Ens agrada començar per conèixer com treballa realment cada organització, què necessita i on es troben els seus riscos. A partir d’aquí, dissenyem i implantem les mesures necessàries, acompanyem l’equip i deixem tot preparat perquè la seguretat funcioni en el dia a dia i es pugui demostrar quan sigui necessari.

Oferim els serveis següents

Construïm un Sistema de Gestió de Seguretat de la Informació adaptat a l’organització i preparat per a la certificació.  

La implementació de l’ISO/IEC 27001 no consisteix només a redactar polítiques. Un ISMS efectiu ha de definir responsabilitats, gestionar riscos, aplicar controls, generar evidència i millorar de manera contínua. A DesideDatum acompanyem l’organització des del diagnòstic inicial fins a l’auditoria externa, combinant treball documental, gestió i assessorament tècnic.  

Què inclou el servei?  

-Definició d’abast, context i parts interessades.  

-Model de governança, rols i responsabilitats.  

-Metodologia, anàlisi i tractament dels riscos.  

-Declaració d’Aplicabilitat (SoA).  

-Polítiques, estàndards i procediments de l’ISMS.  

-Inventaris i matrius necessàries.  

-Consells sobre IAM, MFA, EDR, endurit, còpia de seguretat, núvol, registre i monitoratge.  

-Disseny del sistema d’evidències.  

-Formació i consciència inicial.  

-Auditoria interna, revisió de gestió i pla d’acció correctiva.  

-Preparació i acompanyament a auditories externes.  

L’adequació a l’ENS Categoria MITJANA requereix molt més que completar una matriu. Cal identificar el sistema, categoritzar-lo, conèixer els riscos, definir un marc de govern i demostrar, mitjançant evidències, que les mesures aplicables funcionen de manera sostinguda. DesideDatum acompanya tot el procés, des del diagnòstic fins a l’avaluació de conformitat.

Què inclou el servei?

-Definició de l’abast i categorització del sistema.

-GAP respecte de les mesures ENS aplicables.

-Anàlisi i tractament de riscos.

-Marc organitzatiu, operacional i mesures de protecció.

-Política, normativa i procediments.

-Gestió d’actius, accessos, incidents, continuïtat, proveïdors i canvis.

-Assessorament en hardening, IAM/MFA, segmentació, EDR, backup, logging i cloud.

-Disseny i recopilació d’evidències auditables.

-Seguiment de la remediació, preauditoria i pla d’accions correctives.

-Acompanyament durant l’avaluació.

L’ENS Categoria ALTA exigeix un nivell de profunditat superior en govern, arquitectura, administració segura, detecció, continuïtat i evidències. L’objectiu no és afegir documentació a l’ENS Mitjà, sinó construir un model reforçat capaç de protegir serveis crítics i demostrar, de manera tècnica i organitzativa, que les mesures funcionen.

Què inclou el servei?

-Abast i categorització reforçada.

-GAP detallat de les mesures i els reforços aplicables.

-Anàlisi de riscos reforçat.

-Arquitectura de seguretat i línies de defensa.

-Segmentació, bastionament, administració segura i privilegis.

-Protecció de la informació, xifratge i traçabilitat.

-IAM/PAM, MFA, EDR/XDR, SIEM, backup i seguretat cloud.

-Detecció, resposta, playbooks i gestió d’incidents.

-Continuïtat, BIA, BCP, DRP, RTO/RPO i proves.

-Gestió de vulnerabilitats i evidències tècniques.

-Revisió de proveïdors crítics.

-Auditoria interna, remediació i acompanyament durant l’avaluació.

Aconseguir la certificació ISO/IEC 27001 no tanca el projecte. A partir d’aquest moment comença el treball de mantenir el SGSI actualitzat, generar evidències, revisar canvis, mesurar objectius i preparar cada cicle d’auditoria. DesideDatum ofereix un servei recurrent perquè el sistema no es degradi amb el temps.

Què inclou el servei?

-Reunió periòdica de seguiment.

-Bossa de consultes.

-Seguiment de riscos i accions.

-Revisió de canvis, incidents i vulnerabilitats rellevants.

-Revisió d’evidències i registres.

-Seguiment d’indicadors i objectius.

-Revisió de proveïdors i nous projectes.

-Preparació de la revisió per la direcció.

-Suport durant les auditories.

-Pla anual d’auditoria interna.

L’ENS requereix mantenir les mesures, les evidències i els processos de manera contínua. Els sistemes canvien, apareixen vulnerabilitats, nous proveïdors, projectes i incidents, i les evidències poden quedar obsoletes. El nostre servei de manteniment ENS ajuda a mantenir la conformitat i la preparació de manera sostinguda.

Què inclou el servei?

-Comitè o reunió periòdica de seguretat.

-Seguiment de riscos, vulnerabilitats i incidents.

-Revisió de canvis rellevants i nous projectes.

-Revisió i actualització d’evidències.

-Seguiment de mesures i accions correctives.

-Revisió periòdica de proveïdors.

-Revisió de la continuïtat i proves.

-Suport tècnic en arquitectura, IAM/PAM, hardening, EDR/XDR, SIEM, backup i cloud segons el pla.

-Auditoria interna periòdica.

-Preauditoria i preparació de l’avaluació.

-Reporting executiu.

No totes les organitzacions necessiten començar per una certificació. Moltes necessiten primer conèixer la seva exposició real, ordenar prioritats i millorar els controls que ja existeixen. Aquest servei està dissenyat per elevar la maduresa de seguretat mitjançant un diagnòstic pràctic que connecta els riscos de negoci, el govern, els processos i les mesures tècniques.

Què inclou el servei?

-Assessment de maduresa de seguretat i ciberseguretat.

-Inventari d’actius, serveis, informació, tercers i dependències crítiques.

-Anàlisi de riscos i priorització segons l’impacte.

-Revisió de la identitat, accessos, MFA, privilegis i comptes administratius.

-Revisió del hardening, pegats, vulnerabilitats i configuració segura.

-Revisió d’EDR/XDR, antivirus, firewall, segmentació i protecció dels endpoints.

-Revisió de logging, SIEM, alertes i capacitat de detecció.

-Revisió de backup, recuperació, continuïtat i proves.

-Revisió de la seguretat cloud i de les configuracions dels serveis SaaS/IaaS.

-Revisió de proveïdors i riscos de tercers.

-Gestió d’incidents, playbooks i capacitat de resposta.

-Govern, polítiques, formació i conscienciació.