Entre el hallazgo técnico y la decisión hay una traducción. Esa es la parte que falla.

Riesgo expresado en términos que una dirección puede aprobar y un regulador puede auditar, con la trazabilidad que conecta cada control con la evidencia que lo sostiene.

Problema

El cumplimiento y la seguridad se pueden separar. Casi siempre es un error.

Se puede aprobar una auditoría con controles que no resisten un ataque real, y se puede tener un equipo técnico excelente sin poder demostrar nada ante un regulador. Ninguna de las dos situaciones es sostenible. El trabajo de gobierno consiste en que el control que se documenta sea el mismo que funciona, y que exista evidencia de ambas cosas.

Cómo trabajamos

Partimos del riesgo, no del marco. El estándar es la forma de organizar la respuesta, no el objetivo en sí.
Valoramos con criterio explícito. Impacto y probabilidad definidos de antemano, para que dos personas distintas lleguen al mismo resultado.
Conectamos control y evidencia. Cada control declarado apunta a una prueba concreta de que opera.
Escribimos para quien decide. Documentos que un comité puede leer y aprobar, no manuales que nadie abre.
Medimos la mejora. Indicadores que muestran si el programa avanza, no cuántos documentos se produjeron.

Qué recibe Entregables
en dos capas

Entregables

Análisis de brechas

Distancia entre la situación actual y el marco de referencia, con esfuerzo estimado por brecha.

Matriz de riesgo

Riesgos valorados con criterio documentado, con dueño asignado y decisión de tratamiento.

Cuerpo documental

Políticas y procedimientos redactados para ser aplicados, con alcance y responsables reales.

Trazabilidad de controles

El hilo entre riesgo, control, responsable y evidencia, listo para auditoría interna o externa.

Hoja de ruta

Plan por fases con hitos, dependencias y criterio de finalización de cada uno.

Acompañamiento vCISO

Función de dirección de seguridad a tiempo parcial: comités, decisiones y relación con auditoría.

Alcance

Marcos de referencia: ISO/IEC 27001, NIST Cybersecurity Framework, CIS Controls y requisitos sectoriales aplicables.
Servicios: Análisis de brechas, gestión de riesgo, sistema de gestión, preparación para auditoría y vCISO.
Alcance de vCISO: Dedicación acordada, con participación en comités y responsabilidad sobre el plan de seguridad.
Certificación: Preparamos y acompañamos el proceso. La certificación la emite un ente acreditado independiente, no nosotros.
Requisitos previos: Patrocinio de la dirección y acceso a los responsables de los procesos incluidos en el alcance.

Sobre el alcance. Duración, profundidad y reglas de enfrentamiento se definen por escrito antes de empezar. No publicamos precios ni paquetes cerrados porque el alcance real depende del entorno y de los objetivos acordados.

¿Puede demostrar hoy que el riesgo está bajo control?

Un análisis de brechas contra el marco que le aplica es la forma más directa de saber qué falta, cuánto cuesta y en qué orden conviene hacerlo.

Solicitar una evaluación