Controles sin prueba
Las herramientas compradas y las políticas escritas no bastan cuando el cliente, el auditor o el regulador piden evidencias.
Consultoría
Seguridad de la Información
Seguridad que se demuestra en la auditoría y se sostiene en el día a día.
Elevamos la madurez de seguridad de su empresa, reducimos la exposición a riesgos y preparamos el camino hacia certificaciones como ISO/IEC 27001 y SOC 2. Cada control implementado nace ya con la evidencia que pedirá el auditor.
- ISO/IEC 27001
- ISO/IEC 27002
- ISO/IEC 27005
- NIST CSF 2.0
- NIST RMF
- CIS Controls v8
- SOC 2
El desafío
Seguridad que se demuestra en la auditoría y se sostiene en el día a día.
Prioridades marcadas por el ruido
Sin un mapa de riesgos, la inversión se va al incidente más reciente y no a lo que más expone al negocio.
Programa que pierde fuerza
Después de la certificación, las rutinas, los indicadores y los responsables deben seguir funcionando, o el próximo ciclo empieza desde cero.
Cómo ayudamos
Frentes de trabajo
Elevación de la Seguridad
Objetivo
Elevar rápidamente la madurez en Seguridad de la Información, reduciendo la exposición a riesgos y aumentando la resiliencia, con base en marcos reconocidos (ISO 27001/27002, NIST, CIS Controls y SOC 2) y una arquitectura de Defensa en Profundidad.
Lo que hacemos
Assessment de Seguridad
- Diagnóstico de madurez (personas, procesos y tecnología).
- Mapa de riesgos, activos críticos y terceros.
- Brechas de controles y evidencias, y plan de acción.
ISO/IEC 27001 y 27002
- Alcance y diseño del SGSI (Sistema de Gestión de Seguridad de la Información), con el desarrollo de la gobernanza, las políticas y los procesos.
- SoA y plan de implementación por riesgo.
- Controles implementados con evidencias listas para auditoría.
NIST
- Plan por funciones (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar).
- Controles priorizados según criticidad y entorno.
- Métricas y rutinas de gobernanza para el sostenimiento.
CIS Controls
- Evaluación por controles, salvaguardas y grupo de implementación.
- Quick wins y ejecución incremental con avances medibles.
- Responsables, métricas y auditabilidad.
SOC 2 Readiness
- Gap analysis por Trust Services Criteria.
- Controles operativos y repositorio de evidencias.
- Preparación para la auditoría y el período de observación.
Defensa en Profundidad
- Arquitectura por capas.
- Especificación de las herramientas de cada capa.
- Elaboración de las políticas, los procesos y los controles.
Preparación para certificaciones
Objetivo
Preparar a la empresa para obtener la ISO/IEC 27001 y/o el SOC 2 con el mínimo de retrabajo, estructurando gobernanza, controles y evidencias auditables, con preparación para la auditoría externa y sostenimiento del programa en el día a día.
Lo que hacemos
ISO/IEC 27001: readiness e implementación
- Definición del alcance, el contexto, las partes interesadas y los objetivos del SGSI.
- SoA (Declaración de Aplicabilidad) y plan de tratamiento de riesgos.
- Políticas, normas y procesos esenciales, con roles y responsabilidades.
- Biblioteca de evidencias y preparación para la auditoría (interna, y apoyo en la auditoría externa).
SOC 2: readiness y evidencias
- Diagnóstico por Trust Services Criteria (Seguridad y criterios adicionales, cuando corresponda).
- Diseño y puesta en operación de controles (políticas, procedimientos y rutinas).
- Repositorio de evidencias, pruebas de controles y apoyo durante el período de observación.
- Preparación del "audit pack" y alineación con el auditor independiente.
ISO 27001 y SOC 2 simultáneos
- Mapa de convergencia: controles comunes y requisitos específicos de cada referencial.
- Un único modelo de gobernanza, riesgo y evidencias para atender a ambos.
- Hoja de ruta integrada (quick wins y ruta de madurez), con reducción de costos y duplicidades.
- Gestión del proyecto de principio a fin: cronograma, responsables, puntos de control y readiness final.
Gestión de Riesgos
Objetivo
Implementar y poner en operación un proceso continuo de Gestión de Riesgos Cibernéticos y de Seguridad de la Información, integrando negocio y tecnología para identificar, evaluar, tratar y monitorear riesgos, con criterios claros, evidencias y gobernanza, alineado con la ISO/IEC 27005 y el NIST RMF.
Lo que hacemos
Programa de riesgos cibernéticos y de SI
- Definición del alcance, los activos, los procesos críticos y las dependencias (incluidos los terceros).
- Criterios de riesgo: impacto, probabilidad, apetito, tolerancia y escalas.
- Registro de riesgos, priorización y plan de tratamiento con responsables y plazos.
- KPI y KRI, rituales de comité y seguimiento recurrente.
ISO/IEC 27005: método y operación
- Metodología completa: identificación, análisis, valoración y tratamiento de riesgos.
- Vínculo entre riesgo, control y evidencia, para la auditoría y la mejora continua.
- Modelo de aceptaciones, excepciones, revisión periódica y lecciones aprendidas.
- Integración con el SGSI de la ISO 27001, cuando corresponda.
NIST RMF: gobernanza y controles
- Estructura RMF: categorizar, seleccionar, implementar, evaluar, autorizar y monitorear.
- Selección de controles y línea base según la criticidad y el contexto del entorno.
- Apoyo en paquetes de autorización, aceptación y trazas de evidencia, cuando se exija.
- Monitoreo continuo y gestión de cambios basada en riesgo.
CISO as a Service y GRC
Objetivo
Ofrecer apoyo continuo para sostener y hacer evolucionar el programa de Seguridad de la Información, con gobernanza, priorización por riesgo, ejecución disciplinada y evidencias consistentes, con actuación estratégica y operativa mediante CISO as a Service y soporte recurrente en GRC (Gobernanza, Riesgos y Compliance).
Lo que hacemos
CISO as a Service
- Dirección ejecutiva: estrategia, hoja de ruta, presupuesto y prioridades por riesgo.
- Gobernanza: comités, rituales, reporte a la dirección e indicadores (KPI y KRI).
- Supervisión de controles críticos (IAM, logging, vulnerabilidades, incidentes y copias de seguridad).
- Apoyo en decisiones y crisis: respuesta a incidentes, comunicación y lecciones aprendidas.
- Preparación y acompañamiento de auditorías y certificaciones (ISO 27001 y SOC 2).
GRC recurrente
- Operación del GRC: registro de riesgos, aceptaciones, excepciones y plan de tratamiento.
- Gestión de políticas, normas y evidencias, con control de versiones y auditabilidad.
- Evaluación de cambios (proyectos y proveedores) y de su impacto en riesgos y controles.
- Auditorías internas ligeras (health checks) y verificación de la eficacia de las acciones.
- Integración con las áreas clave (TI, Desarrollo, Infraestructura, Jurídico, Compras y RR. HH.) para la ejecución.
Auditorías
Objetivo
Evaluar, con independencia y evidencias, la eficacia de los controles y la adherencia a los requisitos de la ISO/IEC 27001/27002 y del SOC 2, identificando no conformidades, riesgos y oportunidades de mejora, con un plan de acción objetivo para elevar la madurez antes de las auditorías externas.
Lo que hacemos
Auditoría interna ISO 27001/27002
- Planificación anual y definición del alcance, los criterios y el muestreo.
- Entrevistas, pruebas de controles, revisión documental y validación de evidencias.
- Evaluación de la adherencia al SGSI (contexto, liderazgo, riesgo, operación y mejora).
- Informe de no conformidades, observaciones y recomendaciones priorizadas.
- Apoyo al plan de acción: responsables, plazos y verificación de eficacia.
Auditoría interna SOC 2
- Evaluación del diseño y la operación de los controles por Trust Services Criteria.
- Pruebas de controles y verificación de evidencias para el período de observación.
- Identificación de brechas de auditabilidad (trazabilidad y consistencia).
- Informe ejecutivo, plan de remediación y preparación del "audit pack".
- Nueva prueba de los controles críticos para confirmar las correcciones antes del auditor externo.
Referencias
Normas, leyes y marcos que orientan el trabajo y las evidencias.
- ISO/IEC 27001
- Requisitos del Sistema de Gestión de Seguridad de la Información. Certificable.
- ISO/IEC 27002
- Guía de implementación de los controles de seguridad de la información.
- ISO/IEC 27005
- Directrices para la gestión de riesgos de seguridad de la información.
- NIST CSF 2.0
- Marco de ciberseguridad organizado en seis funciones, de Gobernar a Recuperar.
- NIST RMF
- Marco de gestión de riesgos con un ciclo de selección, evaluación y autorización de controles.
- CIS Controls v8
- Controles priorizados por grupo de implementación, con salvaguardas medibles.
- SOC 2
- Informe de auditoría independiente sobre los Trust Services Criteria.
Formación relacionada
Para el equipo que operará el programa después del proyecto.
En Galáxia
Los sistemas de la Galáxia que sostienen este trabajo después de la consultoría, con el mismo método.
Solicitud de propuesta
¿Medimos la madurez de seguridad de su empresa?
Cuéntenos su contexto y su objetivo, ya sea una certificación, una exigencia de un cliente o la reducción del riesgo. Le respondemos con un primer diseño del alcance.
cyber@cyberconsulting.com.br