01 · Situaciones
¿Alguna de estas situaciones le parece familiar?
Cada auditoría de un cliente es empezar de nuevo.
Ya firmó sus exigencias, sabe que la auditoría va a llegar, y aun así todos los años alguien deja lo que está haciendo para buscar evidencia.
Llegó un cuestionario de seguridad y nadie sabe quién debe responderlo.
Un cliente importante lo necesita para continuar la relación comercial, y termina en la bandeja de alguien de IT o de administración.
El personal ya usa inteligencia artificial y nadie definió reglas.
Cada herramienta nueva puede exponer datos de clientes, y tarde o temprano alguien va a preguntar cómo se controla.
Los agentes de IA ya trabajan en su empresa, aunque nadie los haya contratado.
Actúan con el usuario de un empleado y nadie sabe qué hicieron. Si su cliente pregunta, ¿quién responde?
Su empresa presta servicios de tecnología a un banco o a una billetera virtual.
Desde la Comunicación "A" 8398 del BCRA, ese contrato debe permitir que la entidad y el regulador la auditen, y sus subcontratistas quedan alcanzados.
La empresa maneja datos personales y nadie responde por ellos.
La Ley 25.326 exige medidas de seguridad, y un cliente europeo o estadounidense va a preguntar por GDPR o HIPAA.
Nadie sabe qué tiene expuesto la empresa en Internet.
Un servicio olvidado o un sistema sin actualizar es una puerta abierta, y la encuentra primero quien la está buscando.
El personal trabaja desde sus propios dispositivos y no hay una política escrita.
Es lo habitual y suele tener sentido por costos. Ordenamos lo que ya existe: qué información se puede manejar desde esos dispositivos, qué controles son obligatorios y qué ocurre con los datos cuando la persona se desvincula.
Hay accesos críticos protegidos solo con una contraseña.
Como mínimo, la autenticación multifactor (MFA) debe cubrir el correo, los accesos remotos, las cuentas con privilegios y los servicios en la nube. Se prefiere una app de autenticación o una llave física antes que un código por SMS.
Un cliente exige ISO 27001 para renovar o para participar en una licitación.
La norma es voluntaria, pero quien la pide decide el contrato.
02 · Servicios
Lo que hace Anexo
Auditorías y cuestionarios recurrentes
Ordenamos lo que exige cada cliente, mantenemos la evidencia al día durante el año y le proponemos las respuestas para cada auditoría.
Programa ISO 27001
Armamos y mantenemos las políticas, los controles y los registros que un certificador va a solicitar.
Evaluación de IA
Revisamos cómo usa la IA su empresa, frente a ISO/IEC 42001 y el Reglamento Europeo de IA.
Protección de datos
Un Responsable de Protección de Datos para la Ley Argentina de Protección de Datos 25.326, GDPR en la Unión Europea, HIPAA en EE.UU.
Proveedores y terceros
Inventario, evaluación y contratos de quienes acceden a sus datos.
vCISO
Un experto externo en seguridad, con nombre y apellido, a tiempo parcial.
Monitoreo continuo
El escaneo básico de lo que su empresa expone en Internet está incluido en el abono. Como servicio adicional: vigilancia continua de esa exposición y la opción de un Centro de Operaciones de Seguridad (SOC) 24x7 de un proveedor especializado.
03 · Método
Cómo empezamos
Diagnóstico
Le indicamos qué falta, qué le están exigiendo y qué es urgente, con plazo y precio fijos desde el inicio.
Plan
Ordenamos el trabajo según lo que exige su cliente, para que no pague por lo que nadie le pide.
Ejecución
Ponemos el plan en marcha, como un trabajo puntual ante una urgencia o como un servicio continuo por abono mensual.
04 · Ejemplo ilustrativo
Cómo funciona en la práctica
Una empresa con 60 programadores trabaja para un banco. Al firmar el contrato aceptó el estándar de seguridad del banco, y cada año debe demostrar que lo cumple. Todos los años pasa lo mismo: alguien deja lo que está haciendo y pasa semanas buscando evidencia.
Todo en un solo lugar
Pasamos las exigencias del cliente a una sola lista, con responsable, evidencia y vencimiento para cada una.
Evidencia durante el año
El analista la reúne con IT de forma periódica, en lugar de buscarla toda junta antes de la auditoría.
Cambios bajo control
Cuando el banco actualiza su estándar, el vCISO analiza qué cambia y cuánto cuesta cumplirlo, y la dirección decide.
Agentes de IA
Los programadores empiezan a usar agentes de IA. Anexo acuerda con IT qué pueden hacer, con qué permisos y quién los supervisa. Cuando el banco pregunte, la empresa tendrá la respuesta.
Sin sorpresas
Antes de la auditoría hacemos una revisión interna, y lo que falte se resuelve con tiempo.
Auditoría
Anexo propone las respuestas con su evidencia. La empresa las aprueba y las presenta.
El próximo cliente
Cuando otro cliente trae su propio estándar, buena parte de la evidencia ya existe.
05 · Trayectoria
Sabemos cómo auditan los grandes clientes porque lo vivimos del lado del proveedor.
Conozca al equipo06 · Preguntas
Preguntas frecuentes
¿Anexo certifica a mi empresa?
No. La certificación la emite un organismo independiente. Anexo deja a su empresa lista para esa auditoría y la acompaña durante el proceso.
¿Para qué empresas es?
Para las que ya enfrentan estas exigencias y no justifican un área propia.
¿Reemplaza a mi equipo de IT?
No. Su equipo sigue operando los sistemas. Anexo define qué hay que hacer, analiza la evidencia y le propone las respuestas para clientes y auditores.
¿Quién realiza la evaluación de IA?
Un especialista técnico hace la evaluación inicial. Después, el vCISO la mantiene al día junto con su empresa.
¿De quién son los documentos si termina el servicio?
De su empresa. Políticas, registros y evidencias quedan en su poder.
¿El monitoreo evita cualquier ataque?
Ningún servicio puede garantizarlo. El monitoreo reduce el riesgo y ayuda a detectar problemas antes.
07 · Contacto
Empiece por el diagnóstico.
Cuéntenos qué le solicitó su cliente y le indicaremos por dónde comenzar.