Antes de comprar herramientas, redacta tus políticas

Una secuencia habitual: la empresa necesita SOC 2 o ISO 27001, alguien investiga y la primera compra es una herramienta: una plataforma de cumplimiento, una suite de endpoints, un SIEM, un generador de políticas. Meses después la herramienta está a medio configurar, sus alertas se ignoran y el auditor hace preguntas que no sabe responder. La herramienta no era el problema. El problema era el orden.

Las herramientas implementan decisiones

Cada control necesita unas cuantas decisiones antes de que cualquier herramienta resulte útil: qué está dentro del alcance, quién es su responsable, con qué frecuencia se ejecuta, qué significa «correcto» y qué ocurre cuando falla. Esas decisiones son tu política y tu procedimiento. Comprar un escáner de vulnerabilidades sin ellas te da miles de hallazgos de los que nadie es responsable; comprar un SIEM sin ellas te da registros que nadie lee.

Los marcos coinciden

Ningún marco principal exige un producto concreto. ISO 27001 pide políticas, tratamiento de riesgos y controles que funcionen. SOC 2 evalúa si los controles están diseñados y operan con eficacia. PCI DSS empieza cada uno de sus doce requisitos con políticas y procedimientos documentados y funciones asignadas. Todos asumen que primero viene el análisis.

Un orden mejor

1. Alcance y riesgo: ¿qué protegemos, frente a qué y qué marcos aplican? Un análisis de brechas muestra qué añade el siguiente marco a lo que ya tienes.
2. Decidir cada control: responsable, frecuencia, estándar y evidencia. Ponlo por escrito de forma breve; ese es tu conjunto de políticas (ver un conjunto de políticas para muchos marcos).
3. Ejecútalo manualmente primero, siempre que sea posible. Una revisión trimestral de accesos en una hoja de cálculo te enseña lo que la herramienta necesita hacer.
4. Después compra herramientas que automaticen decisiones ya tomadas, y evalúalas según esas decisiones.

Cuando las herramientas van primero, y el trabajo después

Hay excepciones. La protección de endpoints, la MFA y las copias de seguridad merecen desplegarse de inmediato, porque su valor no depende de ajustes finos. Y las plataformas de cumplimiento que ayudan a redactar políticas y a seguir controles pueden acelerar el segundo paso, siempre que trates sus plantillas y correspondencias como borradores, no como respuestas (hemos escrito sobre correspondencias que no puedes verificar).

Cómo se ve decidir primero

Tomemos la gestión de vulnerabilidades, el control que más a menudo se compra como producto. Antes de elegir un escáner, decide:

• Alcance: qué activos se escanean (internos, externos, nube, contenedores) y cómo sabrás que el inventario de activos está completo.
• Frecuencia: PCI DSS exige escaneos internos cada tres meses y tras cambios significativos; los CIS Controls piden escaneos automatizados de activos internos y externos; tu propio riesgo podría exigir más.
• Severidad y plazos: cómo se clasifican los hallazgos y con qué rapidez debe corregirse cada nivel de severidad.
• Responsabilidad: quién prioriza los hallazgos, quién los corrige y quién acepta el riesgo cuando algo no puede corregirse.
• Evidencia: qué informe demuestra que el control se ejecutó y que los hallazgos se gestionaron.

Con esas cinco respuestas por escrito, evaluar una herramienta resulta sencillo: ¿cubre el alcance, se ejecuta con la frecuencia requerida, clasifica la severidad según tus criterios y genera la evidencia? Sin ellas, cada demo parece impresionante y ninguna responde a tu auditoría. El mismo ejercicio sirve para el registro de eventos, la protección de endpoints y la gestión de accesos. Nuestras páginas de temas muestran lo que exige cada marco para cada control, lo que constituye una buena lista de comprobación para las decisiones, y el tema de gestión de vulnerabilidades es un buen punto de partida.

Puntos clave

• Las herramientas implementan decisiones; cómpralas después de decidir alcance, responsables, frecuencia y evidencia.
• Ningún marco principal exige un producto específico.
• Ejecuta un control manualmente primero si puedes y, después, automatízalo.

La prueba

Antes de comprar, pregúntate: ¿qué control implementa esto, quién es responsable de ese control y qué evidencia producirá? Si nadie puede responder, la compra es prematura.

Preguntas

¿Qué debe venir primero, las políticas o las herramientas?

Primero, las decisiones: alcance, riesgos y cómo operará la organización cada control (quién, con qué frecuencia y con qué estándar). Una vez por escrito, esas decisiones son tus políticas y procedimientos; las herramientas los implementan después.

¿Exigen los auditores herramientas específicas?

Ningún marco principal exige un producto concreto. Los auditores buscan controles que funcionen y generen evidencia, con independencia de cómo se implementen.

¿Merece la pena una plataforma de automatización del cumplimiento?

Puede merecerla, una vez que sepas qué controles ejecutas y quién es responsable de ellos. Las plataformas son buenas recordando tareas, recopilando evidencia y haciendo seguimiento; no pueden decidir por ti el alcance ni el apetito de riesgo.