This page is also available in English.
Cumplimiento · Gobierno, riesgo y cumplimiento (GRC)
Cada auditoría vuelve a pedir las mismas evidencias, con otro nombre. En Almenara subes una evidencia una vez y cuenta para todos los controles y todas las normas que la piden; cuando va a caducar, te avisa en todas a la vez.
Un control, una evidencia, todas las normas que lo piden
Cada marco está cruzado con unos controles comunes. La evidencia se liga al control común y, de ahí, a cada norma que la pide. Si caduca, el control pasa de «demostrado» a «declarado» en todas a la vez: lo sigues haciendo, pero ya no lo puedes enseñar. Prueba a dejar caducar una.
Ejemplo ilustrativo
Tu responsable de sistemas · válida 12 meses
Cuenta para 5 marcos
Tu responsable de seguridad · cada semestre
Cuenta para 5 marcos
Tu responsable de personas · cada año
Cuenta para 4 marcos
Tu responsable de proveedores · cada año
Cuenta para 5 marcos
Los códigos, en pequeño, son el requisito de cada norma que pide la evidencia. Cada norma puede pedir algo más, y la plataforma te dice qué.
Un cliente de la Administración te pide el Esquema Nacional de Seguridad (ENS). No empiezas de cero: Almenara te enseña lo que ya tienes demostrado con evidencia vigente y te deja solo lo que es propio del ENS.
Ejemplo ilustrativo
Catálogo de marcos
Hemos estudiado a fondo las normas y los mercados, y cada marco del catálogo está cruzado con los controles comunes. Todos están disponibles: los respondes y les adjuntas evidencias desde el primer día.
De España, de la Unión Europea y de fuera: leyes y reglamentos, normas certificables, marcos de buenas prácticas y configuraciones técnicas.
Cada marco se cruza una sola vez con los controles comunes. Por eso lo que demuestras para uno ya cuenta para los demás.
Si tu marco no está o tienes uno propio, lo creas en Cumplimiento y lo cruzas con los mismos controles.
Quien mantiene el sistema trabaja sobre el control; quien lo audita ve lo mismo en solo lectura, con el rastro de cada cambio. Es lo que cambia el día de la auditoría. Aquí, el control de copias de seguridad en octubre.
Datos de ejemplo
Responsable de sistemas
Almenara no certifica: lo hacen las entidades de certificación acreditadas por ENAC. Y no hacemos la auditoría interna de un sistema que gestionamos nosotros.
Activos, amenazas, valoración y tratamiento, ligados a los controles que los tratan. Metodología MAGERIT para el ENS, con importación desde PILAR. Cuando cambia un control, ves qué riesgos se mueven.
La plataforma reúne las entradas de la revisión por la dirección: auditorías, no conformidades, riesgos y objetivos. La dirección decide y queda en el acta.
La SoA, las evidencias y el historial de cada control en una exportación, lista para la visita.
Cuando un cliente te manda su cuestionario de seguridad, las respuestas salen de tus controles, políticas y evidencias ya documentados.
Pruebas, revisiones de accesos y formaciones salen en el calendario de su responsable, antes de que caduque la evidencia.
Demo
En el último paso del caso, la evidencia del incidente se guarda una vez y se encienden todas las normas que la piden.
Recorre el casoCatálogo de marcos
Todos los marcos del catálogo, con su publicador y su versión. Todos están disponibles en Cumplimiento.
Ver el catálogo de marcosCon el módulo, el trabajo lo hace tu equipo y la plataforma lo ordena, lo recuerda y lo guarda con su evidencia. Si prefieres delegar una parte, nuestro equipo la hace como servicio de alcance cerrado, que se contrata aparte.
Análisis de diferencias frente a una normaUna vez
Medimos dónde estás frente a ISO 27001, el ENS o DORA y qué te falta para cumplir.
Análisis de riesgosCada año
El análisis de riesgos anual de tu sistema de seguridad, con MAGERIT y PILAR cuando es para el ENS.
Auditoría internaCada año
La auditoría interna anual de tu sistema de seguridad, hecha por alguien que no lo ha implantado.
Auditoría previa a la certificaciónCada año
Auditamos tu sistema como lo haría la entidad de certificación, para que corrijas antes de la auditoría real.
CISO externoCada mes
Un responsable de seguridad externo para tu organización. El alcance se concreta contigo en la propuesta.
Lo que pasa en este módulo llega a los demás sin volver a introducirlo.
Y la misma evidencia te sirve para ISO 27001, el Esquema Nacional de Seguridad (ENS), DORA, NIS2, el cuestionario de un cliente o cualquier otro marco del catálogo.
Pide información o una reunión: en 60 minutos cargamos una muestra de tus datos y lo ves funcionando.