TI donde cada cambio es trazable
En banca y seguros un auditor puede preguntar después quién hizo qué, y cuándo. Trabajamos con ventanas de cambio, doble aprobación en producción y registros que aguantan una revisión, para que una actualización de seguridad no acabe en un hallazgo.
Aquí el rastro importa tanto como el resultado
Hacerlo bien es la mitad. La otra mitad es poder demostrar después que fue así.
En un entorno financiero un cambio rara vez es solo un acto técnico. Lleva una solicitud, una aprobación de alguien distinto de quien ejecuta, una ventana en la que está permitido y un registro que meses después sigue siendo seguible. Puede parecer lento si viene de otro sector, pero es justo lo que espera un supervisor y lo que hace explicable un incidente.
Organizamos la gestión así desde el principio. No añadiendo un formulario encima, sino dejando que la evidencia salga del propio trabajo: quién solicitó el cambio, quién lo aprobó, cuándo se ejecutó, cuál era la vuelta atrás y si se usó. No es carga extra; es la administración que de todos modos necesita, solo que sin que nadie la lleve aparte.
Qué le pide DORA
El Reglamento de Resiliencia Operativa Digital se aplica a las entidades financieras de la UE desde enero de 2025 y desplaza la conversación de la seguridad a la resiliencia demostrable. Hay que saber qué servicios TIC son críticos, quién los presta, qué ocurre si falla uno y si la recuperación se ha probado alguna vez. Sus proveedores también entran: externalizar no traslada la responsabilidad.
Lo que hacemos al respecto es concreto. Fijamos el tiempo de recuperación por servicio, lo probamos y mostramos el resultado; mantenemos un registro de lo que operamos para usted y dónde está; y nos aseguramos de que tenga una salida que exista más allá del papel. Junto a DORA están NIS2 y el RGPD, y los tres piden en parte lo mismo con otras palabras. Nuestros procesos están certificados con ISO 9001, ISO/IEC 27001, ISO 14001 y Kiwa NEN 4400-1.
Aquí los accesos son lo más estricto
Quién puede llegar a qué datos no es un ajuste en este sector, es una decisión. Los permisos siguen la función y no a la persona, los permisos elevados son temporales y no permanentes, y cada uso queda rastreado. En altas y bajas cuenta la rapidez: una cuenta que sigue viva tras una salida es el hallazgo que más se repite, y el más fácil de evitar.
Qué asumimos en entornos financieros
Usted elige lo que necesita. Todo queda bajo un contrato, un informe y un interlocutor.
- Gestión de cambios con doble aprobaciónCada cambio en producción tiene solicitante y una segunda aprobación, una ventana registrada y una vuelta atrás pensada de antemano.
- Registros que aguantan una auditoríaConstancia de quién accedió a qué, cuándo ocurrió y qué permisos elevados se usaron, conservada y consultable sin búsquedas.
- Accesos por rol, temporales cuando se puedeLos permisos siguen la función, los elevados duran un periodo acotado y las cuentas se cierran de inmediato al salir personal propio o externo.
- Recuperación demostrableTiempos de recuperación acordados por sistema, probados cada año y con el resultado por escrito, para poder mostrar bajo DORA que funciona y no solo que existe.
- Visión de su cadena TICUn inventario actualizado de lo que operamos para usted, dónde está y qué pasa si falla una parte, en un formato que encaja en su propio registro.
- Salida sin dependenciaDocumentación, contraseñas, licencias y configuración son suyas y se van con usted. Bajo DORA un plan de salida que funcione es una exigencia, no un deseo.
Cómo asumimos un entorno financiero
Con cuidado y en este orden, porque aquí una sorpresa durante la transición se convierte en un hallazgo.
Primero mirar, no tocar nada
Acompañamos, leemos los procedimientos existentes y los últimos hallazgos de auditoría, y mapeamos qué cambios están en curso. Solo cuando ese cuadro encaja se toca algo.
Fijar la cadena y los marcos
Qué servicios TIC son críticos, quién los presta, qué enlace es frágil y qué piden en concreto DORA, NIS2 y el RGPD. Eso marca el orden de lo demás.
Acordar ventanas, aprobaciones y tiempos
Cuándo se puede cambiar, quién da la segunda aprobación y qué tiempo de respuesta corresponde a cada servicio. Va a un SLA en lenguaje llano, con cobertura 24/7 donde haga falta.
Demostrar en lugar de afirmar
El informe muestra volúmenes, plazos y causas recurrentes, y la prueba de recuperación deja un resultado por escrito. Ambos sirven en su propia rendición de cuentas.
Los servicios que más aparecen aquí
Estos elementos son los que más aparecen en un entorno financiero.
Seguir mirando
¿Reconoce el panorama pero trabaja en otro sector? Eche un vistazo a los demás.
Díganos qué hallazgo no quiere repetir
Nombre los sistemas críticos y los requisitos que debe cumplir. Alrededor de eso construimos el proceso de cambios, el registro y la prueba de recuperación.