políticas y procedimientos](/ISO 27001 prompt library) para documentar tus implementaciones
• Usa IA de manera responsable: Lee Cómo usar ISMS Copilot de manera responsable para obtener orientación de implementación