Evaluación de madurez
Diagnóstico honesto de dónde está su programa de seguridad, contra un marco reconocido, con una hoja de ruta priorizada por riesgo y por lo que su presupuesto permite.
- Para quién es
- Organizaciones que están construyendo su programa de seguridad, que necesitan justificar inversión ante la junta directiva, o que enfrentan requisitos de un cliente, un regulador o una aseguradora.
- Duración típica
- 4 a 8 semanas
- Marcos de referencia
- NIST CSF 2.0CIS Controls v8.1ISO/IEC 27001C2M2
La mayoría de las organizaciones no tienen un problema de herramientas. Tienen un problema de saber qué comprar primero, y una evaluación de madurez existe para responder exactamente eso.
Por qué NIST CSF 2.0
Salvo que su sector le imponga otro marco, recomendamos NIST CSF 2.0 como base. Cubre las seis funciones — Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar — en un lenguaje que su junta directiva puede seguir sin traducción técnica, y su aseguradora ya lo reconoce.
Si necesita ISO 27001 por requisito de un cliente, o CIS Controls por su perfil operativo, trabajamos sobre esos y mapeamos entre marcos para que no tenga que repetir el ejercicio.
Lo que hace distinta a esta evaluación
Es fácil producir un informe de madurez que califique todo en 2 sobre 5 y recomiende “mejorar la gobernanza”. Eso no le sirve a nadie. Nosotros entregamos tres cosas concretas:
Calificación con evidencia. Cada puntaje está sustentado en algo verificable — un documento, una configuración observada, una entrevista. Si un control se califica bajo, usted puede ver exactamente por qué.
Priorización por costo-beneficio real. La brecha más grande no siempre es la que hay que cerrar primero. Ordenamos por cuánto riesgo elimina cada iniciativa dividido entre cuánto cuesta ejecutarla.
Una hoja de ruta que se puede presupuestar. Con fases, dependencias, esfuerzo estimado en horas y un rango de costo. Un plan que no se puede presupuestar no se ejecuta.
Sobre la incomodidad del resultado
Una evaluación útil casi siempre incomoda a alguien. Si el resultado va a ser que el programa está más atrás de lo que la organización cree, se lo vamos a decir — con la evidencia al lado. Un diagnóstico complaciente es más caro que uno honesto, solo que la factura llega después.
Cómo lo ejecutamos
- 01
Definición del objetivo
La madurez máxima no es la meta correcta para todas las organizaciones. Primero acordamos qué nivel es razonable para su tamaño, sector y apetito de riesgo.
- 02
Recolección de evidencia
Entrevistas con las áreas involucradas, revisión documental y validación técnica. No calificamos un control como implementado solo porque exista la política que lo describe.
- 03
Calificación
Evaluación contra el marco seleccionado, con la evidencia que sustenta cada calificación documentada y disponible.
- 04
Priorización
Ordenamos las brechas por reducción de riesgo sobre esfuerzo requerido. Lo primero de la lista es siempre lo que más mueve la aguja por lo que cuesta.
- 05
Hoja de ruta
Plan por fases con responsables, dependencias y una estimación de costo suficientemente realista para presentarla a finanzas.
Qué recibe
- Calificación de madurez por función y categoría del marco elegido
- Análisis de brechas entre el estado actual y el objetivo definido
- Hoja de ruta priorizada a 12 y 24 meses, con esfuerzo y costo estimados
- Presentación ejecutiva lista para junta directiva
- Matriz de trazabilidad hacia los requisitos regulatorios que le apliquen