Nos piden controles básicos de ciberseguridad antes de firmar un contrato, ¿qué son exactamente y cuáles deberíamos implementar sí o sí?

a nosotros nos pasaron exactamente el mismo formulario para un proyecto de logística similar en riad pero eran 40 puntos y la mitad ni aplicaban a un equipo de 10 personas como nosotros. mandamos capturas de la mfa y los backups, pusimos fecha para el resto con una carta de compromiso y nos lo aceptaron, no os agobiéis.

En la parte técnica lo que más miran es que no tengáis los puertos SSH y RDP abiertos al público. Cerrad el acceso directo a vuestros servidores mediante IP pública y ponedlo al menos detrás de una VPN sencilla o restricción por IP. Si mostráis este paso y los registros de MFA activos en el informe, pasaréis la auditoría técnica fácilmente.

Las grandes empresas saben perfectamente que no tenéis un centro de operaciones de seguridad gigante. Lo que realmente buscan es asegurarse de que no usen vuestra infraestructura como trampolín para colarse en sus servidores. Si documentáis que la línea de integración con el cliente está separada lógicamente de vuestra propia red, la percepción de riesgo baja al instante.

El año pasado gastamos unos 18.000 SAR para completar una lista de proveedores similar. 6.000 SAR se fueron en licencias de un gestor de contraseñas e identidades centralizado, y el resto en una arquitectura de copias de seguridad aisladas y automatizadas en la nube. Resolvimos 19 de los 28 puntos del formulario de inmediato, y los otros 9 en la auditoría de 3 meses después.

La mayoría de los cuestionarios de proveedores son un simple copiar y pegar, por desgracia. El comprador del otro lado no entiende la profundidad técnica de los puntos, solo busca que las casillas estén marcadas y firmadas. Pero si llega a haber una filtración, esos compromisos se convierten en bazas legales; por eso nunca pongáis "hecho" a algo que no hayáis hecho.

Antes de empezar a rellenar el formulario, pedid una reunión de 15 minutos con el responsable de seguridad de la información de la otra parte. Decidle: "somos una PYME, tenemos los controles técnicos clave listos y queremos distribuir los aspectos de políticas corporativas a lo largo del calendario del proyecto". El noventa por ciento lo ve razonable y aprueba la hoja de ruta.

para el puno de formación en concienciación de ciberseguridad para el personal ¿hace falta pedir sí o sí un certificado de pago de una entidad acreditada, o basta como prueba con una presentación básica hecha de forma interna y una hoja de firmas?

Un contrato de 450.000 SAR está súper bien no os agobiéis para nada. Las grandes empresas renuevan este papeleo todos los años por mero trámite. Al principio asusta pero una vez afianzas lo básico, el resto es solo burocracia.

Si lo ves como un proceso, el panorama cambia. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

También me gustaría saber si alguien lo hace de otra manera.

Tengo una pregunta, no quiero desviarme del tema, pero... El error cometido por controles básicos de ciberseguridad suele ser reversible, pero caro.

Las decisiones apresuradas son las que hay que corregir seis meses después. Por supuesto, cambia si tu situación es diferente.

Rara vez se encuentra un texto que lo explique tan claro.

gracias, me ha servido de mucha ayuda.

No sabía eso.

buen trabajo.

Hay que ir paso a paso. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Lo dejo como nota, por si sirve.

Estoy de acuerdo a medias, en parte no. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada. Eso es todo, disculpa si me he extendido demasiado.

Soy una pequeña empresa, os lo cuento desde mi lado. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Que todo el mundo haga algo no significa que sea lo correcto. También me gustaría saber si alguien lo hace de otra manera.

Rara vez se encuentra un texto que lo explique tan claro. El tiempo que tardas en detectar un problema determina directamente su coste.