Ciberseguridad

La categoría de ciberseguridad agrupa a proveedores de protección de datos, redes y sistemas: evaluaciones de vulnerabilidades y pruebas de penetración, respuesta a incidentes, seguridad gestionada, firewall y protección perimetral, respaldos y continuidad, y concientización del personal.

Es el rubro con más variedad de tamaño de proveedor y con la mayor distancia entre lo que se promete y lo que se entrega, precisamente porque el comprador rara vez puede evaluar el trabajo por sí mismo.

Nadie protege lo que no sabe que tiene. Antes de contratar cualquier servicio conviene poder contestar tres preguntas: qué información sostiene la operación, dónde vive, y quién tiene acceso a ella hoy.

Esas respuestas sirven además para filtrar proveedores. Uno serio va a querer construir ese inventario contigo antes de proponer herramientas. Uno que llega con una lista de productos sin haber preguntado qué hace tu organización está vendiendo licencias.

Sin conocimiento técnico se pueden evaluar cuatro cosas, y suelen bastar para separar propuestas:

• El alcance está delimitado por escrito. Qué sistemas entran, qué queda fuera, en qué fechas y con qué autorización. Una prueba de seguridad sin alcance firmado es un riesgo para las dos partes.
• El entregable es accionable. Un informe que enumera hallazgos sin priorizarlos ni explicar cómo corregirlos es un documento, no un servicio. Pide ver un ejemplo anonimizado antes de contratar.
• Hay reprueba incluida. Corregir sin verificar la corrección deja el trabajo a medias. Pregunta si la validación posterior está incluida y en qué plazo.
• Existe una ruta de escalamiento. Quién contesta cuando algo ocurre a las tres de la mañana, en cuánto tiempo, y qué se activa si el incidente supera lo previsto.

Cuando la organización trata datos personales, la responsabilidad frente a los titulares corresponde al responsable del tratamiento conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Contratar a un proveedor de seguridad reparte el trabajo, no la responsabilidad.

Vale la pena resolver de antemano qué ocurre si hay una vulneración: quién la detecta, quién decide cómo se comunica, en qué plazo y con qué evidencia. Ese acuerdo se toma con calma antes del incidente o a las prisas durante, y la diferencia entre ambos escenarios es enorme.

Dos cosas. La primera son los respaldos probados: casi todas las organizaciones respaldan y muy pocas han intentado restaurar. Un respaldo que nunca se restauró es una hipótesis.

La segunda es el personal. La mayoría de los incidentes empieza por alguien que hizo clic donde no debía, así que la concientización no es un adorno del proyecto. Pregunta si está incluida, con qué periodicidad y cómo se mide.

Pide el alcance delimitado y autorizado por escrito, un ejemplo de entregable, la reprueba incluida, el acuerdo de confidencialidad, el protocolo de incidentes con tiempos y responsables, y la política de respaldo con al menos una restauración de prueba documentada.

Estamos integrando el padrón de este rubro. Si operas una empresa de ciberseguridad, puedes solicitar tu alta desde ahora y aparecer ante quien está buscando estos servicios en tu plaza.