Asesoramiento en Ciberseguridad (Preparación Certificación)

Objetivo:

Plan enfocado para empresas que disponen de una protección básica y un plan de seguridad adaptado y la estructura documental básica de SGSI (según
ISO 27001 y ENS media-alta) y quieren implementar sistemas de protección avanzada, aprovechando además las capacidades de la inteligencia artificial, y prepararse para
presentar su SGSI a la certificación (no incluida). Tipología de asesoramiento: Avanzado.

Actividades:

– Analizar y realizar pruebas de penetración y análisis de posibles vulnerabilidades de la empresa conociendo el entorno tecnológico y operativo en el que se desenvuelve.
– Revisar las políticas, planes y procedimientos de ciberseguridad de la pyme, identificando deficiencias y aspectos a mejorar.
– Proteger de manera proactiva la pyme contra ataques dirigidos hacia los datos, mejorando la resistencia y la capacidad de respuesta ante amenazas.
– Concienciar a los empleados de la importancia en materia de ciberseguridad y fomentar una cultura organizacional centrada en la ciberseguridad dentro de la
organización y la gestión de riesgos.
– Preparar la documentación para presentarse a la certificación de su SGSI para un servicio core que ofrecen a clientes o AAPP (ISO27001 y ENS media-alta, según la Guía
CCN-STIC 825). Certificación no incluida.
– Desarrollo y ejecución de un caso de uso adaptado al negocio utilizando las técnicas apropiadas, en el área de ciberseguridad.
Documentación técnica y resultados requeridos para la justificación, conforme al artículo 31.6.a) de esta Orden:
– Evidencias de la celebración de la reunión presencial de inicio de la prestación del servicio de asesoramiento, que se determinarán en cada convocatoria.
– Evidencias de celebraciones de reuniones intermedias, que se determinarán en cada convocatoria.
– Evidencias de la celebración de la reunión presencial final tras la prestación del servicio de asesoramiento, que incluya los resultados obtenidos y la conformidad del
beneficiario al servicio prestado, que se determinarán en cada convocatoria.

Resultados:

● Manual del SGSI que recoja el detalle del ciclo PDCA de mejora continua, y el conjunto de políticas, procedimientos y directrices junto a los recursos y actividades que
son administrados colectivamente por una organización, en la búsqueda de proteger sus activos de información esenciales.
● Declaración de aplicabilidad compartida ISO27001 y ENS aprobada por el Responsable de Seguridad. Acorde para ENS con CCN-STIC 804 y alineada con la
categorización del servicio. Se deben establecer los controles del SGSI fundamentados en los procedimientos de evaluación y tratamiento de riesgos.
● Programa de formación en ciberseguridad. Capacitación profesional en competencias para perfiles y funciones críticas. Deberá abordar los puntos de
concienciación de seguridad e identificar las necesidades del personal por perfiles y departamentos.
● Normativa y procedimientos de seguridad avanzados en base a la norma y el alcance del SGSI, entre otros:
○ Gestión de crisis.
○ Continuidad de negocio.
● Definición de un sistema de métricas de ciberseguridad para reevaluación periódica, mediante la definición de KPIs que ayuden a mitigar los riesgos midiendo
continuamente el desempeño en comparación con los objetivos de seguridad establecidos. Algunos ejemplos de KPIs, N.º total de incidentes de seguridad, Tiempo
medio de identificación (MTTI) / Tiempo medio de detección (MTTD) para una violación de seguridad, etc.
● Plan e informe de auditoría interna del SGSI. El plan debe definir la frecuencia y las fechas de ejecución, el alcance, la metodología de la propia auditoría y la asignación
de interlocutores para la planificación, realización y presentación de informes de resultados. Dicho plan debe comprender una descripción de las ubicaciones físicas,
unidades organizativas, actividades y procesos, así como las fechas de inicio y finalización. Las auditorías internas deben ser realizadas por personal que no haya
participado en la implantación del SGSI, para garantizar la objetividad e imparcialidad.

Limitaciones:

– La contratación de este servicio de asesoramiento sólo podrá formalizarse si el beneficiario ha formalizado previamente un Acuerdo de Prestación del Servicio de
Asesoramiento en Ciberseguridad (Básico).
– La prestación de este servicio deberá iniciarse tras la finalización y presentación de la documentación justificativa del servicio de Asesoramiento en Ciberseguridad
(Básico).