Muchas organizaciones necesitan una figura que dirija la seguridad de la información, pero no tienen dimensión para incorporar un CISO a su plantilla. Con este servicio asumimos esa función con la dedicación que tu organización necesita.
Qué hacemos: definimos y revisamos la estrategia y las políticas de seguridad, mantenemos actualizado el análisis de riesgos, coordinamos la respuesta a incidentes, supervisamos a los proveedores tecnológicos, preparamos las auditorías e informamos a la dirección con indicadores claros.
Encaja especialmente si ya tienes un sistema de gestión ENS o ISO/IEC 27001 y necesitas mantenerlo vivo, si tus clientes te piden evidencias de seguridad o si necesitas apoyo para ejercer las funciones del Responsable de Seguridad del ENS.
Aplicamos a tu organización el mismo rigor con el que gestionamos nuestra propia certificación ISO/IEC 27001 y nuestra conformidad con el ENS en categoría alta.
Qué hace un CISO as a Service en tu empresa
Muchas empresas necesitan la función de responsable de seguridad de la información, pero no tienen volumen para un puesto a jornada completa ni quieren que esa responsabilidad recaiga de forma informal en quien lleva la informática. El CISO as a Service cubre esa función con una dedicación acordada y con una persona concreta que responde por ella.
El trabajo se traduce en cosas medibles: mantener vivo el análisis de riesgos, definir y revisar las políticas, decidir las prioridades de inversión en seguridad, supervisar a los proveedores y sus contratos, coordinar la respuesta cuando hay un incidente y llevar a la dirección un informe comprensible de cómo está la organización y qué hace falta.
También es el interlocutor hacia fuera. Responde a los cuestionarios de seguridad de clientes y aseguradoras, acompaña en las auditorías, trata con los organismos cuando hay que notificar algo y traduce entre el lenguaje técnico y el de negocio, que es justo donde suelen romperse estos proyectos.
Encaja bien en empresas que acaban de certificarse y necesitan mantener el sistema, en las que han crecido y ya manejan datos o servicios críticos, y en las que tienen clientes que les exigen un responsable identificado. Se puede contratar de forma estable o solo durante el periodo que dure una implantación o una auditoría.
Cómo se organiza el servicio
El servicio se presta con una dedicación acordada al empezar, que puede ser de unas horas al mes para una empresa que ya tiene su sistema rodado o mucho mayor durante una implantación o una auditoría. Esa dedicación se revisa cuando cambian las circunstancias, para no pagar por horas que no se usan ni quedarse corto justo cuando hace falta.
Trabajamos con un plan anual: calendario de revisiones, análisis de riesgos, auditoría interna, formación, pruebas de continuidad y seguimiento de los proveedores. Cada reunión deja acta y cada acuerdo tiene responsable y fecha, de modo que el avance se puede demostrar ante un auditor o ante un cliente que pregunte.
La dirección recibe un informe periódico escrito en lenguaje de negocio: qué riesgos hay abiertos, qué ha cambiado desde la última vez, qué incidentes ha habido y qué decisiones hacen falta. Nuestro trabajo es que la seguridad deje de ser un asunto que solo entiende el departamento técnico.
El servicio de CISO va incluido, con su bolsa de horas, en el plan con cumplimiento de nuestros planes de soporte y ciberseguridad.
