Señales de que lo necesitás
- No hay un responsable claro de seguridad
- Las políticas existen en un documento que nadie aplica
- Cada decisión de seguridad se toma cuando ya pasó algo
Qué es
Un trabajo para definir responsabilidades, apetito de riesgo, políticas aplicables y mecanismos de seguimiento, con participación de la dirección.
Qué no es
No es copiar plantillas, trasladar todo al área técnica ni garantizar cumplimiento regulatorio.
Qué deberías recibir
El alcance real depende del proveedor y del contrato. Usá esta lista como referencia para la cotización, no como promesa.
- Modelo de gobierno y responsables
- Políticas priorizadas y aplicables
- Registro de riesgos
- Calendario de revisión y métricas
Qué influye en el precio
No publicamos precios: varían según alcance, tamaño y proveedor. Pedí la cotización en guaraníes o dólares con IVA discriminado, y compará estos factores entre propuestas:
- Cantidad de áreas y procesos involucrados
- Si se parte de cero o se ordena lo existente
- Si incluye acompañamiento posterior
Autorización y alcance
La dirección debe patrocinar, aprobar y asignar responsables. Requisitos legales o sectoriales requieren revisión especializada.
Preguntas para hacerle al proveedor
- ¿Quién aprueba excepciones?
- ¿Cómo se relaciona con riesgos del negocio?
- ¿Cómo se mantiene cada política?
- ¿Qué evidencia demuestra que se aplica?
Pedí reglas aplicables, con responsables y revisión
Una colección de documentos no demuestra que la empresa pueda aplicarlos. Para comparar propuestas, pedí que cada política se conecte con una decisión, una persona responsable y una forma de revisar su uso. El trabajo debería adaptarse al funcionamiento de la organización.
Cómo acordar el trabajo
- Acordá qué decisiones y responsabilidades necesitan ordenarse y quién aprobará las reglas.
- Pedí documentos adaptados y una explicación de cómo se aplicarán, comunicarán y mantendrán.
- Definí qué evidencia permitirá revisar el avance y cuándo se actualizarán las reglas.
Preguntas frecuentes antes de contratar
¿Una plantilla genérica alcanza como entregable?
Puede servir como punto de partida, pero pedí que se identifique qué se adaptará a tu organización. El contrato debe distinguir entrega de documentos, acompañamiento y puesta en práctica.
¿En qué se diferencia de contratar un CISO externo?
Un proyecto de gobernanza puede tener un cierre definido. El CISO externo suele involucrar coordinación y seguimiento recurrentes con dedicación acordada. Compará esas responsabilidades antes de contratar.
¿Quién debe aprobar y mantener las políticas?
La propuesta debe identificar responsables internos de aprobación, aplicación y revisión. No conviene que la continuidad dependa únicamente de la persona que redactó los documentos.
¿Es este el servicio correcto?
Si además querés que alguien con experiencia lidere esto mes a mes, mirá el servicio de CISO externo.
Ver servicio →GobernarPreparación para ISO 27001Si el objetivo final es certificar, la preparación para ISO 27001 incluye este trabajo dentro de un marco formal.
Ver servicio →Cómo comparar una propuesta
Reglas que se puedan aplicar
Ejemplo orientativo para conversar con el proveedor; no es un paquete disponible ni una promesa de la plataforma.
- Resultado a acordar
- Políticas adaptadas, responsables y calendario de revisión.
- Cómo comprobarlo
- Cada política tiene una persona que la aprueba, otra que la aplica y una forma de revisar su cumplimiento.