Matriz de controles por norma
Cada control de ISO 27001, SOC 2, PCI DSS, LFPDPPP, CNBV o NOM-024 con su responsable, su estado y su evidencia, en una sola vista.
NEO responde las preguntas frecuentes sobre cumplimiento normativo
El cumplimiento normativo en ciberseguridad es demostrar, con evidencias, que una empresa aplica los controles de seguridad que exige una norma, una ley o un cliente: desde ISO 27001, SOC 2 y PCI DSS hasta las regulaciones mexicanas de datos personales, banca y salud. Implica identificar riesgos, implementar controles, documentar políticas y conservar la prueba de que cada control funciona, para que un auditor pueda verificarlo.
No. La certificación la emite un auditor externo acreditado. TecnetOne te prepara y te acompaña para que llegues a esa auditoría con la evidencia lista, no con la esperanza de encontrarla.
Gobierno, riesgo y cumplimiento: las tres cosas que una empresa necesita ordenar para pasar una auditoría. Gobierno son las políticas y los responsables, riesgo es qué puede salir mal y cómo se trata, y cumplimiento es la prueba de que los controles existen y funcionan. TecnetGRC junta las tres en un mismo lugar, por norma.
Sí. TecnetGRC es parte de TecnetSOC y no se contrata por separado. La razón es práctica: buena parte de los controles que piden las normas, como monitoreo, detección y respuesta, los cubre el propio servicio, así que protección y cumplimiento salen del mismo lugar y del mismo proveedor.
Depende de dónde parte tu empresa: cuántos controles ya cubre, cuánta documentación existe y cuánto tiempo puede dedicar tu equipo. El diagnóstico inicial muestra las brechas y de ahí sale un calendario realista para tu caso, no una promesa genérica.
Un SGSI, sistema de gestión de seguridad de la información, es el conjunto de políticas, procesos y controles con los que una empresa administra la seguridad de su información de forma organizada y medible. ISO 27001 certifica precisamente ese sistema, y es lo que tu equipo construye y documenta durante el camino a la certificación.
El Tipo 1 evalúa si los controles están bien diseñados en un momento dado. El Tipo 2 evalúa si además funcionaron durante un periodo, normalmente de varios meses. Por eso, para el Tipo 2 conviene empezar a conservar evidencias desde el primer día del periodo, no al final.
La norma sigue vigente y las auditorías de seguimiento también. La matriz de controles se mantiene al día con lo que tu equipo va registrando y las evidencias del nuevo periodo se suman a las anteriores. El cumplimiento pasa a ser parte de la operación, no un proyecto que se reabre cada año.