Recientemente, desde INSSIDE lanzamos nuestra plataforma de cumplimiento normativo. Se trata de un producto innovador que nace con el objetivo de facilitar y agilizar la labor de los auditores y todos aquellos encargados de guiar una auditor\u00eda.<\/p>\n\n\n\n
Sin dudas, INSSIDE Security Suite (ISS) es una propuesta que se encuentra en constante mejora y optimizaci\u00f3n, lanzando nuevas caracter\u00edsticas que la hacen estar a la vanguardia de lo que los auditores y las empresas necesitan para cumplir con los requisitos de las normas m\u00e1s conocidas y exigentes de los mercados.<\/p>\n\n\n\n
Esta semana tuvimos el agrado de conversar con nuestra especialista Ing. Agostina Lambertucci, QSA y una de las creadoras del nuevo producto que ofrecemos desde INSSIDE que promete ser la mano derecha de los auditores.<\/p>\n\n\n\n
Pregunta: \u00bfQu\u00e9 te inspir\u00f3 a desarrollar esta aplicaci\u00f3n?<\/strong>
Agostina:<\/strong> En primer lugar, la mayor\u00eda de nuestros clientes deben mantener el cumplimiento de diversas normativas, ya sea por necesidad del negocio, por definici\u00f3n del CISO o por la industria en s\u00ed. El seguimiento de estas normativas lo suelen realizar a trav\u00e9s de archivos Excel, una pr\u00e1ctica que complejiza el seguimiento y visibilidad del proceso. Por lo tanto, el objetivo de INSSIDE Security Suite (ISS) es que puedan tener toda la informaci\u00f3n en una misma plataforma, con facilidad de seguimiento y centralizaci\u00f3n de los datos.
En futuras versiones de la herramienta, se podr\u00e1n asociar todos los proyectos con el objetivo de reutilizar aquella informaci\u00f3n que ya ha sido cargada previamente para una norma y que es necesaria para otro marco normativo.<\/p>\n\n\n\n
P: H\u00e1blame sobre la experiencia del usuario al utilizar la aplicaci\u00f3n. \u00bfC\u00f3mo facilita el proceso de gap an\u00e1lisis y mejora el cumplimiento?
A: <\/strong>Hay tres puntos importantes a destacar en este sentido: recomendaciones de remediaci\u00f3n, evidencias y aquellos designados como responsables.
Nuestros consultores expertos en GRC han cargado las recomendaciones de remediaci\u00f3n en las normativas, por lo que nuestros clientes obtendr\u00e1n de forma autom\u00e1tica cu\u00e1les son las medidas a implementar para cumplir con los controles de la norma evaluada. Adicionalmente, han elaborado listados de evidencias a revisar para cada norma, por lo tanto, al momento de iniciar el proyecto, nuestro cliente podr\u00e1 utilizar este listado o modificarlo en la medida que crea necesario. Cada control tendr\u00e1 su evidencia correspondiente asociada, para ir vinculando el repositorio donde se encuentra alojada, como as\u00ed tambi\u00e9n el estado de revisi\u00f3n. De esta forma, se centralizar\u00e1 la evidencia y no ser\u00e1 necesario el seguimiento por correo electr\u00f3nico. Por \u00faltimo, en cuanto a los responsables, por cada control se podr\u00e1 asignar el o los responsables correspondientes junto con la fecha de ejecuci\u00f3n, con el objetivo de facilitar el mantenimiento del cumplimiento a lo largo del proceso.<\/p>\n\n\n\n
P: \u00bfQu\u00e9 tipos de normativas de ciberseguridad abarca la plataforma?<\/strong>
A: <\/strong>Actualmente, ISS cuenta con los marcos normativos PCI DSS, CIS, NIST e ISO 27002. Sin embargo, se pueden cargar todas las normativas que se deseen, sin importar su naturaleza. Lo importante es poder organizarlo en requisitos, subrequisitos y controles.<\/p>\n\n\n\n
P:<\/strong> Una caracter\u00edstica interesante es la capacidad de vincular evidencias y objetivos de cumplimiento. \u00bfC\u00f3mo simplifica esto la gesti\u00f3n y documentaci\u00f3n para los usuarios?<\/strong>
A:<\/strong> Con esta funcionalidad, el oficial de cumplimiento solo tendr\u00e1 que indicar por control las evidencias que deben presentarse. Esto le permitir\u00e1 responsabilizar a cada implicado sobre la ejecuci\u00f3n del control y presentaci\u00f3n de la evidencia correspondiente, evitando el env\u00edo de muchos correos reclamando la evidencia, la p\u00e9rdida de tiempo de solicitar la informaci\u00f3n en varias ocasiones y, mismo, la posible p\u00e9rdida de la misma.<\/p>\n\n\n\n
P: \u00bfCu\u00e1les son los beneficios clave que los oficiales de seguridad y los gerentes de GRC pueden esperar al utilizar esta herramienta?
A: <\/strong>Entre los beneficios clave, podemos mencionar agilidad, recomendaciones de implementaciones realizadas por expertos, f\u00e1cil seguimiento de evidencias, centralizaci\u00f3n del proceso de cumplimiento, entre otros.<\/p>\n\n\n\n
P: \u00bfC\u00f3mo ayuda la aplicaci\u00f3n a medir el nivel de cumplimiento actual y a evaluar el riesgo asociado a los incumplimientos?<\/strong>
A: <\/strong>Con el ISS, al evaluar el cumplimiento de la norma, control por control, se podr\u00e1 obtener el nivel de cumplimiento total. De los controles identificados como incumplimiento, se podr\u00e1 conocer el nivel de riesgo que representan para la organizaci\u00f3n ya que, como bien sabemos, no genera el mismo riesgo no realizar la concientizaci\u00f3n anual a no tener un proceso de gesti\u00f3n de vulnerabilidades. Es decir, hay diferentes tipos de controles y a partir de la importancia de cada uno, ISS determina el nivel de riesgo al cual se expone una organizaci\u00f3n por no cumplir uno u otro.<\/p>\n\n\n\n
P: \u00bfPodr\u00edas compartir algunos casos de \u00e9xito o ejemplos de c\u00f3mo la aplicaci\u00f3n ha ayudado a las empresas a mejorar su ciberseguridad y cumplimiento normativo?<\/strong>
A:<\/strong> Por un lado, tenemos un alto n\u00famero de clientes que utilizan el ISS para completar el SAQ de PCI DSS requerido por los adquirentes. En este caso son clientes con un volumen anual de transacciones muy bajo, que no requieren de los servicios de un QSA. A trav\u00e9s del ISS, completan r\u00e1pidamente el SAQ correspondiente para luego entregarlo a quien lo est\u00e9 solicitando.
Y por el otro, varias compa\u00f1\u00edas lo est\u00e1n utilizando para gestionar los procesos de gesti\u00f3n de proveedores. A trav\u00e9s del ISS, les solicitan a sus proveedores que completen la evaluaci\u00f3n de seguridad definida y as\u00ed mantienen toda la informaci\u00f3n de manera centralizada.<\/p>\n\n\n\n
P: La capacidad de registrar los cambios de estado de los controles suena muy \u00fatil. \u00bfC\u00f3mo contribuye esto a mantener un cumplimiento continuo y demostrar mejoras a lo largo del tiempo?<\/strong>
A:<\/strong> El hecho de ir registrando los cambios de estado en los controles permite mantener actualizado el nivel de cumplimiento, dando visibilidad a todos los implicados y mostrando el avance en el proceso de remediaci\u00f3n.<\/p>\n\n\n\n