Consultoría en seguridad de la información y ciberseguridad
Atesta ayuda a las empresas a demostrar, con evidencia verificable, que protegen su información: liderazgo vCISO, gestión de riesgos, privacidad, continuidad del negocio y preparación para ISO 27001 y SOC 2.
Lo que entrega la evaluación inicial
Informe ejecutivo para la dirección
Gap Analysis ISO/IEC 27001 y 27002:2022
Matriz de mapeo y preparación para SOC 2
Registro de riesgos priorizado
Hoja de ruta a 12 meses con responsables
CISM · ISACA
Certified Information Security Manager
Más de 18 años
En seguridad de la información, riesgos, privacidad y continuidad
ISO 27001 · NIST CSF
ISO 31000 · PCI DSS · COBIT
Tecnología y finanzas
Experiencia también en consultoría
Por qué importa
Para vender a empresas medianas y grandes, atender a un cliente regulado o recibir inversión, ya no basta con decir que la información está protegida. Se necesita evidencia.
Los clientes enterprise envían cuestionarios de seguridad antes de firmar y los repiten cada año.
Cada vez más licitaciones y contratos piden ISO 27001 o un informe SOC 2 como requisito.
Inversionistas y compradores revisan la madurez de seguridad en rondas de inversión y procesos de fusión o adquisición.
Si mañana un cliente te pidiera tu informe SOC 2 o tu certificado ISO 27001, ¿qué presentarías hoy?
Servicios
Seis áreas que cubren el ciclo completo de la seguridad de la información, alineadas a estándares internacionales.
Liderazgo de seguridad de tiempo parcial, sin el costo ni la carga de nómina de un director de tiempo completo.
Diseño e implementación de marcos normativos y programas de seguridad alineados a las mejores prácticas.
Identificar, evaluar y tratar los riesgos que pueden afectar la operación y los objetivos del negocio.
Cumplimiento de la normativa de protección de datos personales y confianza frente a clientes y proveedores.
Preparar a la organización para operar y recuperarse ante interrupciones.
Preparación para ISO/IEC 27001 y SOC 2, con plan de remediación y acompañamiento.
Evaluación inicial
El Gap Analysis ISO/IEC 27001 y 27002:2022 y la preparación para SOC 2 parten de la misma evidencia. Los controles de ambos marcos se solapan: se evalúa una vez y se mapea dos veces, sin duplicar trabajo.
Entrada
Resultado 1
Cláusulas 4 a 10 y los 93 controles de ISO 27002, cada uno con su nivel de madurez.
Resultado 2
Brechas frente a los criterios de confianza y recomendación de informe Tipo I.
S1
S2
S3
S4
S5
S6
Inicio y alcance
Semana 1
Evidencia
Semanas 1 a 3 · entrevistas y documentos
Validación técnica
Semanas 2 a 4 · en pantalla, con tu equipo
Gap ISO 27001 y 27002
Semanas 3 a 5
Mapeo SOC 2
Semanas 4 y 5
Riesgos y hoja de ruta
Semanas 5 y 6
Sesión de resultados
Semana 6 · hito final
Estimación para una empresa de software pequeña o mediana con alcance acotado. El calendario final se confirma al inicio, según el tamaño del equipo y el número de productos.
1
Resultados, riesgos principales y decisiones para la dirección.
2
Estado por cláusula de ISO 27001 y por control de ISO 27002, con nivel de madurez.
3
Correspondencia entre los controles ISO y los criterios de confianza de SOC 2.
4
Riesgos priorizados con probabilidad, impacto y responsable.
5
Quick wins, remediación y ruta a certificación, presentadas a la dirección.
6
Lista en Excel de qué revisar, dónde y cómo, ligada a ISO 27002 y SOC 2.
Atesta prepara y acompaña. La certificación ISO 27001 la emite un organismo acreditado y el informe SOC 2, una firma de contadores públicos.
Empieza con una sesión de descubrimiento de 30 minutos.
Enfoque
Un proceso claro, con evidencia en cada paso y decisiones basadas en riesgo, no en suposiciones.
1
Sesión de descubrimiento, acuerdo de confidencialidad y definición del alcance.
2
Entrevistas, revisión documental y validación técnica guiada en pantalla con tu equipo.
3
Brechas y riesgos con nivel de madurez actual y objetivo, para decidir qué corregir primero.
4
Hoja de ruta a 12 meses con prioridades, esfuerzo y responsables, y apoyo en la remediación.
Cada hallazgo se respalda con entrevistas, documentos o validaciones observadas.
En la evaluación inicial, la validación técnica se hace en sesiones guiadas en pantalla con tu equipo.
Antes de iniciar se firma un acuerdo de confidencialidad y se define el alcance.
0
Inexistente
1
Inicial
2
Repetible
3
Definido
4
Gestionado
5
Optimizado
Cada control de ISO 27002 y cada criterio de SOC 2 recibe un nivel actual y uno objetivo, para priorizar la remediación.
Sobre Atesta
Atesta es la práctica de consultoría de Hugo Efraín Soto López, vCISO con más de 18 años de experiencia en seguridad de la información, gestión de riesgos, control interno, privacidad, continuidad del negocio y prevención de fraudes.
Ha trabajado en organizaciones de tecnología, servicios financieros y consultoría, entre ellas Coppel, BanCoppel, ConCrédito y Ernst & Young, y ha participado en proyectos de migración segura a la nube con Epam/Neoris. Cuenta además con experiencia en auditoría bajo SOX/COSO.
vCISO · CISM
Certificación
Certified Information Security Manager (CISM), ISACA, 2014
Formación
Maestría en Gestión en las TI, TecMilenio
Marcos y normativa
ISO 27001 y 27002, NIST CSF, ISO 31000, PCI DSS, COBIT, LFPDPPP
Preguntas frecuentes
Un vCISO (CISO virtual) es un director de seguridad de la información de tiempo parcial. Conviene cuando la empresa necesita liderazgo y dirección en seguridad, pero todavía no justifica un ejecutivo de tiempo completo.
ISO/IEC 27001 certifica un sistema de gestión de seguridad de la información, con un ciclo de tres años y auditorías anuales de vigilancia, y tiene reconocimiento internacional. SOC 2 es un informe de atestación sobre los controles del servicio, emitido por una firma de contadores públicos y muy demandado en EE. UU. y Canadá. El Tipo I evalúa el diseño de los controles en una fecha; el Tipo II, su operación durante un periodo. Ambos se apoyan en controles muy parecidos, por eso conviene evaluarlos juntos.
No. La certificación ISO 27001 la emite un organismo de certificación acreditado y el informe SOC 2, una firma de contadores públicos. Atesta prepara a la organización, identifica las brechas y la acompaña en el camino.
El calendario de referencia es de 6 semanas para una empresa de software pequeña o mediana con alcance acotado. Se confirma al inicio del proyecto, según el tamaño del equipo y el número de productos.
No en la evaluación inicial. La validación técnica se realiza en sesiones cortas, en pantalla, con el administrador de tu empresa y apoyadas en una guía escrita de qué revisar, dónde y cómo.
No. La evaluación inicial sirve justamente para saber qué tan lejos está la organización de ISO 27001 y SOC 2, y qué corregir primero. Con ese resultado se decide si conviene certificarse y en qué orden.
Contacto
En la sesión se revisan la operación, los clientes y los compromisos de seguridad que vienen, para definir si una evaluación inicial es el paso adecuado.
1
Sesión de descubrimiento de 30 minutos
2
Acuerdo de confidencialidad y definición del alcance
3
Inicio del proyecto: semana 1 de levantamiento