Políticas por escrito
Las reglas que hoy están en la cabeza del dueño se ponen por escrito: contraseñas, uso de equipos, acceso a la información, qué hacer ante un incidente. Cortas, en tu lenguaje y firmadas por quien las aprueba.
Flanco 04 · lo opera IDT
Orden primero, certificación después. Si la quieres, sabes por dónde empezar.
Los tres flancos anteriores son tecnología. Este es criterio: quién es responsable de qué, qué información importa, qué se hace cuando alguien se va o cuando algo falla. IDT usa el marco de ISO 27001 para ponerlo por escrito, contigo y en tu empresa.
Marco ISO 27001
Políticas por escrito
Inventario de activos
Responsables y controles
Evidencia
Acompañamiento presencial
Lo que la norma pide, en el tamaño de tu empresa
Un sistema de gestión de seguridad de la información no es un manual de trescientas páginas. Es saber qué proteges, quién responde y cómo lo demuestras.
Inventario de activos
Se enumera qué información tiene tu empresa, dónde vive y qué tan importante es. No se puede proteger lo que no se ha nombrado, y la mayoría de las pymes nunca lo ha hecho.
Responsables definidos
Cada activo y cada control tienen un nombre al lado. Cuando un acceso hay que revocar o un respaldo hay que revisar, se sabe quién lo hace y no queda en «alguien».
Controles que ya tienes, ordenados
El equipo del perímetro, los permisos de la nube y los filtros del correo son controles. Este flanco los documenta como lo que son, para que el conjunto tenga sentido y no sean tres cosas sueltas.
Evidencia de que se cumple
La bitácora de la nube, el registro de ataques repelidos y las altas y bajas de cuentas son evidencia. Se ordena para que, cuando un cliente grande o un auditor pregunte, la respuesta exista.
Acompañamiento presencial
Los especialistas de IDT trabajan esto contigo, en tu empresa, y dan seguimiento en físico al proyecto. No es una plantilla que llega por correo para que la llenes solo.
De cero a un sistema que se sostiene
-
01
Diagnóstico
Se revisa qué tienes hoy frente a lo que pide el marco de ISO 27001: qué existe, qué falta y qué es prioritario para una empresa de tu tamaño.
-
02
Inventario y responsables
Se nombran los activos de información, se clasifican por importancia y se asigna quién responde por cada uno.
-
03
Políticas y controles
Se redactan las políticas y se documentan los controles, incluidos los que ya operan en los otros tres flancos. Se define cómo se revisa cada uno y con qué frecuencia.
-
04
Seguimiento
IDT vuelve. Se revisa que lo escrito se esté haciendo, se recoge la evidencia y se ajusta lo que la operación real haya cambiado.
Qué amenaza cubre
El error que ninguna tecnología detiene
Los tres primeros flancos reducen la exposición técnica. Pero la contraseña compartida en un papel, el ex empleado que sigue con acceso, el respaldo que nadie ha probado y la transferencia hecha por un correo falso no son fallas técnicas: son fallas de orden.
ISO 27001 es el marco internacional para la gestión de la seguridad de la información. Su mérito no es la certificación, sino la disciplina: nombrar lo que se protege, decidir quién responde, escribir cómo se hace y guardar la evidencia de que se hizo. Este flanco aplica esa disciplina al tamaño de tu empresa.
Si un día decides certificarte, ya tendrás el camino andado. La certificación la otorga un organismo acreditado independiente y no forma parte de este servicio; lo que sí forma parte es llegar preparado.
Lo que queda cubierto
- Accesos huérfanos: existe un procedimiento para altas y bajas de personas.
- Reglas no escritas: las políticas quedan por escrito y aprobadas.
- Información sin dueño: cada activo tiene un responsable.
- Controles sueltos: perímetro, nube y correo quedan documentados como un sistema.
- Preguntas de clientes y auditores: hay evidencia ordenada que responde.
Lo que este flanco no hace
No incluye la certificación
La certificación ISO 27001 la emite un organismo acreditado independiente, con su propio proceso y su propio costo. Este flanco te deja preparado para ese proceso; no lo sustituye ni lo garantiza.
No es asesoría legal
Ordenar la seguridad de la información ayuda con obligaciones como la protección de datos personales, pero la interpretación de la ley y el cumplimiento de obligaciones específicas corresponden a tu empresa y a sus asesores.
No funciona sin ti
IDT acompaña, redacta y vuelve. Pero las políticas las aprueba tu dirección y los responsables son tu gente. Un sistema de gestión que nadie en la empresa adopta se queda en papel.
CyberLatus reduce la exposición de tu empresa y te da visibilidad sobre ella; ningún servicio de seguridad elimina el riesgo por completo. El CyberIndex es un indicador de referencia, no una garantía. El acompañamiento en ISO 27001 es asesoría y organización; la certificación la otorga un organismo acreditado independiente.
Sobre este flanco
¿Qué es ISO 27001 y para qué le sirve a una pyme?
ISO 27001 es la norma internacional para la gestión de la seguridad de la información. Establece cómo identificar qué información importa, quién es responsable de protegerla, qué controles aplicar y cómo demostrar que se aplican. A una pyme le sirve para poner orden: saber qué tiene, escribir las reglas y tener evidencia cuando un cliente, un socio o un auditor pregunte.
¿CyberLatus me certifica en ISO 27001?
No. La certificación la otorga un organismo acreditado independiente mediante su propio proceso de auditoría, y no está incluida en el servicio. Lo que CyberLatus incluye es el acompañamiento de IDT para ordenar la seguridad de tu información con el marco de la norma, de modo que, si decides certificarte, llegues preparado.
¿En qué consiste el acompañamiento presencial?
Los especialistas de IDT trabajan el proyecto contigo en tu empresa y le dan seguimiento en físico: diagnóstico, inventario de activos, definición de responsables, redacción de políticas, documentación de controles y revisión periódica de la evidencia. No es una plantilla enviada por correo para que la llenes por tu cuenta.
¿Cómo se relaciona con los otros tres flancos?
El equipo del perímetro, los permisos y la bitácora de la nube y los filtros y respaldos del correo son controles de seguridad. Este flanco los documenta como parte de un sistema de gestión, les asigna responsables y ordena la evidencia que generan, para que los cuatro flancos funcionen como un conjunto y no como tres servicios sueltos.
¿Cuánto trabajo le toca a mi empresa?
Decidir y adoptar. La dirección aprueba las políticas, las personas designadas asumen sus responsabilidades y el equipo sigue las reglas acordadas. IDT redacta, acompaña y vuelve a revisar, pero un sistema de gestión que la empresa no adopta no protege a nadie.
Lo que hoy está en tu cabeza, mañana por escrito.
Pide una evaluación y te decimos qué tan lejos o qué tan cerca estás de un sistema que se sostenga solo.