Programa de seguridad de la información
Preparación y sostenimiento con ISO/IEC 27001 y 27701, NIST CSF 2.0 o CIS Controls v8.1.
- 01EL PROBLEMAPresión de clientes o contratos por un sistema de gestión de seguridad, sin saber por dónde empezar.
- 02PARA QUIÉNOrganizaciones que necesitan estructurar controles y producir evidencias de seguridad y privacidad.
- 03RESULTADO BUSCADOSistema de gestión implementado, controles con evidencia y seguimiento que sostiene auditorías.
Qué cambia para quien decide.
- PARA ELCEOResponder a clientes y contratos“Clientes y contratos piden un sistema de gestión de seguridad que la empresa no logra demostrar.”Un sistema de gestión implementado, con evidencia para responder a quien pregunte.
- PARA ELCFOInversión donde importa“Controles comprados sin saber qué riesgos tratan.”Un plan de tratamiento que vincula cada control a un riesgo.
- PARA ELCTOControles que funcionan“La política dice una cosa y la práctica es otra.”Controles implementados con evidencia; los técnicos pueden ser operados por ness.
- PARA ELCISOListo para la auditoría“Se acerca la auditoría de certificación y las evidencias están dispersas.”Auditoría interna realizada por trustness. y evidencias organizadas en n.360.
Un sistema de gestión que se sostiene.
El marco de referencia se elige según el objetivo: certificación, exigencia de un cliente o madurez interna.
Desplácese hacia el lado para ver el diagrama completo
- ISO/IEC 27001
- Seguridad de la información
- ISO/IEC 27701
- Privacidad
- NIST CSF 2.0
- Gestión de riesgo cibernético
- CIS Controls v8.1
- Controles priorizados
Controles y evidencias en n.360.
Cada control con responsable, estado y evidencia, con seguimiento en tiempo real en n.360. En cada cierre periódico, la dirección ve la madurez por dominio y lo que falta para la auditoría.
Planificar, hacer, verificar, actuar.
Un sistema de gestión no termina en la auditoría. Se revisa en cada ciclo.
- ETAPA 01Planificar¿Qué alcance y qué riesgos?
- ETAPA 02Implementar¿Quién es responsable de cada control?
- ETAPA 03Verificar¿El control funciona y tiene evidencia?
- ETAPA 04Auditar¿Qué encontró la auditoría interna?
- ETAPA 05Mejorar¿Qué cambia en el próximo ciclo?
Cómo sucede esto en la práctica.
- Ionic HealthGobernanza en un proceso de expansión internacional
- SITUACIÓN
- Ionic Health desarrolla software como dispositivo médico y lleva adelante un proceso de expansión internacional.
- ACTUACIÓN
- trustness. participó en el trabajo de gobernanza y normas; ness. apoyó el ciclo de desarrollo seguro y la operación de seguridad.
- RESULTADO
- Prácticas de gobernanza y seguridad incorporadas al ciclo de desarrollo.
Preparación y sostenimiento.
trustness. prepara y acompaña. La certificación es decisión del organismo de certificación.
- RIESGOSAnálisis y tratamientoMétodo documentado y revisión periódica.
- POLÍTICASDocumentos que se usanPolíticas breves, con responsable y versión.
- EVIDENCIASOrganizadas en n.360Listas para quien necesite verificarlas.
- AUDITORÍAInterna, si se contrataAntes de la auditoría de certificación.
Por qué trustness.
- 01Preparación para la certificacióntrustness. prepara, implementa y acompaña; la certificación la otorga el organismo de certificación.
- 02Auditoría internaLa auditoría interna la realiza trustness., con independencia de quien implementó.
- 03Familia de normasISO/IEC 27001 y 27701 y las demás normas de seguridad de la información, como ISO/IEC 27002, 27005, 27017 y 27018, ISO 22301, NIST CSF 2.0 y CIS Controls v8.1.
- 04Evidencia organizadaControles, responsables y evidencias en n.360, listos para la auditoría.
- 05Controles técnicos operadosLo técnico puede ser operado por ness., en n.infraops y n.secops.
Etapas del trabajo.
- 01Diagnóstico de madurez y alcance
- 02Declaración de aplicabilidad y plan de tratamiento
- 03Implementación de controles y evidencias
- 04Auditoría interna y seguimiento
Qué está incluido.
Cómo trabajamos con lo que usted ya tiene.
trustness. prepara y acompaña; la certificación es decisión del organismo de certificación. Los controles técnicos pueden ser operados por ness.
- 01Su equipoResponde por los procesos y controles de su día a día; trustness. conduce el método y la auditoría interna.responsables de los controles
- 02Las herramientasLas que ya usan se convierten en fuente de evidencia; los controles técnicos pueden quedar a cargo de ness.mantenidas como evidencia
- 03Organismo de certificaciónRealiza la auditoría externa y decide la certificación. trustness. prepara a la organización para ella.independiente
| Actividad | trustness. | Su equipo | Terceros |
|---|---|---|---|
| Diagnóstico y alcance | ejecuta | aprueba | — |
| Análisis de riesgos y aplicabilidad | ejecuta | aprueba | — |
| Implementación de controles | coordina | ejecuta | apoya |
| Auditoría interna | ejecuta | apoya | — |
| Auditoría de certificación | apoya | apoya | ejecuta |
Tres modelos, según el contrato.
- MODELO 01AdecuaciónImplementación del sistema de gestión hasta la preparación para la auditoría de certificación.
- MODELO 02Evaluación de posturaDiagnóstico de madurez frente a la norma elegida, con un plan priorizado.
- MODELO 03AuditoríaAuditoría interna independiente del sistema de gestión.
Lo que suelen preguntarnos.
¿Ustedes certifican a la empresa?
No. trustness. prepara para la certificación y realiza la auditoría interna; quien otorga la certificación es el organismo de certificación.
¿Qué norma elegir?
Depende de lo que pidan los clientes, los contratos y el negocio. ISO/IEC 27001 y 27701 son las más solicitadas; CIS Controls v8.1 y NIST CSF 2.0 son buenos puntos de partida con una madurez inicial.
¿Cuánto tiempo toma?
Depende del alcance y de la madurez actual. El diagnóstico define el plan y los plazos.
¿Quién opera los controles técnicos?
Su equipo, o ness., si ustedes contratan n.infraops o n.secops.
¿Y después de la certificación?
El sistema de gestión requiere mantenimiento: trustness. acompaña y realiza las auditorías internas de los ciclos siguientes.
¿Quiere saber si Programa de seguridad de la información se aplica a su escenario?
- conversación
- diagnóstico
- propuesta