Soluciones a medida para startups y scale-ups
Las empresas jóvenes crecen con clientes más grandes que ellas. Esos clientes revisan cómo trata usted los datos antes de firmar. Sightadel ayuda a crear pronto una base ligera según ISO 27001, que crece con la empresa y más adelante sostiene también SOC 2 o NIS2.
Punto de partida
En los primeros años cada hora cuenta para el producto y las ventas. La seguridad de la información va en paralelo, a menudo bien, pero rara vez por escrito. Los accesos, las copias de seguridad y el cifrado están configurados, pero nadie podría demostrar de inmediato quién revisó qué y cuándo.
Eso cambia con el primer gran cliente. Compras envía un cuestionario de seguridad, el departamento jurídico un contrato de encargo del tratamiento, y su informática quiere ver un certificado. En una ronda de financiación, los inversores preguntan por los mismos temas en la due diligence.
Quien empieza pronto lo tiene más fácil. Un equipo pequeño con pocos sistemas se describe rápido, y los buenos hábitos se forman antes de que se asienten los malos. Cuando la empresa crece, el SGSI crece con ella en lugar de reconstruirse después con esfuerzo.
Por qué ahora
El cierre depende de un certificado o de un cuestionario completado. Sin evidencia, el contrato se retrasa o se lo lleva un competidor.
Los inversores revisan la seguridad de la información y la protección de datos en la due diligence. Las respuestas con evidencia ahorran tiempo y preguntas.
Los clientes en EE. UU. suelen pedir un informe SOC 2. Quien ya ha implantado ISO 27001 aprovecha gran parte de los controles.
Con cada persona nueva llegan accesos, dispositivos y herramientas. Sin reglas para altas y bajas se pierde rápido la visión de conjunto.
Bancos, aseguradoras y empresas sujetas a NIS2 deben evaluar a sus proveedores. También una pequeña empresa de software recibe estos requisitos a través del contrato.
A partir de 50 empleados o más de 10 millones de euros de volumen de negocio y de balance, NIS2 puede aplicarse directamente, por ejemplo a proveedores de nube o de servicios gestionados. Quien crece rápido debe tenerlo presente.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
La evidencia habitual en el mercado europeo. Un alcance pequeño y bien delimitado, por ejemplo un producto y su entorno, hace manejable el inicio. El certificado de un organismo acreditado tiene una validez de tres años, con auditorías de seguimiento anuales.
Ver el framework →Se pide en cuanto llegan clientes de EE. UU. El Type I describe el diseño de los controles en una fecha concreta; el Type II, su eficacia durante un periodo. El informe lo elabora una firma de auditoría estadounidense (CPA).
Ver el framework →Se aplica desde el primer cliente con datos personales. Quien trata datos por encargo necesita contratos conforme al art. 28 del RGPD, una lista de subencargados y medidas técnicas y organizativas descritas.
Ver el framework →Para empresas jóvenes no suele ser todavía un tema directo, porque no alcanzan los umbrales de tamaño. Para algunos servicios, sin embargo, la BSIG se aplica con independencia del tamaño. Si los requisitos llegan a través de clientes, a menudo basta un SGSI según ISO 27001 como respuesta.
Ver el framework →Para empresas cuyo producto se basa en IA. Clientes e inversores preguntan cómo se seleccionan los modelos, cómo se usan los datos y cómo se evalúan los riesgos. ISO 42001 tiene la misma estructura que ISO 27001.
Ver el framework →Orden recomendado
¿Qué clientes quiere ganar y qué evidencia exigen? Suele ser ISO 27001; para clientes de EE. UU., SOC 2. La protección de datos la necesita en cualquier caso.
Un producto, sus entornos y las personas que trabajan en él. Un alcance estrecho y bien justificado se puede ampliar más adelante.
Mucho ya funciona: revisiones de código, copias de seguridad, autenticación multifactor. Hace falta una política breve y una evidencia con fecha. Lo que falta se convierte en tarea.
Las revisiones de accesos, altas, bajas y cambios necesitan evidencias periódicas. Quien recopila justo antes de la auditoría tiene huecos.
El certificado ISO lo emite un organismo de certificación acreditado. Después muestra el certificado, las medidas y los subencargados en el Trust Center, en lugar de responder de nuevo cada cuestionario.
Enfoque
Un SGSI para diez personas es distinto de uno para doscientas. Estos puntos ayudan a no construirlo dos veces.
Un producto y una sede son un buen comienzo. Si se añaden productos, sedes o sociedades, amplía el alcance en lugar de empezar de nuevo.
SOC 2, NIS2 o ISO 42001 utilizan las evidencias que ya gestiona para ISO 27001. Lo nuevo es solo lo que el framework adicional exige además.
Los inversores preguntan por políticas, riesgos, incidentes y proveedores. Con un SGSI bien mantenido reúne la documentación sin turnos extra.
Los desarrolladores trabajan como Contributor solo en sus tareas y suben allí las evidencias. No hay integración con herramientas de desarrollo.
Cómo ayuda Sightadel
ISO 27001 y SOC 2 se trabajan control a control, con explicación y opciones de respuesta. Donde los requisitos coinciden, una evidencia queda vinculada a ambos frameworks.
Más información →Las políticas empiezan con una plantilla en lugar de un documento en blanco. La IA ayuda a redactar a partir de sus datos; las decisiones de la dirección quedan marcadas.
Más información →Las evidencias llevan fecha, versión y fecha de caducidad. Los controles recurrentes funcionan como ciclo y Sightadel avisa antes de la fecha.
Más información →Una página propia con certificados, documentos aprobados, medidas de seguridad y subencargados. Ventas remite a ella en lugar de responder cada cuestionario por separado.
Más información →La plataforma en la nube, el envío de correo, la monitorización y las herramientas de soporte figuran en una lista con riesgo y evidencias. De ahí sale la lista de subencargados del Trust Center.
Más información →Sightadel comprueba la superficie de ataque visible desde fuera de sus dominios. Es la misma vista que usan los clientes cuando le evalúan.
Más información →Esfuerzo y duración
Los rangos son valores de experiencia, no un compromiso. Lo que más influye es el tamaño del alcance, el número de servicios utilizados y cuánto tiempo dedica el equipo además del trabajo en el producto.
Qué licencia contrata · normalmente Basic
Una empresa joven con un producto suele empezar con ISO 27001 y el RGPD en la edición Basic. Incluye cinco usuarios y diez proveedores. Licencia para ISO 27001: desde 750 € al mes. Como ISO 27001 está incluida, el RGPD y más adelante SOC 2 cuestan menos de forma permanente. Si crece el equipo o el número de servicios, pasa a Professional.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
La norma no fija un tamaño mínimo. Para un equipo pequeño, el SGSI es más ligero: menos sistemas, menos roles, políticas más cortas. Lo decisivo es que cumpla y acredite los requisitos para su alcance.
Por la evidencia que exigen sus clientes más importantes. En Europa suele ser ISO 27001; en EE. UU., SOC 2. Quien mira a ambos mercados suele empezar por ISO 27001 y usa después las evidencias para SOC 2.
Antes de que un cliente fije una fecha. Incluso con un equipo pequeño pasan algunos meses hasta estar listo para la auditoría. Quien empieza antes no negocia bajo presión de tiempo.
Mientras no alcance los umbrales de tamaño, normalmente no de forma directa. Hay excepciones para algunos servicios incluidos con independencia del tamaño. Pero los requisitos le llegan a través de clientes que sí están incluidos. La clasificación de cada caso la aclara con su asesoría.
A menudo por políticas, reglas de acceso, incidentes de los últimos años, protección de datos, subencargados y certificados existentes. Con un SGSI bien mantenido, esta documentación está en un solo lugar.
Amplía el alcance, los usuarios y los proveedores y, si hace falta, pasa a una edición mayor. Las evidencias y tareas existentes se conservan.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
