Cumplimiento y GRC

Para qué sirve este estante

Software que lleva el seguimiento de las obligaciones de seguridad y privacidad: los controles que dice operar, las evidencias de que funcionan, las políticas que la gente debe leer y los cuestionarios que envían los clientes antes de firmar.

Los compradores llegan aquí por una de dos razones. Un acuerdo está bloqueado por un certificado, o un regulador se ha interesado. La primera es frecuente y trae un plazo adjunto, y por eso esta categoría vende tanto la rapidez.

Las herramientas que realmente hacen cumplir accesos y secretos están en seguridad. La firma de contratos y los flujos de aprobación pertenecen a firma electrónica y contratos.

Qué hacen realmente estos productos

Aquí nadie emite un certificado. El software recopila evidencias, las asigna a un marco y las mantiene al día entre auditorías. Un auditor acreditado sigue examinando su práctica y formando una opinión.

Entender ese límite evita la decepción cara de esta categoría. Una plataforma puede ahorrar meses de reunir capturas de pantalla. No puede acortar el periodo durante el cual un auditor necesita ver sus controles en funcionamiento, y no puede superar una auditoría en nombre de una empresa que no hace lo que afirma.

El trabajo se divide en cuatro partes: redactar políticas, implantar controles, demostrar que funcionan y responder preguntas sobre las tres. Los productos difieren en cuánto cubren de cada una.

Marcos y cuánto se solapan

Parta de los marcos que los clientes piden de verdad, no de la lista más larga de un sitio web.

• Atestaciones de seguridad solicitadas en las ventas a grandes empresas, con un periodo de observación antes de que exista el informe.
• Normas certificables con un ciclo formal de auditoría y visitas de seguimiento entre ellas.
• Normativa de privacidad, donde las obligaciones son legales y no certificadas.
• Normas sectoriales de salud, datos de tarjetas de pago, sector público o finanzas, que prevalecen sobre los consejos generales.
• Cuestionarios de clientes, sin estandarizar, interminables y la razón de que existan las bibliotecas de respuestas.

La mayoría de los controles se repiten entre marcos. Las buenas plataformas asignan cada evidencia a todos los marcos que satisface, y eso es lo que hace que la segunda norma sea mucho más barata que la primera. Compruebe esa correspondencia para su combinación concreta.

La monitorización continua es la parte que vale la pena pagar

Las evidencias reunidas una vez al año son una fotografía. Los controles se desvían al día siguiente de tomarla.

Conecte la plataforma a su proveedor de identidad, sus cuentas en la nube, sus repositorios de código y sus herramientas de equipos, y podrá comprobar de forma continua que se hicieron las revisiones de acceso, que los equipos están cifrados, que se dio de baja a quienes se fueron y que se revisaron los cambios en producción.

Haga tres preguntas al respecto. Qué integraciones existen para los sistemas que usted ejecuta de verdad. Qué ocurre cuando falla una comprobación, ya que una alerta sin responsable es decoración. Y si los hallazgos se pueden asignar, seguir y cerrar dentro de la herramienta en lugar de copiarlos a una hoja de cálculo.

Personas, políticas y formación

Las políticas que nadie lee son un hallazgo a la espera de producirse.

Busque distribución con acuse de recibo, un control de versiones que resista a un auditor que pregunta qué decía la política en marzo y recordatorios que lleguen a la persona y no a una bandeja compartida. Algunos proveedores incluyen la formación en concienciación sobre seguridad y otros la venden aparte, y la versión incluida suele bastar.

Las listas de comprobación de alta y baja de personal lo atan todo, porque los accesos que quedan tras la salida de alguien son el hallazgo más común en una primera auditoría.

Cuánto cuesta realmente el año

La suscripción a la plataforma es una línea de tres. El auditor es la segunda, a menudo mayor. Las pruebas de penetración, si el marco o un cliente las espera, son la tercera.

El precio de la plataforma suele escalar según el número de empleados, el marco y los sistemas conectados, y a veces la recopilación automática de evidencias queda por encima del plan de entrada. Pida la cifra completa del primer año, incluida cualquier cuota de incorporación, y pregunte después cómo es la renovación una vez terminada la implantación. Las costumbres detrás de esas cifras se desmenuzan en lo que ocultan las páginas de precios.

Secuenciar una primera certificación

El orden del trabajo importa más que la plataforma, porque la mayor parte del retraso viene de cosas que el software no puede acelerar.

Empiece por el alcance. Qué sistemas, qué ubicaciones y qué partes del negocio quedan cubiertos decide cuántas evidencias hay que reunir, y un alcance excesivo es el coste autoinfligido más común.

Después corrija los controles que van a fallar claramente: revisiones de acceso que nadie hace, personas que se fueron con cuentas activas, equipos sin cifrado y políticas escritas hace años y nunca leídas. Eso lleva semanas y ninguna herramienta puede acortarlo.

Incorpore la plataforma cuando eso esté en marcha, para que reúna evidencias de prácticas que ya existen en lugar de documentar su ausencia.

Reserve al auditor con tiempo. La disponibilidad, y no la preparación, es con frecuencia lo que fija la fecha.