En VADRA trabajamos con organizaciones de Oaxaca de Juárez y su zona metropolitana. Cada diagnóstico comienza por definir qué se necesita conocer; sus actividades y entregables se acuerdan para el proyecto.
Acordamos el alcance antes de evaluar
Durante el descubrimiento reunimos información sobre la organización, sus procesos, tecnología y preocupaciones. Después definimos por escrito los objetivos, sedes, activos, muestras, actividades permitidas, exclusiones y limitaciones. Así, los resultados pueden interpretarse con relación a lo que efectivamente se revisó.
El diagnóstico se adapta al entorno acordado: no supone que todos los sistemas o todos los controles de un catálogo sean aplicables a cada organización. Si cambia el alcance, las partes deben aprobar el cambio por escrito antes de ejecutar actividades adicionales.
Revisamos controles y evidencias
Según el alcance, la evaluación puede incluir entrevistas, revisión documental, observación de procesos y revisión supervisada de configuraciones o registros existentes. Los temas pertinentes pueden abarcar accesos, equipos, servidores y servicios, respaldos, redes y gestión de seguridad.
Registramos la evidencia necesaria mediante los canales acordados y validamos los hechos relevantes. También indicamos qué no pudo evaluarse suficientemente: una conclusión sobre una muestra o un periodo no debe presentarse como una garantía sobre toda la organización.
Presentamos hallazgos y prioridades
El modelo de entregables contempla un informe ejecutivo para quienes toman decisiones y un informe técnico para quienes necesitan comprender los hallazgos y las recomendaciones. El plan de mejora organiza las acciones en horizontes de 30, 60 y 90 días. El SOW del proyecto identifica los productos, sus criterios de aceptación y las condiciones de entrega.
El diagnóstico no es una certificación ni una prueba de penetración. La implementación de mejoras se acuerda por separado. Las pruebas técnicas condicionadas solo se realizan cuando están previstas en el alcance y existe una autorización específica que define activos, técnica y límites.
¿Quieres conocer qué sería razonable evaluar en tu organización? Escríbenos a [email protected] para coordinar una conversación inicial de 20 minutos, sin costo ni compromiso y sin acceso a tus sistemas.