El cliente nos pide un centro de operaciones de ciberseguridad, ¿es obligatorio para una empresa de 20 personas?

No marquen directamente "No" en la casilla del formulario de proveedores. Hagan un protocolo previo con un proveedor externo de seguridad gestionada y pongan "Monitoreado 24/7 mediante infraestructura SOC gestionada por terceros", si no los descartan directamente.

edit: escrito desde el móvil, perdonad las erratas.

Nosotros entramos a una licitación pública parecida siendo 22 en el equipo. Si lo montábamos internamente nos salía mínimo 400.000 SAR al año solo en personal. Contratamos SOC externo; pagamos unos 4.800 SAR al mes para 8 servidores y 25 endpoints, y pasamos la auditoría del cliente sin problemas.

Asegúrense de que el centro de operaciones externo que contraten guarde los registros dentro de las fronteras de Arabia Saudí. Por normativas nacionales de datos, los proveedores de sectores críticos que transfieren registros de seguridad fuera del país se exponen a sanciones administrativas.

Las grandes empresas mandan esos formularios estándar a todo el mundo. La mayoría de las veces saben que una pyme de software no puede costearlo. Si se sientan a negociar y explican que solo monitorean los endpoints de las API y garantizan el almacenamiento de logs, suelen flexibilizar la condición.

el q le diga a una empresa de 20 personas q monte soc interno no tiene ni idea del mercado. contratando analistas a 3 turnos te arruinas. pillen un paquete compartido por mssp y le enseñan el contrato al cliente y listo.

edit: arriba escribí mal, disculpad.

Al elegir proveedor externo revisen estas tres cosas en la propuesta: 1) Tiempo de primera respuesta ante alertas críticas de seguridad (el SLA debe ser de 15-30 minutos), 2) Retención de registros de al menos 12 meses hacia atrás, 3) Formato de reporte mensual de incidentes que puedan presentar a su cliente en las auditorías.

¿En el pliego del cliente hay alguna referencia explícita a los Controles Básicos de Ciberseguridad (ECC) o Controles de Proveedores (CCC) de la NCA? Si la hay, ¿qué nivel de cumplimiento están exigiendo?

nosotros activamos las alertas de seguridad y notificaciones por correo de nuestro proveedor de servidores cloud, ¿eso solo no cuenta como haber cumplido el requisito de ceentro de operaciones?

Tiene razón. No confíes en una sola medida; ve capa por capa.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Ánimo.

Voy a defender lo contrario, no se molesten. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Esta es mi opinión no lo escribo como una verdad absoluta.

permíteme resumir lo que se ha dicho hasta ahora pero ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

que la copia de seguridad sea accesible en la misma red y con la misma identiad la convierte en parte del objetivo.. y pues corrijanme si me equivoco.

Permíteme resumir lo que se ha dicho hasta ahora. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Ánimo.

Tienes razón, yo también pasé por lo mismo. Que todo el mundo haga algo no significa que sea lo correcto.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

A mí me pasó justo al revés, por eso escribo. Lo importante no es la cifra, sino en qué se basa esa cifra.

Comprobado por experiencia.

Totalmente. Si tuviera que añadir algo más: Que todo el mundo haga algo no significa que sea lo correcto.

Lo dejo como nota, por si sirve.

Yo también pienso lo mismo. Una copia de seguridad no probada no es una copia de seguridad.

Espero que le sea útil.

Exactamente así. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Comprobado por experiencia.

separemos los conceptos se están confundiendo. los entornos de prueba olvidados son una puerta de entrada más fercuente que el sistema en producción.