Servicios de auditoría y cumplimiento en materia de ciberseguridad
El cumplimiento normativo y la seguridad no son lo mismo, y tratarlos como si fueran intercambiables es la razón por la que las organizaciones acaban obteniendo un informe de auditoría sin incidencias y, unos meses más tarde, sufren una brecha de seguridad real. Una auditoría de cumplimiento le indica si cumple con un conjunto definido de controles sobre el papel. No le indica necesariamente si su postura de seguridad real resistiría ante un atacante real. Realizo este trabajo porque la auditoría en sí misma tiene valor, pero no permito que la lista de comprobación se convierta en el único tema de conversación.
Tanto si está trabajando para cumplir con un marco específico —SOC 2, HIPAA, PCI DSS, NIST o un cuestionario de seguridad elaborado por el cliente— como si simplemente desea una evaluación honesta e independiente de su situación actual, el proceso es similar: determinar qué se requiere realmente, evaluar su estado actual en relación con dichos requisitos y subsanar las deficiencias de manera que se mejore la seguridad real, y no solo el papeleo.
Cómo llevo a cabo una auditoría
Comienzo por el requisito real, sea cual sea el marco o la obligación contractual que lo motive, y comparo con honestidad sus controles actuales con dicho requisito. Esto implica señalar las deficiencias incluso cuando resulten incómodas; un programa de cumplimiento que solo comunique buenas noticias a la dirección no está cumpliendo con su función. A partir de ahí, establezco las prioridades de corrección en función del riesgo real y del calendario de auditoría, y no simplemente de lo que resulte más fácil de solucionar en primer lugar.
También trabajo con vistas a la sostenibilidad. Un programa de cumplimiento que pone al equipo a punto justo antes de una auditoría anual y luego se descuida durante el resto del año no cumple realmente con la normativa, sino que se limita a simular el cumplimiento una vez al año. Prefiero ayudar a establecer un seguimiento continuo y revisiones internas periódicas para que la diferencia entre «lo que dice la auditoría» y «lo que realmente ocurre» sea mínima.
¿A quién va dirigido?
Si se enfrenta por primera vez a un requisito de marco normativo, a un contrato con un cliente que exige una certificación específica o, simplemente, desea obtener una valoración objetiva sobre la situación real de su programa de seguridad en relación con un estándar reconocido, este es el punto de partida adecuado.
Póngase en contacto con nosotros y hablemos sobre el marco normativo o los requisitos a los que debe ajustarse en su trabajo.