Lo que entregamos
Realizamos una evaluación integral de la postura de seguridad de la organización, que cubre personas, procesos y tecnología. Según el contexto, la evaluación puede apoyarse en referencias como los controles CIS, el marco de ciberseguridad del NIST y la norma ISO 27001 sobre gestión de la seguridad de la información. Entregamos una fotografía clara del estado actual, las brechas identificadas y una hoja de ruta priorizada por riesgo y esfuerzo, que da más previsibilidad a la inversión y a las auditorías.
El problema que resuelve
Organizaciones que no tienen visibilidad clara de su madurez en seguridad, que necesitan priorizar inversiones o que se están preparando para auditorías.
CISOs, CTOs y gerentes de TI que necesitan una visión independiente y estructurada de la postura de seguridad de la organización.
Al inicio de programas de seguridad, antes de auditorías externas, después de incidentes o cuando la organización necesita priorizar inversiones en seguridad.
Alcance del trabajo
Entregables
Cómo se desarrolla el trabajo, en la práctica
En qué consiste la evaluación
Combina documentos, entrevistas y verificación técnica por muestreo. Personas, procesos y tecnología se evalúan juntos, porque muchos incidentes nacen de brechas de proceso y no de falta de herramientas. Ejemplos de lo que se examina: revisión periódica de accesos y baja de usuarios, gestión de cambios, inventario de activos, gestión de vulnerabilidades y de correcciones, respaldo y restauración, concientización, plan de respuesta a incidentes y gestión de proveedores. En la verificación técnica, las muestras de servidores, cuentas y configuraciones muestran si lo que está escrito en la política es lo que realmente ocurre.
Referencias utilizadas
Los controles CIS (versión 8) ofrecen una lista priorizada de acciones técnicas, organizada en grupos de implementación para organizaciones de distintos tamaños y madurez; el NIST Cybersecurity Framework (versión 2.0) organiza la gestión de riesgos en gobernar, identificar, proteger, detectar, responder y recuperar; la ISO/IEC 27001:2022 define los requisitos del sistema de gestión de la seguridad de la información, con controles de referencia en el Anexo A. Ninguno es obligatorio por sí solo: la elección depende del sector, de las exigencias de los clientes y de lo que el negocio necesita demostrar, y los tres pueden mapearse entre sí.
Qué hacer con el resultado
Un buen assessment termina en decisiones: qué corregir primero, qué depende de inversión y qué puede esperar. Las brechas se ordenan por riesgo (probabilidad e impacto) y por esfuerzo, de modo que las correcciones simples y de alto efecto, como habilitar MFA o cerrar un servicio expuesto, aparezcan antes que los proyectos largos. La lectura ejecutiva se separa del detalle técnico, con evidencia para cada hallazgo, para que la dirección y el equipo de seguridad trabajen sobre la misma hoja de ruta. Repetir la evaluación después permite comparar la evolución respecto al punto de partida.
Diferenciales
- Una visión práctica, no solo documental
- Priorización que considera el contexto de la operación
- Entregables listos para presentar a la dirección y usar como evidencia en auditorías
Metodología
Recopilación documental y entrevistas
Talleres con equipos técnicos
Evaluación cuantitativa por dominio
Plan de acción con responsables
Presentación de resultados
Destacados
Preguntas frecuentes
La autoevaluación muestra, en unos 7 minutos, cómo cree estar la organización. La evaluación técnica muestra lo que demuestran las evidencias.
Empiece por la autoevaluación gratuita de madurez en ciberseguridad¿Listos para avanzar?
Cuéntenos sobre su contexto y sus desafíos. Respondemos con una propuesta clara.