EIANSecurityGovernanceModelEstructuras, roles, procesos y decisiones para dirigir la seguridad
Diseñamos el modelo con que la Junta, los comités y el CISO dirigen la seguridad y los riesgos tecnológicos: roles, decisiones, métricas y madurez.
09
Gobierno de seguridad
- Componentes12
- Alineado con27001 · 27014 · NIST · COBIT
- Horizonte3 años
Un Modelo de Gobierno de Seguridad es el conjunto de estructuras, roles, procesos, políticas, controles y mecanismos de decisión que permiten dirigir, supervisar y controlar la seguridad de la información, la ciberseguridad y los riesgos tecnológicos. Sin métricas ni responsables claros no existe gobierno.
Alcance
Qué incluye esta línea.
Se arma por módulos: tomamos solo lo que tu operación necesita, empezando siempre por el proceso.
- Marco estratégico: visión, misión, principios, objetivos, apetito y tolerancia al riesgo
- Estructura organizacional (Junta, comités, CISO y dueños de procesos), matriz de decisiones y RACI
- Gestión integral de riesgos
- Marco normativo en cuatro niveles
- Capacidades de seguridad: gobierno, protección, detección, respuesta y recuperación
- Gestión de terceros y de cumplimiento
- Gestión de incidentes y crisis
- Indicadores y métricas por nivel
- Modelo de madurez y roadmap de seguridad a tres años
Marcos y normas
Estándares internacionales que respaldan el trabajo.
Auditamos, implementamos y formamos a tus equipos sobre los marcos que exige tu sector.
ISO/IEC 27014
Gobierno de la seguridad
Cómo la alta dirección dirige, evalúa y monitorea la seguridad para alinearla con el negocio.
COBIT 2019
Gobierno y gestión de TI
Traduce los objetivos estratégicos en procesos, controles, métricas y responsabilidades.
NIST CSF 2.0
Riesgo cibernético
Incluye la función Govern además de Identify, Protect, Detect, Respond y Recover.
ISO/IEC 27001 · 27002
SGSI y controles
Sistema formal y auditable de seguridad, con mejora continua.
Los 12 componentes
La estructura completa del modelo.
01
Marco estratégico
- Visión, misión y principios
- Objetivos estratégicos
- Apetito y tolerancia al riesgo
- Políticas corporativas
02
Estructura organizacional
- Junta Directiva: aprueba estrategia y apetito
- Comité de Riesgos: riesgos críticos e inversiones
- Comité de Seguridad: programa, vulnerabilidades, incidentes
- CISO y dueños de procesos
03
Toma de decisiones
- Política de seguridad: Junta
- Riesgos críticos: Comité de Riesgos
- Excepciones: Comité de Seguridad
- Incidentes: CISO · controles: líderes de proceso
- Matriz RACI
04
Gestión integral de riesgos
- Identificación: activos, amenazas, vulnerabilidades
- Análisis: probabilidad e impacto
- Tratamiento: mitigar, transferir, evitar o aceptar
- Monitoreo permanente
05
Marco normativo
- Nivel 1 · Políticas
- Nivel 2 · Estándares
- Nivel 3 · Procedimientos
- Nivel 4 · Guías y formatos
06
Capacidades de seguridad
- Gobierno: estrategia, riesgos, cumplimiento
- Protección: IAM, PAM, cifrado, DLP
- Detección: SIEM, SOC, monitoreo
- Respuesta: incidentes y CSIRT
- Recuperación: BCP, DRP, resiliencia
07
Gestión de terceros
- Due diligence
- Evaluaciones de seguridad
- Cláusulas contractuales
- Evaluaciones periódicas y monitoreo continuo
08
Gestión de cumplimiento
- ISO 27001 e ISO 22301
- NIST CSF y COBIT
- GDPR y protección de datos
- Regulación sectorial
09
Incidentes y crisis
- Operativo: SOC
- Táctico: CSIRT
- Estratégico: Comité de Crisis
- Ransomware, fuga, DoS, fraude, identidad
10
Indicadores y métricas
- Junta: riesgo residual, madurez, cumplimiento
- Comité: vulnerabilidades críticas, tiempo de remediación
- Operación: parches, eventos, usuarios capacitados
11
Modelo de madurez
- Nivel 1 · Inicial
- Nivel 2 · Repetible
- Nivel 3 · Definido
- Nivel 4 · Gestionado
- Nivel 5 · Optimizado
12
Roadmap a 3 años
- Fase 1 · Fundamentos
- Fase 2 · Fortalecimiento
- Fase 3 · Optimización
Para la Junta Directiva
Diez temas que se presentan.
Estructura ejecutiva
- 1. Estrategia de seguridad
- 2. Gobierno y roles
- 3. Gestión de riesgos
- 4. Cumplimiento y regulación
- 5. Capacidades de ciberseguridad
- 6. Gestión de incidentes
- 7. Indicadores y KPIs
- 8. Presupuesto e inversiones
- 9. Roadmap de seguridad
- 10. Estado de madurez y riesgo residual
Cómo se conecta con la IA
Este modelo es la base del Modelo Integrado de Gobierno, Riesgo y Seguridad para IA: ahí se le suman ISO 42001, 23894 y 27090.
Ver el modelo integrado
Cómo lo hacemos
Primero fundamentos. Después optimizamos.
- 1
Fase 1 · Fundamentos
Políticas, inventarios, riesgos y gobierno.
- 2
Fase 2 · Fortalecimiento
SOC, SIEM, gestión de vulnerabilidades e IAM.
- 3
Fase 3 · Optimización
Zero Trust, automatización, SOAR e IA aplicada a la ciberseguridad.
Todas las líneas
Funcionan mejor juntas.
Comenzar proyecto
Cuéntanos tu visión o tu desafío.
Empezamos por entender tu proceso, no por venderte una herramienta. Si tu empresa no está lista para IA, te lo diremos.
- Diagnóstico honesto de tu proceso
- Propuesta con alcance y resultados medibles
- Acompañamiento del diagnóstico a la IA