Un gran cliente corporativo pidió el certificado ISO 27001, ¿podemos hacerlo nosotros mismos sin contratar a un consultor?

Nosotros somos un equipo de 18 personas en Yeda, lo sacamos el año pasado. Pagamos 38.000 SAR por la consultoría y 18.000 SAR a la empresa de auditoría acreditada. El proceso duró exactamente 5,5 meses. Si lo hubiéramos hecho solos, nuestro ingeniero DevOps habría tenido que dejar todo el trabajo de desarrollo durante al menos 3 meses, y eso nos habría salido mucho más caro.

No le carguéis ese peso al ingeniero DevOps. ISO 27001 no es solo firewall o cifrado; los procesos de contratación de RRHH, la seguridad física de la oficina, los contratos con proveedores y la gestión de activos, esas partes administrativas, constituyen más de la mitad del estándar. El ingeniero escribe los controles técnicos pero se atasca en la gestión de procesos.

Tened mucho cuidado al contratar un consultor. La mayoría copia a tu empresa las plantillas de Word que circulan por el mercado y cobra 40.000 SAR. Cuando llega el auditor y pregunta "¿Quién aplica este procedimiento?" tu personal ni se entera. Buscad al que se siente con vosotros a diseñar los procesos, no al que vende plantillas hechas.

nosotros al principio dijimos q lo intentamos solos con plantillas q encontramos en internet pero a los 2 meses nos perdimos solo entre un montón de papeleo. cuando el auditor externo nos echó en cara las faltas en la primera fase tuvimos q contratar un consultor sí o sí. si hay un objetivo claro como 6 meses no busquéis aventuras os lo digo.

Como vuestro cliente es semipúblico en Arabia Saudí, ¿os pidió solo ISO 27001 o también espera cumplimiento con NCA ECC (Essential Cybersecurity Controls)? Leed con atención las especificaciones; a veces en las licitaciones públicas los requisitos NCA contienen condiciones más estrictas que el estándar ISO, y hay que preguntarle esto al consultor desde el principio.

Un recordatorio normativo importante: que la consultora y la empresa de auditoría sean la misma sociedad o entidades asociadas va contra las reglas de acreditación. Al pedir presupuesto, confirmad sin falta la validez de la acreditación del organismo de auditoría independiente que hará la auditoría (por ejemplo, conforme a IAS, UKAS o SASO).

Lo primero que debéis hacer es reducir el alcance. Incluid en el alcance (scope) no toda la operación de la empresa, sino solo la infraestructura del software que ofrecéis al cliente y el equipo de desarrollo. Cuanto más se reduzca el alcance, menos activos habrá que auditar, más se acelerará el proceso y más bajará el coste de la consultoría.

Tiene razón. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Llevé mucho tiempo con este asunto. Si decidimos sin medir, siempre acabamos en el mismo punto.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

hace mucho que oímos eso pero a nosotros nunca nos pasó así. o sea no tengáis miedo de preguntar quien no pregunta siempre paga más caro.

esta es mi opinión no lo escribo como una verdad absoluta.

A nosotros nos pasó esto. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

También me gustaría saber si alguien lo hace de otra manera.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Por supuesto, cambia si tu situación es diferente.

Aquí hay que hacer una distinción. Si regañas las falsas alarmas, nadie volverá a reportar.

También me gustaría saber si alguien lo hace de otra manera.

Aquí hay que hacer una distinción. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Comprobado por experiencia.

Tienes razón, yo también pasé por lo mismo. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Yo seguiría por ese camino.

Hay un error muy común al hacer esto. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Corrijanme si me equivoco.

Quisiera hacer una pregunta. La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Corrijanme si me equivoco.

¿Podría ampliar un poco esto? Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Lo dejo como nota, por si sirve.