Vorpcel / Servicios / Aseguramiento
Preparamos a su empresa para una certificación de seguridad o una regulación: medimos la brecha frente a la norma, planificamos el trabajo, ayudamos a redactar las políticas y reunir las evidencias, y lo acompañamos hasta la auditoría.
En resumen
Una certificación suele ser pedida por un cliente grande o exigida por un regulador, con fecha fijada. El riesgo es llegar a esa fecha con una pila de documentos que nadie sigue y reprobar la siguiente auditoría o, peor, sufrir un incidente.
Lo preparamos para que los controles funcionen en la práctica. Cada requisito de la norma se convierte en una tarea con responsable, y cada tarea produce la evidencia que pedirá el auditor.
Una vista rápida de las cuatro normas para las que preparamos empresas.
| Estándar | Normalmente exigida por | Qué tiene al final |
|---|---|---|
| ISO/IEC 27001 | Clientes internacionales, licitaciones y sectores regulados | Un certificado emitido por un organismo certificador acreditado |
| SOC 2 | Clientes en Estados Unidos, sobre todo de servicios de software | Un informe Tipo I o Tipo II emitido por una firma de auditoría |
| PCI DSS | Marcas de tarjetas y adquirentes, para quien maneja datos de tarjeta | Un cuestionario de autoevaluación o un informe de cumplimiento de un evaluador calificado |
| LGPD | Ley brasileña, para quien trata datos personales en Brasil | Procesos y registros que muestran el cumplimiento ante la autoridad y los titulares |
La norma internacional para un sistema de gestión de seguridad de la información. Ayudamos a definir el alcance, realizar la evaluación de riesgos, redactar la Declaración de Aplicabilidad y preparar las auditorías de etapa 1 y etapa 2.
El informe más pedido por clientes en Estados Unidos. Ayudamos a elegir los criterios de confianza, diseñar los controles y preparar las evidencias para un informe Tipo I y luego Tipo II.
Obligatorio para quien almacena, procesa o transmite datos de tarjeta. Ayudamos a reducir el alcance, aplicar los requisitos de la versión 4.0, incluidos los controles de scripts en las páginas de pago, y preparar el cuestionario de autoevaluación o la visita del evaluador.
La ley brasileña de protección de datos. Mapeamos los datos personales y sus usos, revisamos bases legales y contratos, y armamos los procesos de atención a los titulares y de notificación de incidentes.
El tiempo depende de la norma y de su punto de partida. La evaluación de brechas le da una fecha realista antes de comprometerse con una frente a un cliente.
Comparamos lo que tiene hoy con cada requisito de la norma y listamos lo que falta.
Cada brecha se convierte en una tarea con responsable, estimación de esfuerzo y fecha, en el orden que tiene sentido.
Redactamos políticas y procedimientos con usted, revisamos los controles a medida que se construyen y organizamos las evidencias.
Hacemos una auditoría interna, corregimos lo que encuentra y apoyamos a su equipo durante la auditoría externa.
Cada requisito, su situación actual y lo que falta para cumplirlo, con un plazo realista.
Documentos escritos para la forma en que su empresa realmente trabaja, aprobados por la dirección.
La evidencia de cada control, organizada como la pedirá el auditor, y una rutina para mantenerla al día.
Donde los productos de Vorpcel están en uso, sus informes pueden servir como evidencia para algunos controles, como gestión de vulnerabilidades, registro de logs y configuración de la nube. Usarlos no es obligatorio.
Qué sistemas, dispositivos y datos están en el alcance, y quién es responsable de cada uno.
Prueba de que los accesos se otorgan, se revisan y se quitan a tiempo.
Evidencia de que las fallas se encuentran y se corrigen dentro de los plazos acordados.
Registros de los eventos de seguridad y prueba de que alguien los revisa.
Un plan probado y el registro de cómo se manejaron los incidentes pasados.
Cómo verifica la seguridad de los proveedores que manejan sus datos.
No. El certificado o informe lo emite un organismo certificador, una firma de auditoría o un evaluador calificado independiente. Mantener separadas la preparación y la auditoría es lo que le da credibilidad al resultado. Podemos ayudarle a elegirlos y a trabajar con ellos.
La que piden sus clientes o el regulador. Si nadie la pidió todavía, la evaluación de brechas frente a ISO 27001 es una buena base, porque la mayoría de las otras normas comparte buena parte de sus controles.
Sí. Mapeamos los requisitos de cada norma en un único conjunto de controles, así que el mismo trabajo y las mismas evidencias sirven para todas.
No necesariamente. Muchos controles son procesos y evidencias. Cuando hace falta una herramienta, explicamos qué control cubre y usted elige el producto.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.