ISO 27001, NIS2 y RGPD en la práctica

Del diagnóstico a la implementación

El diagnóstico UE muestra en qué punto está su empresa frente a lo que piden los clientes de la UE. Después suele darse una de tres situaciones. Un cliente exige un certificado como ISO 27001 o ISO 9001. Tiene sobre la mesa un cuestionario sobre NIS2 o el RGPD que hay que responder con pruebas. O quiere ordenar su propia TI para que un incidente de seguridad no le cueste el contrato de exportación.

En cualquiera de estos casos puede trabajar con su propio personal, con consultores locales o con el proveedor que prefiera. Los contenidos de MercoEU no presuponen ningún producto en particular. Las ofertas que siguen son de neonotu GmbH, con sede en Múnich, que opera MercoEU. Aquí no publicamos precios; figuran en la página de cada producto o se informan a pedido.

Sightadel: plataforma GRC para normas y marcos regulatorios

Sightadel guía a su equipo paso a paso a través de una norma. Usted elige el marco, Sightadel crea todos los puntos de control según los capítulos de la norma y muestra en todo momento qué está hecho y qué viene después. Para cada requisito hay plantillas sectoriales tomadas de la práctica de consultoría y certificación. Una IA genera propuestas a partir de lo que usted ya cargó, y usted decide si las adopta, las modifica o las descarta. Las decisiones, como la evaluación de sus riesgos, siguen siendo suyas.

Entre otros, admite ISO/IEC 27001, ISO 9001, ISO/IEC 42001, NIS2, DORA, RGPD, HACCP, SOC 2 y el Reglamento de IA de la UE. Los requisitos propios de un cliente se pueden cargar como un marco aparte. Lo que usted elaboró para una norma, Sightadel lo aprovecha para la siguiente. Una empresa de software de Montevideo que arma primero su ISO 27001 ya tiene así buena parte de las respuestas para el cuestionario NIS2 de su cliente en Fráncfort.

Sightadel se desarrolla, se opera y se aloja en Alemania. El tratamiento se realiza como encargo de tratamiento según el art. 28 del RGPD. Para la auditoría, el auditor recibe un acceso propio sin permisos de borrado. La plataforma se puede probar gratis durante 14 días.

Sightadel con paquete de consultoría: hasta la certificación

Hay preguntas que ninguna plantilla responde. ¿Cómo se delimita el alcance si el empaque está en Uruguay y la venta en Brasil? ¿Le alcanza al auditor la metodología de riesgos? Para eso existe Sightadel como paquete de plataforma más acompañamiento personal de consultores con experiencia en auditoría y certificación, si lo desea hasta la certificación.

Los consultores trabajan directamente en Sightadel: usted hace la pregunta en el control en el que está trabajando y la respuesta queda documentada ahí. La auditoría en sí la realiza un organismo de certificación independiente y acreditado. Consultor y auditor nunca son la misma persona, y ni neonotu ni los auditores reciben comisiones por las auditorías. neonotu GmbH está certificada según ISO 9001 e ISO/IEC 27001, pero no emite certificados.

Si internamente no tiene a nadie a cargo de la seguridad de la información, puede sumar un responsable de seguridad de la información o CISO externo de neonotu GmbH. Sirve cuando un cliente de la UE exige en el contrato un responsable designado de seguridad de la información. Las consultas sobre el paquete se hacen a través de sightadel.com.

veyrisk: su superficie de ataque, revisada desde afuera

Muchos cuestionarios de seguridad preguntan cómo detecta vulnerabilidades y en cuánto tiempo las corrige. veyrisk responde de forma continua la primera mitad de esa pregunta. El servicio busca desde afuera todo lo que hace accesible a su empresa en internet: dominios, servidores, aplicaciones web, cuentas en la nube y también sistemas de prueba olvidados. Cada hallazgo recibe una prioridad según su gravedad, si se conoce explotación activa y la importancia del sistema. Después de la corrección, un nuevo escaneo confirma que la brecha está cerrada.

veyrisk es un servicio. Para el análisis externo no hace falta instalar nada. Los resultados se ven en un portal de clientes, desde donde también se pueden usar como informe para un cliente o un auditor. Además de la superficie de ataque externa, veyrisk cubre a pedido la gestión de vulnerabilidades en sistemas internos, aplicaciones web y API, las configuraciones en la nube de AWS, Azure y Google Cloud, y las identidades en Microsoft 365. El servicio se opera en Alemania.

Valar: firewall de hardware hecho en Alemania

Valar es un firewall de hardware de neonotu GmbH. El software de todos los modelos lo mantiene neonotu en Alemania y lo actualiza directamente. Incluye reglas por zonas según segmento de red, aplicación y usuario, prevención de intrusiones, inspección SSL por zona, VPN para sedes y personal móvil, filtrado web y una detección propia basada en IA para comportamientos anómalos sin firma conocida.

Hay cuatro modelos, desde la sucursal pequeña con unos 25 usuarios hasta el operador de infraestructura crítica. Para una oficina de exportación en Antofagasta suele bastar el equipo más chico; una planta de procesamiento con varias sedes necesita más bien uno mayor. La licencia depende solo del modelo y del plazo, sin módulos adicionales.

Quién está detrás

Sightadel, veyrisk y Valar son productos de neonotu GmbH, con sede en Múnich. neonotu desarrolla soluciones de seguridad de la información y cumplimiento normativo y presta servicios de ciberseguridad. La empresa está certificada según ISO 9001 e ISO/IEC 27001.

MercoEU se financia con estas ofertas. Eso no cambia que todos los contenidos, el diagnóstico UE y las respuestas de “Pregúnteme” se puedan usar sin comprar nada y sin compromiso. Si no está seguro de que haya algo que hacer, empiece por el diagnóstico.

FAQ