Cada servicio puede contratarse por separado.
Situaciones
Ya firmó sus exigencias, sabe que la auditoría va a llegar, y aun así todos los años alguien deja lo que está haciendo para buscar evidencia.
Un cliente importante lo necesita para continuar la relación comercial, y termina en la bandeja de alguien de IT o de administración.
Cada herramienta nueva puede exponer datos de clientes, y tarde o temprano alguien va a preguntar cómo se controla.
Actúan con el usuario de un empleado y nadie sabe qué hicieron. Si su cliente pregunta, ¿quién responde?
Desde la Comunicación "A" 8398 del BCRA, ese contrato debe permitir que la entidad y el regulador la auditen, y sus subcontratistas quedan alcanzados.
La Ley 25.326 exige medidas de seguridad, y un cliente europeo o estadounidense va a preguntar por GDPR o HIPAA.
Un servicio olvidado o un sistema sin actualizar es una puerta abierta, y la encuentra primero quien la está buscando.
Es lo habitual y suele tener sentido por costos. Ordenamos lo que ya existe: qué información se puede manejar desde esos dispositivos, qué controles son obligatorios y qué ocurre con los datos cuando la persona se desvincula.
Como mínimo, la autenticación multifactor (MFA) debe cubrir el correo, los accesos remotos, las cuentas con privilegios y los servicios en la nube. Se prefiere una app de autenticación o una llave física antes que un código por SMS.
La norma es voluntaria, pero quien la pide decide el contrato.
Servicios
Ordenamos lo que exige cada cliente, mantenemos la evidencia al día durante el año y le proponemos las respuestas para cada auditoría.
Armamos y mantenemos las políticas, los controles y los registros que un certificador va a solicitar.
Revisamos cómo usa la IA su empresa, frente a ISO/IEC 42001 y el Reglamento Europeo de IA.
Un Responsable de Protección de Datos para la Ley Argentina de Protección de Datos 25.326, GDPR en la Unión Europea, HIPAA en EE.UU.
Inventario, evaluación y contratos de quienes acceden a sus datos.
Un experto externo en seguridad, con nombre y apellido, a tiempo parcial.
El escaneo básico de lo que su empresa expone en Internet está incluido en el abono. Como servicio adicional: vigilancia continua de esa exposición y la opción de un Centro de Operaciones de Seguridad (SOC) 24x7 de un proveedor especializado.
01
Empresas medianas, por encima de la PyME chica y por debajo de las grandes empresas, a las que sus clientes auditan o envían cuestionarios de seguridad.
Pasamos las exigencias de cada cliente a una sola lista, reunimos la evidencia durante el año, analizamos cada cambio y le proponemos las respuestas. Si el cliente solicita cambios, le informamos cuánto cuestan y qué se puede negociar.
Una auditoría que deja de ser una urgencia, un plan de remediación y una biblioteca de respuestas para el próximo cuestionario.
02
Empresas que necesitan certificar, o trabajar alineadas a la norma porque un cliente lo exige.
Análisis de brechas, evaluación de riesgos, políticas y procedimientos, concientización del personal y auditoría interna.
Un sistema de gestión en funcionamiento, con sus registros al día, listo para el organismo certificador.
Antes de decidir: implementar la norma es un proceso de varios meses, que puede llevar hasta un año y requiere tiempo de su equipo. La certificación tiene además un costo recurrente: el organismo certificador realiza una auditoría de seguimiento cada año y una recertificación cada tres. Por eso, primero analizamos si su cliente exige el certificado o si alcanza con trabajar alineados a la norma.
03
Empresas que usan, compran o desarrollan herramientas de IA, y las que venden o prestan servicios en la Unión Europea.
Inventario de usos de IA, incluidos los agentes, clasificación de riesgos, análisis de si el Reglamento Europeo de IA alcanza a su empresa y brechas frente a ISO/IEC 42001.
Un informe con prioridades, reglas de uso para el personal y un plan, si decide avanzar con ISO/IEC 42001.
Un especialista técnico realiza la evaluación inicial. Luego, el vCISO la actualiza junto con su empresa de forma continua.
04
Empresas que manejan datos personales de clientes, pacientes o usuarios, propios o de terceros.
Función de Responsable de Protección de Datos, inventario de datos, políticas, pedidos de los titulares y gestión de incidentes, según Ley 25.326, GDPR o HIPAA.
Una persona que responde por el tema y la documentación para demostrarlo.
05
Empresas que dependen de terceros para operar, y las alcanzadas por las exigencias del BCRA sobre tercerización.
Inventario y clasificación de proveedores, evaluaciones de riesgo, revisión de cláusulas y seguimiento periódico.
Un catálogo de terceros actualizado y la evidencia de que se los está controlando.
06
Empresas cuyos clientes, directorio o aseguradora preguntan quién responde por la seguridad.
Un experto externo en seguridad, con nombre y apellido, dirige el programa, define prioridades y reporta a la dirección.
Una hoja de ruta, reuniones periódicas y un interlocutor senior para clientes y auditores.
Perfiles
Le piden: cumplir el estándar de seguridad que firmó, demostrarlo cada año y aceptar auditorías, también sobre sus subcontratistas.
Por dónde empezar: Auditorías y cuestionarios recurrentes; Proveedores y terceros.
Le piden: auditorías de sus clientes, control de accesos y puestos de trabajo, y capacitación del personal.
Por dónde empezar: Auditorías y cuestionarios recurrentes; Programa ISO 27001.
Le piden: protección de datos de pacientes, que la Ley 25.326 trata como datos sensibles, y controles sobre quienes acceden a ellos.
Por dónde empezar: Protección de datos; Proveedores y terceros.
Le piden: ISO 27001, cuestionarios en inglés y GDPR o HIPAA, según el cliente.
Por dónde empezar: Programa ISO 27001; Protección de datos.
Método
Le indicamos qué falta, qué le están exigiendo y qué es urgente, con plazo y precio fijos desde el inicio.
Ordenamos el trabajo según lo que exige su cliente, para que no pague por lo que nadie le pide.
Ponemos el plan en marcha, como un trabajo puntual ante una urgencia o como un servicio continuo por abono mensual.
Plataforma
Todos los clientes de Anexo.
Reúne en un solo lugar las normas y los estándares que le exigen sus clientes. Cada control se registra una vez y cubre todas las exigencias que lo piden, con su responsable, su evidencia y su vencimiento.
Un espacio propio donde ve el avance, carga la evidencia y consulta sus políticas, sin esperar un informe mensual.
Si su empresa ya usa una herramienta propia, trabajamos sobre ella.
Adicionales
Se contratan aparte. Los presta un especialista de la red y Anexo los coordina e integra a su programa.
El escaneo básico ya está incluido en el abono. Con este servicio vigilamos de forma continua las direcciones IP, los dominios y los servicios que su empresa tiene visibles desde Internet, sin instalar software en sus equipos.
Un proveedor especializado vigila equipos y cuentas las 24 horas, y actúa ante las alertas. Anexo coordina el servicio y lo integra a su programa.
Alertas priorizadas, un informe mensual y evidencia para sus auditorías.
Se activa con autorización escrita y solo sobre activos de su empresa. Reduce el riesgo y acorta los tiempos de detección, pero ningún servicio puede garantizar la ausencia de incidentes.
Los realiza un proveedor especializado, ya sea el que su empresa tiene hoy o uno que le ayudemos a elegir. Anexo coordina el trabajo, analiza los resultados y, si aparece un problema grave, define con su empresa los pasos a seguir.
Copias de seguridad gestionadas por un proveedor especializado, guardadas fuera de su empresa. Anexo verifica que se puedan recuperar y deja la evidencia para sus auditorías.
Desde cuántos clientes se paga sola la unidad, con sus propios costos.
Abrir la Isla