Gobernanza y riesgos
Todo lo que he escrito sobre gobernanza y riesgos, empezando por los artículos de investigación. Cada uno de ellos termina con algo que puede poner en práctica el lunes.
¿Se enfrenta a alguno de estos problemas? Trabajo con organizaciones que necesitan respuestas, no otra presentación. Hablemos.
Qué incluye un artículo breve de cinco enfoques
La mayoría de los temas se presentan en una página con cinco secciones breves, siempre en este orden. Cada una tiene su propio color dentro del artículo para que pueda ir directamente a la que necesite.
- 1Por dónde empezaría: el primer paso que daría y la pregunta que haría antes de gastar nada.
- 2Dónde fallan los planes: dónde suelen venirse abajo los planes sobre este tema y qué supuesto pondría primero a prueba.
- 3Más allá de la jerga: qué significa realmente el tema cuando quitamos el lenguaje comercial de los proveedores.
- 4Cómo se ve un buen resultado: qué resultado demostraría que funcionó y qué cifra vigilaría.
- 5La decisión que los líderes no pueden eludir: la decisión que debe asumir la dirección y qué información necesita para tomarla.
Contráteme a un responsable de seguridad →
Servicios relacionados: NIST Cybersecurity Framework, ISO/IEC 27001, CMMC, Evaluaciones de riesgos de seguridad, Cumplimiento de la norma PCI-DSS, Cumplimiento de la norma SOC 2.
-
¿Cómo se establece una carga de trabajo sostenible para un equipo de seguridad?
Establezca la carga de trabajo del equipo de seguridad en función de la demanda recurrente, la escasez de competencias y la capacidad de gestión de incidentes. Utilice límites de admisión explícitos, medidas honestas de las colas de espera y compensaciones operativas.
-
¿Cómo se comprueba un flujo de trabajo de IA que indica que ha terminado, pero que en realidad se equivoca?
Pruebe la finalización errónea de la IA con comprobaciones independientes de los resultados, casos de fallo realistas, evaluadores calibrados y controles de lanzamiento que pongan de manifiesto los errores con consecuencias.
-
¿Cómo se convierte una evaluación de brechas de ciberseguridad en un plan de corrección?
Convierta los resultados de la evaluación en un plan de corrección fundamentado que incluya comprobaciones de evidencia, dependencias compartidas, dotación de personal realista y criterios de aceptación verificables.
-
¿Qué evidencia se requiere para cerrar una excepción de seguridad?
Descubra qué evidencia permite cerrar una excepción de seguridad: pruebas de control adaptadas al alcance, supuestos actuales, revisión responsable y decisiones claras sobre el riesgo residual.
-
¿Qué evidencia debe comprobar antes de firmar una solicitud de seguro de ciberriesgos?
Verifique las respuestas del seguro de ciberriesgos contrastándolas con los sistemas reales, las rutas de acceso, los resultados de las pruebas y las excepciones antes de la firma, mediante un método reproducible de evidencia de control.
-
¿Qué evidencia de seguridad debería exigir antes de aprobar a un proveedor crítico?
Evalúe a los proveedores críticos más allá de los cuestionarios: haga coincidir la evidencia con el servicio, compruebe las afirmaciones relevantes, resuelva las excepciones y defina las condiciones de aprobación.
-
¿A quién pertenece un nombre de host una vez que se retira su servicio?
Retire los nombres de host expuestos sin dejar DNS sin resolver ni acceso a proveedores de confianza. Asigne responsabilidades, ordene los cambios y verifique qué se ha cerrado realmente.
-
Su evaluación de brechas de ciberseguridad ha finalizado. ¿Y ahora qué?
Una evaluación de las deficiencias en materia de ciberseguridad solo resulta útil cuando sus conclusiones dan lugar a cambios en los presupuestos, la responsabilidad, las prioridades y las decisiones operativas.
-
Un análisis de brechas de ciberseguridad que realmente le indica qué debe corregir
He leído suficientes informes de seguridad como para saber que un centenar de hallazgos pueden dejar a un directivo con menos respuestas que al inicio de la evaluación. Un análisis de deficiencias...
-
Informes sobre ciberseguridad para el consejo de administración
No comenzaría la presentación de informes sobre ciberseguridad al consejo de administración adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable a quien rendir cuentas y una...
-
Liderazgo en crisis cibernéticas
No comenzaría el liderazgo en crisis cibernéticas adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de actuación, el responsable a quien rendir cuentas y, a continuación...
-
Preparación para los seguros de ciberriesgos
No comenzaría la preparación para el seguro de ciberriesgos adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable y...
-
Aceptación del riesgo por parte de la dirección
No comenzaría el proceso de aceptación de riesgos por parte de la dirección con la adquisición de otra plataforma ni con la puesta en marcha de un programa de gran envergadura. Lo primero que haría sería determinar el ámbito de aplicación, identificar al responsable y...
-
Análisis de deficiencias
No comenzaría el análisis de deficiencias adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable y un escenario...
-
Aplicación de políticas
No comenzaría la aplicación de las políticas adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Determinaría el ámbito de aplicación, el responsable y un esc...
-
Presupuestación de la seguridad
No comenzaría a elaborar el presupuesto de seguridad adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Lo primero que haría sería determinar el ámbito de aplicación, identificar al responsable y establecer un...
-
Planes de acción en materia de seguridad
No comenzaría a elaborar hojas de ruta de seguridad adquiriendo otra plataforma o poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de actuación, el responsable y un escenario...
-
La excepción de seguridad que se convirtió en permanente
Las excepciones son inevitables. Un sistema heredado no puede admitir un control, un proveedor necesita un acceso inusual o un plazo límite hace que una solución adecuada resulte poco práctica.
-
El registro de riesgos que nadie lee
La mayoría de los registros de riesgos son de solo escritura. Las entradas se introducen durante una auditoría, se les asigna un color y permanecen ahí hasta que la siguiente auditoría cambie dicho color. Nadie decide nada...
-
Gobernanza de proveedores
No comenzaría la gobernanza de proveedores adquiriendo otra plataforma ni poniendo en marcha un programa de gran envergadura. Buscaría el ámbito de actuación, el responsable y un escenario...
-
¿Cuándo es seguro conectar la red de una empresa adquirida?
Decida qué flujos de trabajo de adquisición pueden conectarse de forma segura comprobando el alcance de la red, la confianza en la identidad, la administración heredada, la supervisión y la capacidad de desconexión.
-
Ya tiene el informe de la prueba de penetración. ¿Y ahora qué?
El informe ya está disponible; tiene cuarenta páginas y presenta tres puntos críticos, once aspectos positivos y una larga cola. A continuación, pasa a un sistema de seguimiento y la siguiente prueba detecta la mayor parte de los...
-
Su evaluación de brechas de ciberseguridad ha finalizado. ¿Y ahora qué?
La evaluación ha concluido, se han presentado los resultados y todos coinciden en que queda trabajo por hacer. Tres meses después, los aspectos de alto riesgo siguen sin resolverse...
No hay resultados. Pruebe con otra palabra o pregúnteme directamente.