¿En manos de quién están nuestros datos críticos?: cuatro consideraciones antes de contratar servicios de ciberseguridad
Frente a la alta demanda de servicios, productos y plataformas de seguridad digital, no podemos tomar a la ligera la elección de marcas. Después de todo, le confiamos datos sensibles, activos críticos y la protección de la organización.
En un entorno digital con amenazas que evolucionan constantemente en sofisticación, escalabilidad y eficacia, la ciberseguridad dejó de ser un tema exclusivamente tecnológico y del departamento TI. Se trata de un eslabón crítico para la continuidad y reputación de las compañías, que está motivando nuevos modelos de negocios, estrategias y cada vez más presupuestos asignados.
“La Ley Marco de Ciberseguridad y la de Protección de Datos Personales rompen los paradigmas tradicionales y están obligando forzosamente a las organizaciones a tomar la ciberseguridad como un área crítica. La obligación de gobernanza y los nuevos estándares mantiene alertas a las compañías, por lo que, o construyen sus propias defensas o las tercerizan”, explica Francisco Martínez, gerente comercial de Lockbits.
La exigencia de contar con sistemas avanzados de defensa y capacidades de respuesta resilientes, está obligando a las organizaciones públicas y privadas a invertir en productos, servicios o plataformas para gestionar la protección de sus sistemas, por lo que es relevante tener algunas consideraciones.
“Chile cuenta con un abanico de posibilidades interesantes, pero no basta con tener la tecnología. Es clave que, a la hora de tomar una decisión de invertir, se tenga en cuenta que el proveedor cuente con experiencia sólida, reputación intachable y esté, a lo menos, en el cuadrante mágico de Gartner, sin verse afectado por controversias o restricciones internacionales que puedan comprometer su continuidad. No podemos obviar que al contratar, estamos poniendo el cuidado de nuestros datos críticos y sensibles. Por lo tanto, la elección no puede ser al azar”, recalca Martínez.
En el país, con las nuevas normativas, existe un auge en la adopción de tecnologías como los antivirus, un software que se mete al sistema operativo y extrae información de monitoreo. Por lo tanto, hay que tener especial cuidado en la elección.
A continuación, dejamos cinco consideraciones.
– Reputación y fiabilidad. Antes de firmar un contrato, es imprescindible llevar a cabo un proceso de debida diligencia exhaustivo para validar la idoneidad y fiabilidad del proveedor en términos de experiencia, certificaciones y especialización del equipo. No solo se debe preguntar por los años de operación, sino específicamente por la experiencia relevante en el sector y tamaño de la propia organización. Solicitar referencias y casos de estudio (anonimizados si es necesario) que demuestren capacidad para manejar incidentes y proyectos similares. Lo anterior permitirá determinar si el proveedor tiene expertise en las áreas específicas que la empresa necesita.
– Mecanismos de seguridad interna y cumplimiento regulatorio. Si el proveedor va a acceder a la red o datos sensibles, es crucial entender sus propias políticas de seguridad interna. ¿Cómo protege su propia infraestructura y los datos de sus clientes? ¿Tiene implementadas políticas de Zero Trust? Además, un proveedor de ciberseguridad debe ser un ejemplo de seguridad. Finalmente, debemos conocer dónde se almacenarán y procesarán los datos que el proveedor recolecta (ej. logs, telemetría) y asegurar que cumplan con las regulaciones de privacidad de datos geográficas pertinentes. Hay que insistir en una buena reputación en el resguardo de los datos, los cuales no serán usados con fines políticos o publicitarios.
– Metodología y transparencia de operacional. La metodología de trabajo debe ser clara, replicable y estar bien documentada. Esto incluye los acuerdos de nivel de servicio para la detección y respuesta a incidentes. ¿Cómo se notifican los incidentes? ¿Qué tan detallados son los informes? La empresa debe tener visibilidad total sobre lo que el proveedor está haciendo. Exigir demostraciones de los cuadros de mando (dashboards) y herramientas de gestión de tickets. Asimismo, entender cómo el proveedor gestiona las actualizaciones tecnológicas y las implementaciones de cambios en la infraestructura de seguridad es fundamental.
– Capacidad de Respuesta a Incidentes y Resiliencia. Para servicios críticos como la monitorización (SOC), es imprescindible confirmar la disponibilidad ininterrumpida y los tiempos de respuesta garantizados (SLA) para incidentes de alta prioridad. En ese sentido, un plan de continuidad del negocio y recuperación ante desastres es crítico, donde el proveedor debe demostrar que tiene sus propios planes robustos para asegurar la continuidad del servicio ante fallos técnicos o desastres en su propia operación. Aquí es clave definir el proceso de escalación y la colaboración entre el equipo del proveedor y el equipo de TI interno del cliente. La coordinación es vital durante un ciberataque.