GUÍAS PARA EMPRESAS / CONTRATAR CIBERSEGURIDAD
Cómo elegir un proveedor de ciberseguridad para tu empresa
Elegir un proveedor de ciberseguridad exige comparar el trabajo que realizará sobre tu operación. Una propuesta útil identifica sistemas, datos, responsables, autorizaciones y evidencias de aceptación. Antes de contrastar el precio, acuerda qué decisión necesitas tomar y qué debe cambiar después del proyecto.
Conoce el servicio y comparte el contexto de tu proyecto.
En esta página
Explica la necesidad con una situación concreta
Comienza por el proceso que preocupa a la gerencia: información que circula sin responsables claros, aplicaciones conectadas con permisos amplios o dependencias que dificultan recuperar la operación. Identifica sus consecuencias y a la persona que puede aceptar una mejora. Así el proveedor puede relacionar una propuesta técnica con una necesidad real.
Reúne un inventario inicial de aplicaciones, datos, proveedores y entornos. Señala qué información conoces y qué falta confirmar. Las primeras conversaciones pueden usar ejemplos anonimizados y una descripción del recorrido; compartir credenciales o archivos internos por un formulario comercial no es necesario para explicar el problema.
Distingue la revisión del entorno, los cambios y su seguimiento
Estas modalidades responden preguntas diferentes. Pide que la propuesta indique cuáles incluye y dónde termina cada una. Esta es una matriz propia de Digital Dev para comparar alcances.
Desliza la tabla si no ves todas las columnas.
| Modalidad | Decisión o trabajo | Evidencia que conviene acordar |
|---|---|---|
| Diagnóstico | Entender el entorno y ordenar prioridades | Sistemas incluidos, antecedentes, riesgos identificados y condiciones pendientes |
| Implementación | Aplicar controles sobre un alcance definido | Cambios documentados, pruebas autorizadas y aceptación por el responsable |
| Pentesting | Examinar activos definidos mediante pruebas autorizadas | Activos, permisos, condiciones de las pruebas y revisión de hallazgos |
| Monitoreo SOC | Observar y analizar eventos de las fuentes acordadas | Fuentes conectadas, señales relevantes, responsables y condiciones de operación |
| Seguimiento | Mantener y revisar controles en la operación | Responsables, señales de revisión, tareas y condiciones de atención expresas |
Compara propuestas con los mismos límites
Un total no permite comparar dos trabajos que revisan sistemas distintos. Especifica aplicaciones, ambientes, usuarios, tipos de datos e integraciones. Identifica también qué recursos dependen de un tercero y quién gestionará su autorización. Cualquier limitación de acceso debe quedar visible junto al efecto que tiene sobre la revisión.
Solicita que cada propuesta separe entregables, participación de tu equipo, cambios técnicos y seguimiento. Los factores de costo incluyen profundidad de análisis, preparación de información, dependencias y pruebas. Una fecha necesita esos mismos antecedentes. Pide que los supuestos y las condiciones para ampliar el alcance queden escritos.
Acuerda cómo se autoriza y se retira el acceso
Define una persona responsable de conceder permisos, una identidad identificable y las operaciones admitidas. La revisión de un sistema y su modificación necesitan autorizaciones distintas. Registra entornos, ventanas de cambio y condiciones para detener una actividad que afecte a la operación. Al terminar, revisa qué accesos se conservan y cuáles se retiran.
ANCI incluye minimizar privilegios y usar múltiples factores de autenticación entre sus medidas básicas. NIST plantea la gestión de riesgos como un trabajo de la organización. Estas referencias ayudan a formular preguntas; las decisiones concretas deben considerar los sistemas y las responsabilidades de tu empresa.
Lista de chequeo antes de aceptar una propuesta
- Necesidad: hay un proceso, una consecuencia relevante y una persona que acepta la entrega.
- Cobertura: aplicaciones, entornos, datos y dependencias están identificados.
- Accesos: se conocen las identidades, permisos, autorizaciones y condiciones de retiro.
- Trabajo: diagnóstico, implementación y seguimiento tienen límites y entregables propios.
- Cambios: existe coordinación con quienes administran los sistemas y sus proveedores.
- Aceptación: cada control tiene una comprobación y un responsable de revisarla.
- Documentación: queda registrado lo realizado, lo pendiente y las responsabilidades posteriores.
- Propuesta: supuestos, dependencias y condiciones de modificación están expresos.
Recibe el trabajo con evidencia que TI pueda continuar
Pide una explicación ejecutiva de lo decidido y documentación técnica útil para operar. Un hallazgo necesita contexto, consecuencia, responsable y siguiente acción. Una mejora aplicada necesita una comprobación sobre el entorno acordado. Lo que quedó fuera debe conservar su estado pendiente, sin presentarse como una revisión completa.
Para preparar la reunión, elige una situación prioritaria y completa el inventario con su responsable. Reúne las propuestas sobre ese mismo alcance y anota las diferencias. Lleva a la conversación las dependencias y preguntas que aún impiden aceptar el trabajo. Ese material permite solicitar una propuesta concreta y revisable.
ANTES DE DECIDIR
Preguntas frecuentes
¿Qué debe incluir una propuesta de ciberseguridad empresarial?
Necesidad, sistemas y entornos incluidos, accesos autorizados, entregables, pruebas, responsables y documentación. Conviene separar diagnóstico, implementación y seguimiento para comparar el mismo trabajo entre proveedores.
¿Hay que compartir datos confidenciales antes de cotizar?
La primera conversación puede partir con una descripción y ejemplos anonimizados. El intercambio posterior de información y los accesos deben acordarse con los responsables del alcance y las condiciones de confidencialidad correspondientes.
¿Cómo se comprueba que el proyecto quedó entregado?
Con los criterios de aceptación acordados: evidencia de la revisión o de los controles implementados, documentación, responsables y un registro claro de pendientes y accesos que se retiran o conservan.