Gobierno de seguridad · Cybersécurité

Mise en œuvre de l'ISO/IEC 27001:2022

Nous menons votre organisation de son état actuel jusqu'à un Système de management de la sécurité de l'information prêt à être audité et certifié.

Norme: ISO/IEC 27001:2022 et Annexe A
Durée: 8 à 14 mois selon le périmètre
Équipe: Senior Lead Implementer certifié
Résultat livré: SMSI prêt pour l'audit de certification

Le problème

La certification ISO 27001 a cessé d'être un ornement : de plus en plus de clients grands comptes et d'appels d'offres l'exigent comme condition pour contracter. La version 2022 a réorganisé les mesures de l'Annexe A en quatre thèmes et en a ajouté onze nouvelles : une mise en œuvre fondée sur l'ancienne édition ne suffit plus.

Ce que cela comprend

Análisis de brechas

Contraste del estado actual contra cada requisito de la norma y cada control del Anexo A, con el porcentaje de cumplimiento real por cláusula.

Alcance y contexto

Definición del alcance del SGSI, las partes interesadas y sus requisitos, que es donde se decide cuánto costará todo lo demás.

Gestión de riesgos

Metodología de evaluación y tratamiento, inventario de activos, riesgos valorados con dueños asignados y Declaración de Aplicabilidad.

Cuerpo documental

Política del SGSI, procedimientos obligatorios, registros y evidencia, redactados para tu operación y no copiados de una plantilla.

Implementación de controles

Acompañamiento técnico en los controles del Anexo A que exigen trabajo real: accesos, criptografía, respaldo, registro, desarrollo seguro y proveedores.

Concientización y competencias

Formación al personal y a la alta dirección, con la evidencia que el auditor pedirá.

Auditoría interna y revisión

Ejecución de la auditoría interna, tratamiento de no conformidades y revisión por la dirección antes de convocar al ente certificador.

Acompañamiento en certificación

Preparación de la etapa 1 y la etapa 2, y apoyo durante la auditoría del organismo certificador.

Notre méthode

01
Diagnóstico
Brecha contra la norma, alcance propuesto y estimación de esfuerzo.
02
Diseño
Metodología de riesgos, política, roles y plan de tratamiento aprobados por la dirección.
03
Implementación
Despliegue de controles y generación de evidencia, con seguimiento quincenal.
04
Vérification
Auditoría interna, no conformidades y revisión por la dirección.
05
Certification
Acompañamiento en las etapas 1 y 2 con el organismo certificador.

Livrables

Document	Volume
Manual del SGSI Alcance, política, roles y procesos.	inclus
Declaración de Aplicabilidad Control por control, con justificación.	inclus
Matriz de riesgos Valorada, con dueños y plan de tratamiento.	inclus
Cuerpo documental Procedimientos y registros obligatorios.	inclus
Informe de auditoría interna Con no conformidades y acciones.	inclus

Note

La certification est délivrée par un organisme indépendant, pas par nous. Notre travail consiste à mettre le système en condition de réussir : nous préparons, accompagnons et répondons pendant l'audit, mais le verdict vient d'un tiers accrédité, et c'est précisément ce qui donne sa valeur au certificat.

Autres services de ce domaine

Évaluation de la posture de cybersécuritéAnalyse détaillée de l'état réel de votre sécurité : vulnérabilités, menaces et niveau de conformité, avec une vision claire des risques et de leur traitement.Ethical HackingAnalyse de sécurité offensive sur la cible que vous définissez, menée selon l'OWASP Testing Guide et classée selon l'OWASP Top 10, CWE et CVSS 3.1.Test d'intrusion des applications web et APINous attaquons votre application comme le ferait un véritable adversaire, avec autorisation et périmètre écrits, et nous vous remettons chaque constat avec sa preuve de concept reproductible.Audit des applications mobiles (APK)Nous décompilons, instrumentons et attaquons votre application Android pour trouver ce qu'une revue de store ne verrait jamais.Red Team et Purple TeamÉvaluation adversariale complète et travail collaboratif avec votre équipe défensive, cartographié sur MITRE ATT&CK, pour renforcer les défenses là où elles cèdent vraiment.Exercices de type APTSimulation de menaces avancées et persistantes pour mesurer la résistance de votre organisation face aux scénarios les plus sophistiqués, en boîte blanche ou en boîte noire.Hameçonnage simulé et sensibilisationNous mesurons la réaction de vos équipes, pas celle de vos logiciels : des campagnes d'ingénierie sociale contrôlées qui débouchent sur une formation bâtie sur les cas réels de l'exercice.Analyse forensique numériqueDes réponses rapides et précises quand quelque chose est déjà arrivé : ce qui est entré, par où, quand et ce qui a été emporté, avec des preuves recevables en justice.Réponse aux incidents et analyse forensiqueQuand l'incident a déjà eu lieu, nous contenons, enquêtons sur ce qui s'est passé et vous laissons de quoi éviter la récidive.Création de votre CSIRTNous concevons, mettons en place et formons l'équipe de réponse aux incidents de sécurité informatique de votre organisation, pour que la compétence reste chez vous.Security Operation CenterCréation et mise en œuvre d'une unité centralisée qui surveille, détecte, répond et atténue les menaces en temps réel, dans vos locaux et avec votre personnel formé.Supervision de la sécurité numériqueSupervision permanente de tous vos actifs numériques, avec une défense proactive contre les menaces de l'environnement et des rapports réellement lisibles.Durcissement des serveursDurcissement intégral de vos serveurs : configuration optimisée, gestion des mises à jour et audits périodiques pour fermer la porte avant que quelqu'un ne l'essaie.Durcissement du cloud : GCP, AWS et AzureNous passons tout votre compte au crible du référentiel CIS, corrigeons ce que vous autorisez et vous montrons l'avant et l'après avec un score de posture.Services cloud : migration et architectureMigration, conception d'architecture, mise en œuvre, optimisation des ressources et gestion des comptes sur AWS, Google Cloud et Azure, avec la sécurité intégrée dès le premier jour.Connectivité et réseauxNous relions votre organisation au monde en toute sécurité : câblage structuré, sécurité du réseau et postes de travail ordonnés.Plan de sécurité de l'informationUn plan qui vous appartient, aligné sur vos objectifs métier : risques évalués, politiques rédigées sur mesure et une culture de sécurité qui atteint tous vos collaborateurs.Feuille de route cybersécuritéUn plan stratégique à court, moyen et long terme qui fixe les priorités, définit des actions concrètes et alloue les ressources, aligné sur les objectifs de l'entreprise.vCISO : votre responsable sécurité, sans l'embaucherUn responsable de la sécurité de l'information avec des heures engagées chaque mois, qui répond de la gouvernance, du risque et de la conformité devant votre conseil et vos clients.Audit interne ISO/IEC 27001:2022Nous auditons votre Système de management de la sécurité de l'information avec la rigueur qu'appliquera l'organisme certificateur, pour qu'aucune surprise ne surgisse le jour de l'audit réel.Conformité aux lois 21.719 et 21.595Nous préparons votre entreprise à la loi chilienne sur les données personnelles avant l'arrivée du contrôle, avec une documentation confrontée au texte officiel.Outils de sécuritéLicences et mise en service des outils offensifs et défensifs les plus utilisés du marché, avec le support technique qui les rend réellement rentables.Équipement technologiqueOrdinateurs, serveurs et outils spécialisés pour le hacking physique, avec le conseil en architecture inclus.

Tous les domaines

Intelligence artificielle Développement sur mesure Conseil