Cómo elegir una consultoría de ciberseguridad: alcance, marcos y preguntas

Tres proveedores, tres propuestas, tres listas de siglas. Uno ofrece monitoreo, otro una plataforma de protección de identidades, el tercero una auditoría. Todos dicen que lo suyo es lo urgente. Sin un criterio propio, la decisión termina siendo cuál presentó mejor o cuál cobra menos.

Esta guía explica qué hace una consultoría de ciberseguridad, qué tipos de servicio existen, qué dicen dos marcos públicos que sirven de referencia, cómo comparar propuestas y qué debe preguntar la dirección antes de contratar.

¿Qué hace una consultoría de ciberseguridad?

Una consultoría de ciberseguridad ayuda a la empresa a decidir qué proteger, con qué controles y con qué proveedores, y a verificar que esos controles funcionen. Su trabajo empieza por el negocio —qué sistemas soportan la operación, qué datos no pueden exponerse, qué exigen los clientes y el sector— y termina en una lista de controles priorizados y en la selección de las soluciones que los cubren.

Lo que distingue a una consultoría de un proveedor de herramientas es el orden: la consultoría define el riesgo y los criterios antes de proponer una solución; el proveedor parte de su producto. Las dos cosas pueden coexistir, pero conviene saber cuál está contratando.

¿Qué tipos de servicios de ciberseguridad existen?

Conviene separar cuatro tipos de servicio, porque se contratan y se evalúan de forma distinta:

Asesoría y diagnóstico: evaluar el riesgo, definir controles y políticas, preparar la empresa para una norma o una exigencia de un cliente. Es el alcance de una consultoría independiente.

Implementación: desplegar y configurar las soluciones elegidas. Lo hace el fabricante, un integrador o el equipo interno.

Operación: monitoreo, detección y respuesta de forma continua, normalmente contratados como servicio a un proveedor especializado.

Verificación: auditorías, pruebas de intrusión y revisiones periódicas que comprueban que los controles funcionan.

La pregunta útil no es 'qué herramienta compro', sino 'qué riesgo estoy cubriendo, con qué control y quién responde si falla'.

¿Tiene propuestas y no tiene criterios para compararlas?

Diagnosticamos el riesgo, definimos los controles que la empresa necesita y seleccionamos soluciones y proveedores con criterios definidos antes de ver propuestas, sin comisiones de fabricantes.

• Diagnóstico ordenado por las funciones del NIST CSF 2.0
• Cuatro criterios: funcional, técnico, económico y sostenible

Conocer la consultoría en ciberseguridad

¿Qué marcos públicos sirven de referencia?

Dos marcos públicos ayudan a ordenar el diagnóstico y a comparar propuestas sin atarse a un fabricante.

El NIST Cybersecurity Framework 2.0, publicado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos el 26 de febrero de 2024, ofrece una taxonomía de resultados de ciberseguridad de alto nivel que cualquier organización —independientemente de su tamaño, sector o madurez— puede usar para entender, evaluar, priorizar y comunicar sus esfuerzos de ciberseguridad. El marco no prescribe cómo lograr los resultados; organiza las categorías en seis funciones: gobernar (la estrategia, las expectativas y la política de gestión del riesgo se establecen, comunican y supervisan), identificar (se entienden los riesgos actuales), proteger (se usan salvaguardas para gestionar los riesgos), detectar (se encuentran y analizan posibles ataques), responder (se actúa ante un incidente detectado) y recuperar (se restauran los activos y operaciones afectados). Según el documento, el marco está diseñado para organizaciones de todos los tamaños y sectores.

ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection — Information security management systems — Requirements, es, según la página oficial de ISO, la norma más conocida para sistemas de gestión de seguridad de la información (SGSI) y define los requisitos que un SGSI debe cumplir. Da a empresas de cualquier tamaño y sector orientación para establecer, implementar, mantener y mejorar continuamente ese sistema, y la conformidad con la norma significa que la organización ha puesto en marcha un sistema para gestionar los riesgos relacionados con la seguridad de los datos que posee o maneja. Su tercera edición se publicó en octubre de 2022.

Son complementarios: el NIST CSF ordena el diagnóstico y la priorización; ISO/IEC 27001 estructura el sistema de gestión y permite certificarse cuando un cliente o el sector lo exige.

¿Cómo comparar propuestas de ciberseguridad?

Con los mismos cuatro criterios que sirven para cualquier selección de tecnología. Funcional: qué riesgos identificados cubre la propuesta y cuáles deja fuera, función por función. Técnico: cómo se integra con lo que ya existe —identidades, dispositivos, nube, sistemas de negocio— y qué exige del equipo interno. Económico: el costo total a varios años, incluida la operación, no solo la licencia o el proyecto inicial. Sostenible: qué pasa cuando la empresa crece, cambia de sistemas o el proveedor cambia de condiciones.

Y un criterio previo: si las propuestas no responden a un diagnóstico propio de la empresa, no son comparables entre sí. Cada una resuelve el problema que su autor sabe resolver.

La seguridad es parte de la continuidad

Los controles reducen la probabilidad del incidente; el plan de continuidad define cómo sigue operando la empresa si ocurre. Los diseñamos juntos.

• BIA que dice qué proteger primero
• Plan probado con un escenario real

Hablar con nuestro equipo

¿Qué preguntar antes de contratar una consultoría de ciberseguridad?

Cinco preguntas, en nuestro criterio, distinguen una consultoría independiente de un canal de ventas:

¿El diagnóstico se hace antes de proponer herramientas, y con qué marco se ordena?

¿La firma recibe comisiones o incentivos de los fabricantes que recomienda?

¿Qué entregables quedan: inventario de riesgos, lista de controles priorizados, criterios de selección, comparación de proveedores?

¿Quién implementa y quién opera después, y cómo se gobierna esa implementación?

¿Cómo se conecta con el plan de continuidad del negocio y con las exigencias de certificación, si existen?

¿Qué debe decidir la dirección?

La ciberseguridad tiene decisiones que no son del área de tecnología: qué datos y procesos no pueden exponerse bajo ninguna circunstancia, cuánto riesgo acepta la empresa y cuánto invierte en reducirlo, quién responde ante un incidente y quién comunica a clientes y autoridades, y si la empresa necesita certificarse. El NIST CSF 2.0 pone la función de gobernar en el centro precisamente por eso: informa cómo se ejecutan las otras cinco.

Cómo podemos ayudarle

En Cyrrus prestamos consultoría en ciberseguridad independiente: diagnosticamos el riesgo partiendo de lo que ya está en producción, definimos los controles que la empresa necesita y seleccionamos soluciones y proveedores con criterios definidos antes de ver propuestas, sin comisiones de fabricantes. La implementación la gobierna nuestra Gerencia de Proyectos.

La seguridad se diseña junto con el plan de continuidad del negocio, y si un cliente exige la certificación, la dirección se prepara con el curso de ISO 27001 de Leadership Academy.

Para profundizar en temas relacionados: qué es un plan de continuidad del negocio y qué es la estrategia de TI.