Vorpsel / Servicios / Inteligencia y consultoría
Consultoría de seguridad y vCISO
Muchas empresas necesitan a alguien que lidere la seguridad, pero no necesitan, o todavía no pueden contratar, un CISO de tiempo completo. Asumimos ese rol a tiempo parcial: evaluamos dónde está, armamos un programa a la medida de la empresa y lo conducimos con su equipo.
En resumen
- Para empresas en crecimiento sin un líder de seguridad dedicado
- Formato una evaluación cerrada, luego una cantidad de días por mes
- Reporta a su CEO, CTO o directorio, como usted decida
- Independiente recomendamos lo que necesita, aunque no sea nuestro
Alguien tiene que ser responsable de la seguridad
Sin un responsable, la seguridad se vuelve una lista de herramientas compradas después de cada susto, cuestionarios de clientes respondidos a las apuradas y riesgos que nadie escribió. El trabajo queda repartido entre TI e ingeniería, y la dirección no puede decir si la empresa está más protegida este año que el anterior.
Un CISO virtual le da un responsable a la seguridad. Definimos prioridades con la dirección, las convertimos en un plan que el equipo puede seguir e informamos el avance en términos que el negocio entiende.
Cuándo tiene sentido
Los clientes piden evidencias de seguridad
Los clientes grandes envían cuestionarios y contratos con cláusulas de seguridad que usted necesita responder bien.
La dirección pregunta si la empresa está protegida
El directorio o los fundadores quieren una respuesta clara y un plan, no una lista de herramientas.
La seguridad está repartida entre TI e ingeniería
Mucha gente hace algo del trabajo de seguridad y nadie es responsable del conjunto.
Preparación para una certificación
Una norma como ISO 27001 o SOC 2 está en el horizonte y necesita un programa detrás.
Después de un incidente
Algo pasó y la dirección quiere asegurarse de que no se repita.
Antes de contratar un CISO de tiempo completo
Quiere el programa en marcha y el rol definido antes de hacer la contratación.
Qué hacemos
Evaluación de seguridad
Empezamos con una revisión de su seguridad actual frente a un marco reconocido, como los CIS Controls o ISO 27001, mediante entrevistas, revisión de documentos y verificaciones técnicas.
- Madurez de cada área, con evidencia para cada calificación
- Los riesgos que más importan para su negocio, escritos en lenguaje simple
- Una hoja de ruta para los próximos doce meses, con estimación de esfuerzo y costo
Programa de seguridad
Convertimos la hoja de ruta en un programa en marcha: políticas que la gente puede seguir, un registro de riesgos mantenido al día y un presupuesto de seguridad ligado a esos riesgos.
- Políticas y estándares a la medida de su empresa, no copiados de una plantilla
- Registro de riesgos, con responsables y decisiones de tratamiento
- Revisiones de seguridad de los proveedores que manejan sus datos
- Concientización de seguridad para empleados, centrada en los ataques que realmente reciben
Preguntas de clientes y del directorio
Los clientes grandes envían cuestionarios de seguridad y piden evidencias. Los directorios preguntan si la empresa está protegida. Respondemos a ambos con hechos.
- Cuestionarios de seguridad y due diligence respondidos con su equipo
- Informe trimestral para la dirección: riesgos, avance y decisiones necesarias
Arquitectura y elección de herramientas
Antes de comprar una herramienta nueva o lanzar un sistema nuevo, revisamos si resuelve el riesgo que tiene y cómo encaja con lo que ya usa.
Cómo funciona
La evaluación toma algunas semanas. Después, el programa funciona con una cantidad fija de días por mes, con una reunión regular y un consultor asignado que conoce su empresa.
Evaluar
Conocemos el negocio, entrevistamos a las personas que lo llevan adelante y revisamos los controles actuales.
Planificar
Acordamos prioridades con la dirección y escribimos la hoja de ruta y el presupuesto.
Conducir
Conducimos el programa mes a mes e informamos el avance, hasta que esté listo para un líder de tiempo completo, si ese es el objetivo.
Los primeros 90 días
Un comienzo típico. El orden cambia según lo que su empresa necesite primero.
| Período | Enfoque | Resultado |
|---|---|---|
| Mes 1 | Evaluación: entrevistas, documentos y verificaciones técnicas | Madurez por área y los principales riesgos, por escrito |
| Mes 2 | Plan y logros rápidos: hoja de ruta, presupuesto y las correcciones más urgentes | Hoja de ruta aprobada y los primeros riesgos reducidos |
| Mes 3 | Programa en marcha: políticas, registro de riesgos y el primer informe para la dirección | Un programa con responsables, fechas y un ritmo regular |
Entregables típicos
Hoja de ruta de seguridad
Doce meses de trabajo en orden, con esfuerzo y costo.
Políticas y estándares
Documentos cortos que la gente puede seguir, aprobados por la dirección.
Registro de riesgos
Cada riesgo con un responsable, una decisión y una fecha de revisión.
Informe para el directorio
Una página por trimestre sobre riesgos, avance y decisiones necesarias.
Revisión de proveedores
Revisiones de seguridad de los proveedores que manejan sus datos.
Programa de concientización
Sesiones cortas sobre los ataques que sus empleados realmente reciben.
Preguntas
¿Nos van a empujar a comprar productos de Vorpsel?
No. Las recomendaciones siguen sus riesgos. Cuando un producto de Vorpsel encaja, lo decimos y explicamos por qué; cuando otro producto o un cambio de proceso es la mejor respuesta, recomendamos eso.
¿Pueden ayudarnos a contratar un CISO de tiempo completo más adelante?
Sí. Podemos redactar el perfil del puesto, participar en las entrevistas y traspasar el programa, los documentos y el historial a la persona que contrate.
¿También hacen el trabajo técnico?
El consultor lidera y coordina. El trabajo técnico, como ingeniería de detección o revisión de aplicaciones, lo pueden hacer nuestros otros servicios o su equipo, lo que tenga más sentido.
¿Cuántos días por mes necesitamos?
Depende del tamaño de la empresa y de cuánto ya está implementado. Proponemos una cantidad después de la evaluación y la ajustamos a medida que el programa madura.
Otros servicios
Cuéntenos qué necesita.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.