Consultora de ciberseguridad en Chile: cuidar datos ajenos

Elegir una consultora de ciberseguridad es entregar a un tercero la custodia de información que no se puede reemplazar. Este artículo explica cómo trabajamos en IT Lab y qué conviene observar al evaluar a cualquier proveedor del rubro.

• Nos preocupamos por los datos de nuestros clientes tanto o más que ellos.
• La tranquilidad se sostiene en prácticas comprobables: respaldos probados y simulacros medidos.
• Siempre hay una contraparte del cliente con los mismos accesos, y la salida es posible sin dependencia.

Una forma de trabajar

IT Lab es una consultora de informática y ciberseguridad con clientes en varias industrias, incluidos el sector salud y el minero, y también en el extranjero. Las exigencias de cada sector son distintas, pero el principio es el mismo: la información de una organización es su activo más difícil de reemplazar, y quien la custodia debe tratarla con ese criterio.

El tono que buscamos es de calma y preparación. La seguridad no se construye con alarma, sino con decisiones ordenadas tomadas antes de que ocurra un problema.

Respaldos que se han probado

Tener respaldos no es lo mismo que poder recuperarse. Un respaldo que nunca se ha restaurado es una suposición. Por eso trabajamos con respaldos probados: se restauran de forma periódica, para comprobar que los datos están completos y que el procedimiento funciona. La regla básica se describe en Respaldo 3-2-1: la regla simple contra el ransomware.

Simulacros con tiempos medidos

Una organización suele declarar cuánto tiempo puede estar detenida y cuántos datos puede permitirse perder. Esas cifras solo son confiables si se comparan con lo que ocurre en la práctica. Un simulacro de recuperación mide cuánto se demora realmente en volver a operar, y permite ajustar el plan con evidencia en lugar de suposiciones. Quien conduce el ejercicio deja constancia de lo medido, de modo que la gerencia pueda decidir con información.

Esa práctica convierte la recuperación en un procedimiento conocido por el equipo y no en una improvisación.

Del mismo modo, las guías de respuesta a incidentes conviene tenerlas listas antes de necesitarlas, como se explica en Playbooks de incidentes.

Una contraparte con los mismos accesos

En nuestros servicios, la organización cliente puede designar una contraparte con los mismos accesos que nosotros. Esa persona puede intervenir en una emergencia sin esperar a nadie. Es una práctica de transparencia: todo lo que controlamos, el cliente también puede controlarlo. Refuerza la confianza porque demuestra que el servicio no depende de la opacidad.

Salida sin dependencia

Si un cliente decide cambiar de proveedor, debe poder hacerlo. Por eso las licencias, los datos y la documentación quedan a su nombre y en su poder, y el traspaso se concibe como un procedimiento ordenado. Un proveedor que no teme ser reemplazado trabaja mejor que uno que depende de retener. Estos criterios se desarrollan en Dueño de los datos: qué exigir a un proveedor de software.

Proporcionalidad y varias industrias

Una pyme no necesita el aparato de una gran empresa, y una organización del sector salud o minero tiene riesgos distintos de los de una empresa de servicios. Adaptar el alcance a cada caso evita tanto el exceso de burocracia como las carencias de fondo. Organizaciones que hemos acompañado han superado evaluaciones de seguridad de proveedores exigidas por clientes institucionales, lo que muestra que un enfoque proporcional puede satisfacer exigencias formales.

Qué observar al evaluar una consultora

• Si los respaldos se prueban y se restauran, y cada cuánto.
• Si hay simulacros con tiempos medidos y registro de resultados.
• Si el cliente conserva licencias, datos y documentación a su nombre.
• Si existe una contraparte con los mismos accesos.
• Si la salida a otro proveedor está contemplada desde el inicio.
• Si el alcance se adapta al tamaño y al sector de la organización.
• Si el proveedor explica sus decisiones en lenguaje claro.

Preguntas frecuentes

¿Qué diferencia a una consultora que cuida los datos de otra que solo los administra? La primera puede mostrar evidencia de sus prácticas: respaldos restaurados, simulacros medidos y acceso compartido con el cliente.

¿Una pyme necesita simulacros? Sí, en una escala acorde. Basta un ejercicio acotado para saber cuánto tarda en recuperarse un sistema crítico.

¿Trabajan con empresas de cualquier industria? Trabajamos con clientes de varias industrias; el alcance se ajusta a los riesgos de cada una.

¿Cómo se comprueba que la salida sea realmente posible? Revisando que licencias, datos y documentación estén en poder del cliente y que un respaldo pueda restaurarse sin nuestra intervención.

Orientación general; no reemplaza asesoría legal.

Si busca un socio que cuide su información con criterios claros, Conversemos.