ISO 27001 sin el infierno de Excel ni honorarios de consultoría de 50.000 €

Gestiona todos los riesgos de información de forma estructurada con importe del daño, probabilidad de ocurrencia y puntuación de riesgo. La matriz de valoración es configurable por tenant, por ejemplo 3x3 o 5x5, cualitativa o cuantitativa en euros con el importe esperado del daño por año. Los riesgos se asignan a activos, procesos o personas; las interconexiones son visibles y rastreables, por ejemplo si la interrupción de un activo afecta a varios procesos y se propaga en cascada. Plan de tratamiento por riesgo con medidas, responsable y fecha de vencimiento; las notificaciones por vencimiento escalan automáticamente. El riesgo residual se calcula automáticamente tras la implementación de las medidas; el flujo de trabajo de aceptación por la dirección queda documentado con firma electrónica conforme a eIDAS. Mapa de calor en el panel; desglose desde la categoría de riesgo hasta la entrada individual; filtro por tipo de activo, proceso, responsable o categoría de riesgo residual. Tendencias a lo largo del tiempo para revisiones de la dirección con comparativa trimestral y comparación con el promedio del sector. El principio de cuatro ojos en la aceptación de riesgos es activable de forma opcional; obligatorio para riesgos por encima de determinados umbrales de importe del daño.

Los 93 controles del Anexo A de la ISO 27001:2022 están preparados; marcas por control 'aplicable' o 'no aplicable' con justificación y referencia al inventario de riesgos. El estado de implementación (planificado, en implementación, implementado, en revisión, documentado), el responsable y la referencia a las medidas se gestionan de forma centralizada con vinculación a evidencias. A un clic generas el documento de la Declaración de Aplicabilidad para tu auditor ISO, listo para auditoría sin exportación a Excel ni consolidación manual. Los cambios se versionan; ves el historial por control, incluida la justificación y el aprobador con sello de tiempo. La comparación con la guía de implementación ISO 27002 está enlazada directamente; ves la implementación recomendada junto a la propia. En la revisión anual de la Declaración de Aplicabilidad se marcan las justificaciones obsoletas; solo tienes que gestionar los cambios, no toda la lista, lo que ahorra varios días de trabajo por ciclo de revisión. El mapeo con el IT-Grundschutz del BSI, NIST CSF y los controles CIS está disponible automáticamente; se evita la doble gestión. Exportación en Word, PDF o XML estructurado para herramientas GRC con firma electrónica conforme a eIDAS.

Las medidas técnicas y organizativas se documentan de forma estructurada según confidencialidad, integridad, disponibilidad y resiliencia, complementadas con recuperabilidad y revisión periódica. El cifrado, la seudonimización, el control de acceso, el concepto de copia de seguridad y los procedimientos de recuperación se gestionan con referencia al proceso correspondiente y se vinculan con evidencias. A un clic exportas el documento de medidas técnicas y organizativas para tus clientes, por ejemplo como anexo al contrato de encargo del tratamiento con o sin referencia contractual; la pluralidad lingüística por destinatario es configurable. Funciona también para los propios contratos de encargo del tratamiento con sub-procesadores; la pluralidad lingüística en alemán e inglés se sincroniza automáticamente. El mapeo a los controles del Anexo A de la ISO 27001 es automático; la doble gestión queda completamente eliminada. El registro de actividades de tratamiento según el art. 30 del RGPD está en el mismo módulo; base de datos unificada, sin doble gestión en Excel ni inconsistencias entre medidas técnicas y organizativas y el registro. Las evaluaciones de impacto relativas a la protección de datos (EIPD) según el art. 35 del RGPD se crean en el mismo flujo de trabajo, con plantillas según el estándar de la Conferencia de Autoridades de Protección de Datos (DSK) y activación de la obligación de consulta a partir de determinados umbrales de riesgo.

Cada cambio en riesgos, controles, medidas, incidentes o documentos se almacena de forma inalterable con sello de tiempo, usuario y diferencias. El informe de auditoría está disponible a un clic, filtrado por período, actor, tipo de objeto o módulo. Los auditores de ISO 27001 y los auditores ISMS obtienen una trazabilidad completa sin tener que buscar en archivos de registro ni volcados de base de datos. El periodo de retención es configurable; por defecto diez años; retención más larga posible para sectores regulados, por ejemplo 30 años para aseguradoras o proveedores de energía. El encadenamiento de hashes criptográficos protege contra manipulaciones posteriores; la cadena de hashes es verificable por el auditor con herramientas estándar. Exportación en PDF con firma electrónica (conforme a eIDAS) o en CSV para herramientas de auditoría similares a DATEV. El registro de auditoría es inmutable incluso para los administradores; sin riesgo de amenaza interna por escalada de privilegios.

Registra los incidentes de seguridad con categoría, gravedad y afectados; las rutas de escalado se activan automáticamente según la gravedad y el tipo del incidente. El nivel tres activa la notificación al CISO; el nivel cuatro, a la dirección. Activador de la obligación de notificación NIS2 para incidentes críticos con rastreador de plazos para el informe de alerta temprana de 24 horas, la actualización de 72 horas y el informe final de 30 días. Las medidas se gestionan en el ticket del incidente; los tiempos de recuperación se miden; las lecciones aprendidas se documentan de forma estructurada con vinculación al inventario de riesgos para la prevención futura. Para incidentes sujetos a notificación NIS2, el informe de alerta temprana se rellena previamente con los campos obligatorios; solo añades los detalles. El ayudante de IA propone medidas inmediatas basándose en la categoría del incidente y sugiere vinculaciones con incidentes comparables. Las plantillas de comunicación de crisis para clientes, autoridades y prensa están preinstaladas y son personalizables por tenant.

Las diez medidas obligatorias del art. 21 de la NIS2 se rastrean de forma estructurada con evaluación del nivel de madurez por área en una escala de cinco niveles. Ves inmediatamente dónde están las lagunas y qué medidas tienen prioridad; la hoja de ruta hacia el cumplimiento NIS2 es derivable con estimación del esfuerzo en días-persona. La responsabilidad de la dirección según el art. 20 queda documentada; las formaciones de la dirección se archivan de forma inalterable para auditorías; las revisiones trimestrales se programan automáticamente con recordatorios. En caso de aplicación como entidad importante o esencial, el rastreador se adapta automáticamente a los requisitos correspondientes, por ejemplo obligaciones de notificación más estrictas o auditoría ampliada. La gestión del riesgo en la cadena de suministro según el art. 21, apartado 2, letra d), está integrada; los sub-procesadores se gestionan en el módulo de contratos de encargo del tratamiento, con evaluación de riesgos por proveedor y escalada ante hallazgos críticos. La verificación del ámbito de aplicación durante la incorporación de un nuevo cliente; la aplicación indirecta a través del estado de proveedor queda reconocida.