Lo que entregamos
Revisamos la postura de cumplimiento de la organización frente a los marcos y las regulaciones aplicables a su sector, como la ISO 27001 (gestión de la seguridad de la información), los informes SOC 2, la LGPD de Brasil (ley de protección de datos) y otros marcos cuando corresponda. El entregable es una visión clara del estado actual, las brechas identificadas y un plan de acción priorizado con responsables y plazos, que favorece la gobernanza y la evidencia para terceros.
El problema que resuelve
Organizaciones que necesitan demostrar cumplimiento a clientes, socios o reguladores, pero no tienen visibilidad de sus brechas o no saben cómo priorizar la adecuación.
Responsables de cumplimiento, CISOs y líderes de TI que necesitan demostrar cumplimiento ante interesados internos y externos.
Cuando la organización necesita prepararse para certificaciones, responder cuestionarios de clientes, cumplir requisitos regulatorios o entender con claridad su estado actual de cumplimiento.
Alcance del trabajo
Entregables
Cómo se desarrolla el trabajo, en la práctica
Qué referencia se aplica
La ISO/IEC 27001:2022 certifica un sistema de gestión de seguridad de la información y trae 93 controles en su Anexo A, agrupados en cuatro temas (organizacionales, personas, físicos y tecnológicos); el SOC 2 es un informe de atestación que evalúa controles según los criterios de servicios de confianza (seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad), siendo la seguridad el criterio común a todos; la LGPD (Ley 13.709/2018) trata de la protección de datos personales. Las normas sectoriales pueden sumarse a ellas. Cada una responde a preguntas distintas: certificación del sistema de gestión, confianza entre proveedor y cliente y obligación legal.
Cómo se hace la revisión
Se mapea cada requisito aplicable a un control existente, a una evidencia y a un responsable. Las brechas aparecen de tres formas: control que no existe, control que existe pero no se practica, y control practicado sin evidencia. Cada caso pide una acción distinta: diseñar el control, capacitar y acompañar la ejecución, o comenzar a registrar la prueba. Ejemplos de evidencia son las actas de revisión de accesos, los registros de capacitación, los informes de escaneo de vulnerabilidades, las pruebas de restauración de respaldos y el registro de las operaciones de tratamiento de datos personales, previsto en la LGPD.
De la brecha al plan de acción
El resultado es una lista priorizada de brechas, cada una con responsable y plazo sugerido, que sirve a dos audiencias: el equipo que implementa y la dirección que necesita seguir el riesgo. Cuando hay más de una referencia, un mapeo único de controles evita trabajo duplicado, ya que un mismo control, como la gestión de accesos o la respuesta a incidentes, suele atender a la ISO 27001, al SOC 2 y a la LGPD. El objetivo es una gobernanza continua, con revisiones periódicas y métricas, no un esfuerzo concentrado solo antes de la auditoría.
Diferenciales
- Una visión técnica integrada a la operación
- Foco en la implementación real, no solo en el papel
- Conexión con la seguridad y la infraestructura para cerrar las brechas técnicas
Metodología
Mapeo de los requisitos aplicables
Recopilación de evidencias y entrevistas
Análisis de brechas
Plan de acción y priorización
Seguimiento de la implementación
Destacados
Preguntas frecuentes
¿Listos para avanzar?
Cuéntenos sobre su contexto y sus desafíos. Respondemos con una propuesta clara.