Cumplimiento comparado

Un certificado de un sistema de gestión de la seguridad, como ISO/IEC 27001, describe un alcance: qué sedes, procesos y plataformas cubre. Lo que queda fuera del alcance no está certificado, aunque pertenezca a la misma empresa. Cuando una compradora adquiere otra, el certificado no se extiende solo: el alcance se amplía mediante un proceso formal que revisa un auditor.

Hasta entonces, la respuesta honesta a un cliente o a un auditor es que la empresa adquirida no está dentro del certificado, y qué se está haciendo para llevarla.

Los contratos con clientes fijan obligaciones que no dependen de las políticas internas. El plazo para notificar un incidente es una de las más comunes y es la que más presión pone sobre el equipo de respuesta: una empresa sin proceso de notificación puede incumplir sin darse cuenta.

Abre cumplimiento/contratos-clientes.csv y compara la columna de plazo en horas.

La comparación de controles se hace dominio por dominio: la compradora y la adquirida se miden con la misma escala (sí, parcial, no). Las brechas son los dominios en que la adquirida está por debajo de la compradora. Cada una necesita un dueño y una fecha de cierre; contarlas da la dimensión del trabajo.

Los controles de Garrapatero salen de una autoevaluación: nadie externo la ha revisado. Es un punto de partida, no una conclusión. Abre cumplimiento/controles-comparados.csv.

Algunos contratos exigen una certificación concreta. Si la empresa no la tiene, el incumplimiento es contractual y existe desde el primer día, aunque los controles técnicos sean buenos. Es el tipo de brecha que más interesa a dirección, porque tiene un cliente con nombre detrás.

Cruza cumplimiento/contratos-clientes.csv con cumplimiento/certificaciones.csv.

Un cliente pide confirmar que Garrapatero cumple su norma de seguridad. La tentación es responder con lo que suena mejor: que ahora forma parte de un grupo certificado. Pero responder algo que no se puede respaldar crea un riesgo nuevo, el de haber dado una declaración falsa. La respuesta que sirve es la que se apoya en evidencia: el estado real de cada control y una fecha creíble de cierre de las brechas.