¿Qué cumplimiento de ciberseguridad piden en una licitación en Arabia Saudí y cuánto cuesta?

Los puntos q más se atascan en la auditoría técnica: el cifrado de datos en reposo en la base de datos, la autenticación multifactor (MFA) en todos los paneles de administración y el servidor de logs centralizado. Además, por la regla de soberanía de datos, se exige q el proveedor de nube q uses tenga centro de datos local dentro de Arabia Saudí.

Añadir estos documentos al expediente de la oferta puede salvar el proceso: 1) Formulario de autoevaluación rellenado según la plantilla oficial, 2) Resumen de la política de seguridad de la información de la empresa, 3) Si la hay, un compromiso de cumplimiento a 60 días con fecha para los puntos pendientes. Las entidades públicas, en vez de rechazar directamente, suelen aceptar este compromiso.

El año pasado nos pasó en Dammam en una licitación pública similar, para un contrato de 500.000 SAR. La auditora ofertó 60.000 SAR, se salía de nuestro presupuesto. Con un consultor local hicimos el análisis de brechas por 18.000 SAR, redactamos las políticas y ganamos la licitación. Antes de la entrega del trabajo vinieron a inspeccionar los controles in situ.

Si en la licitación hay esta cláusula y te llevas el trabajo el contratista principal se reserva el derecho de auditoría sin previo aviso durante el contrato. Firmar 'somos conformes' solo para presentar la oferta y no tomar ninguna medida técnica es muy arriesgado. En caso de filtración se quema tu garantía y te expulsan de la lista oficial de proveedores.

¿En el pliego de la licitación se exige expresamente un informe certificado por terceros a través de una empresa auditora acreditada, o solo piden una declaración jurada del proveedor? Este detalle puede triplicar directamente los costos.

En el mercado de Arabia Saudita, las normativas de ciberseguridad se han vuelto obligatorias en los últimos dos años para los proveedores de infraestructuras críticas. Sería conveniente no ver los requisitos del pliego como un gasto puntual de la licitación, sino como una inversión que aumentará su potencial de negocio corporativo en la región.

No te asustes, ordenar los procesos en un equipo de 14 personas es mucho más rápido que en una gran empresa. En vez de comprar software corporativo de seguridad carísimo, puedes cifrar la infraestructura que ya tienes, definir bien las reglas de acceso y registros (logs), y así pasar la mayoría de los controles rápidamente.

Voy a contar mi experiencia. Antes de decidir, mirad qué datos tenéis en la mano.

Antes de decidir, mirad qué datos tenéis en la mano. Ánimo.

Dejo una advertencia. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

sí, la situación con cumplimiento de ciberseguridad es exactamente así... los cambois en los datos de pago nunca se verifican por el mismo canal por el que llegan.

corrijanme si me equivoco.

Quisiera hacer una pregunta. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Espero que le sea útil.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Todos los que se apresuran con cumplimiento de ciberseguridad se atascan en el mismo punto.

También me gustaría saber si alguien lo hace de otra manera.

Han surgido tres opiniones distintas, todas se complementan. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Yo pasé por esto, déjenme contarlo. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Lo importante no es la cifra, sino en qué se basa esa cifra. Comprobado por experiencia.

Llevé mucho tiempo con este asunto. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Por supuesto, cambia si tu situación es diferente.

Sí la situación con cumplimiento de ciberseguridad es exactamente así. Si el permiso y el alcance no están por escrito que no empiece la prueba.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. en fin eso es todo, disculpa si me he extendido demasiado.

exactamente así luuego la verdad si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

por supuesto cammbia si tu situación es diferente.

Permíteme resumir lo que se ha dicho hasta ahora. Si el permiso y el alcance no están por escrito, que no empiece la prueba.