Software · GRC
GRC son las siglas de Governance, Risk and Compliance: gobierno, riesgo y cumplimiento. Un software GRC reúne requisitos, riesgos, evidencias y medidas en un solo lugar, también cuando se aplican varias normas y leyes a la vez. Esta página muestra qué debe ofrecer una herramienta GRC, en qué debe fijarse al elegirla y cómo lo resuelve Sightadel.
Punto de partida
El gobierno se refiere a la dirección y el control por parte de la dirección: objetivos, políticas, funciones y acuerdos. El riesgo se refiere a la gestión de riesgos: identificarlos, evaluarlos, tratarlos y volver a revisarlos. El cumplimiento se refiere a la observancia de normas, leyes y requisitos de los clientes, y a su acreditación. Los tres ámbitos están entrelazados. Una evaluación de riesgos sin acuerdo de la dirección es tan poco auditable como una política sin evidencia de que se aplica.
En muchas empresas todo esto está hoy en archivos separados. Una hoja de cálculo para la declaración de aplicabilidad de ISO 27001, otra para las medidas de NIS2, una lista de proveedores en compras, justificantes en carpetas y buzones de correo. Con cada nueva normativa crece el esfuerzo, porque los mismos temas se documentan varias veces: copias de seguridad, derechos de acceso, formación, proveedores, auditoría interna.
Un software GRC sustituye esta colección por un modelo de datos común. Los requisitos proceden de los frameworks; las evidencias y medidas se crean una sola vez y se vinculan con todos los requisitos que acreditan. Las decisiones se quedan donde las normas las exigen: en la dirección. Los objetivos, la aceptación del riesgo y las responsabilidades los fija su empresa, no el software.
Por qué ahora
Tiene ISO 9001 o ISO 27001 y ahora entra en el ámbito de NIS2 o DORA, o un gran cliente exige su propio anexo de seguridad. A más tardar ahora compensa un sistema en el que una evidencia cuente para varios requisitos.
El organismo de certificación, el auditor de cuentas o el supervisor quieren ver justificantes con fecha. Quien solo los reúne antes de la cita vuelve a buscar desde cero cada año.
NIS2 y DORA hacen responsable de forma expresa a la dirección o al órgano de dirección. La dirección necesita un estado que pueda leer y acuerdos archivados de forma trazable.
El responsable conoce todas las hojas de cálculo, nadie más. Si falta o cambia de puesto, el sistema se detiene. Una herramienta GRC hace visibles para todos las responsabilidades y los plazos.
Cada cliente pregunta por los mismos temas en otro formato. Un estado bien mantenido y un Trust Center responden a las preguntas habituales una vez para todos.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
El marco más extendido para la seguridad de la información. Los capítulos 4 a 10 regulan el sistema de gestión y el anexo A contiene 93 controles. Muchas evidencias de ISO 27001 sirven también para NIS2, DORA y las medidas técnicas del RGPD.
Ver el framework →Obligatorio para entidades importantes y esenciales según la ley alemana del BSI (BSIG). Diez ámbitos de medidas según el § 30 de la BSIG, obligaciones de notificación según el § 32, registro según el § 33 y responsabilidad de la dirección según el § 38.
Ver el framework →Vinculante para las entidades financieras de la UE desde enero de 2025 y, en ese ámbito, prioritario frente a NIS2. A la gestión del riesgo TIC y la notificación de incidentes se suman las pruebas de resiliencia y el registro de información sobre los proveedores de servicios TIC.
Ver el framework →Gestión de la calidad con la misma estructura de los apartados 4 a 10 que ISO 27001. El control de documentos, la auditoría interna, la revisión por la dirección y las acciones correctivas pueden gestionarse de forma conjunta.
Ver el framework →Se aplica a toda organización que trate datos personales. Las medidas técnicas y organizativas del art. 32 pueden acreditarse con las mismas evidencias que muchos controles de ISO 27001.
Ver el framework →Orden recomendado
Aclare qué normas y leyes se le aplican y qué exigen además sus clientes. Eso determina qué frameworks crea en Sightadel.
Las tablas existentes de requisitos, riesgos y proveedores se incorporan mediante importación desde Excel, y las políticas desde Word. Los justificantes se suben a la biblioteca de evidencias y se asignan.
Recorra de forma guiada el framework con la fecha más próxima, control por control. Los demás frameworks los crea en paralelo. Lo que ya está acreditado aparece allí como acreditado.
Las carencias se convierten en planes de acción con responsable y plazo. Los compañeros de TI, recursos humanos y compras trabajan en su parte con el rol Contributor; la dirección sigue el avance como Viewer.
La auditoría interna, la revisión por la dirección, las evaluaciones de proveedores y las evidencias que caducan funcionan como citas con recordatorio. Así el sistema se mantiene al día entre auditorías.
Elección
La mayoría de las herramientas GRC parecen similares en la demostración. Las diferencias se ven en el segundo año: en el mantenimiento, con el segundo framework y en la auditoría.
Compruebe si un justificante se archiva una sola vez y puede vincularse con requisitos de varias normativas. Las copias por framework llevan a estados distintos.
Una prueba de restauración o una lista de asistencia a una formación caducan. La herramienta debería conocer versión, validez y recordatorio antes del vencimiento, no limitarse a almacenar archivos.
Una lista con textos de normas ayuda poco a los departamentos. Busque preguntas de control con explicación que también puedan responder compañeros sin conocimientos de la norma.
La IA puede aportar borradores. Los objetivos, la aceptación del riesgo y las responsabilidades debe fijarlos la dirección, y la herramienta debería señalar esos puntos en lugar de rellenarlos de antemano.
Un acceso propio para el auditor, sin permiso de eliminación, ahorra el envío de archivos. Los consultores externos deberían poder colaborar con su propio rol, de forma trazable en el registro.
Pregunte dónde están los datos, quién los opera y cómo puede volver a obtenerlos. La exportación a Excel y Word forma parte del equipamiento básico.
Cómo ayuda Sightadel
Cada requisito como pregunta con explicación, control por control, con plantillas sectoriales basadas en una larga experiencia en consultoría y certificación. Respuesta, justificación y justificante están en el mismo lugar.
Más información →Justificantes con versión, fecha de validez y recordatorio antes del vencimiento. Una evidencia se vincula con controles de varios frameworks, por ejemplo un concepto de copias de seguridad con ISO 27001, NIS2 y DORA a la vez.
Más información →Las carencias detectadas en evaluaciones, auditorías internas y hallazgos externos se convierten en medidas con responsable y plazo. Los puntos vencidos son visibles para todos los implicados.
Más información →Proveedores de servicios con criticidad, cuestionarios y evidencias en una sola lista, con recordatorio de la próxima evaluación. Así se cubren los requisitos sobre la cadena de suministro de varias normativas.
Más información →Las directrices del grupo o los anexos de seguridad de los clientes los crea como framework propio. Utiliza las mismas evidencias y medidas que las normas.
Más información →Sincronización periódica con Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics y Salesforce. Los activos, las evidencias y las tareas proceden de los sistemas en los que se generan de todos modos.
Más información →Esfuerzo y duración
Los plazos son valores basados en la experiencia, no un compromiso. Lo que más influye es el punto de partida, el tamaño del alcance y el tiempo que queda junto al trabajo diario. El software acorta la búsqueda, el mantenimiento y el seguimiento, no las decisiones.
Qué licencia contrata · normalmente Professional
La licencia se concede por framework y edición. Una empresa con SGSI, obligación NIS2 y protección de datos elige normalmente ISO 27001, NIS2 y RGPD en la edición Professional. Como ISO 27001 está incluida, NIS2 y el RGPD cuestan menos de forma permanente. Con muchas sociedades o proveedores encaja Enterprise.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
Un sistema en el que confluyen el gobierno, la gestión de riesgos y el cumplimiento: requisitos de normas y leyes, riesgos, evidencias, medidas y acuerdos de la dirección. Lo esencial es que una evidencia cuente para varias normativas y que los plazos no dependan de una sola persona.
Para un framework y una persona responsable, Excel puede bastar. Con varias normativas, muchos implicados y evidencias que caducan, se vuelve laborioso: las versiones divergen y los plazos solo se detectan en la auditoría. Las tablas existentes pueden importarse en Sightadel, así que no empieza de cero.
Sightadel se licencia por framework y edición. Si tiene licencia de ISO 27001 o ISO 9001, cada uno de los demás frameworks cuesta menos de forma permanente. Los importes actuales figuran en la página de precios. Puede probarlo gratis 14 días, sin datos de pago.
Entre otros, ISO 27001, NIS2, DORA, ISO 9001 y RGPD. Lo que debe ofrecer un software para cada normativa se describe en las páginas sobre software ISO 27001, software NIS2, software DORA y software ISO 9001. Los requisitos propios, por ejemplo directrices del grupo o requisitos de clientes, los crea como framework propio.
No. Sightadel le guía por los requisitos y deja constancia del estado. Al consultor lo elige en la red de socios de la aplicación o trae el suyo. La auditoría la realizan auditores independientes y acreditados. Sightadel no certifica y no recibe comisiones, los socios tampoco.
Nada. Hace propuestas a partir de datos que usted ya ha registrado o importado. Usted las acepta, modifica o completa. Los objetivos, la aceptación del riesgo y las responsabilidades los fija usted.
Sí, mediante integraciones con Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics y Salesforce con sincronización periódica. Se incorporan activos, evidencias y tareas. Los usuarios se crean a mano o mediante CSV. No existe una API pública para clientes; otros sistemas, previa solicitud.
Sightadel se desarrolla y se opera en Alemania. Con cada cliente firmamos un contrato de encargado del tratamiento (art. 28 RGPD).
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
