sanciones<\/a> tambi\u00e9n son m\u00e1s altas para las primeras.<\/p>\nHay un tercer grupo al que la norma no obliga directamente, pero que acaba afectando por igual. Si vendes a una empresa obligada cumplir con la NIS2, lo normal es que tambi\u00e9n te pida esos mismos requisitos<\/strong> por contrato. Aqu\u00ed el plazo no lo marca la ley, lo marca tu cliente.<\/p>\nLas diez categor\u00edas de medidas y cu\u00e1les se demuestran con datos<\/h3>\n
El art\u00edculo 21.2 de la NIS 2 enumera diez categor\u00edas de medidas:<\/p>\n
\n- a) An\u00e1lisis de riesgos y pol\u00edtica de seguridad:<\/strong> la base sobre la que se justifica todo lo dem\u00e1s. Hay que identificar los activos cr\u00edticos, valorar qu\u00e9 puede pasarles y aprobar una pol\u00edtica que alguien firme.<\/li>\n
- b) Gesti\u00f3n de incidentes:<\/strong> detecci\u00f3n, respuesta y notificaci\u00f3n en plazo. La NIS2 marca 24 horas para el aviso inicial y 72 para la evaluaci\u00f3n de impacto, as\u00ed que lo que se audita es la capacidad de reaccionar r\u00e1pido.<\/li>\n
- c) Continuidad de negocio:<\/strong> copias de seguridad, recuperaci\u00f3n y gesti\u00f3n de crisis. Se trata de saber qu\u00e9 servicios son cr\u00edticos, cu\u00e1nto tiempo puedes estar sin ellos y qui\u00e9n hace qu\u00e9 mientras tanto.<\/li>\n
- d) Seguridad de la cadena de suministro:<\/strong> control de los proveedores y de los servicios que te prestan. Incluye el software de terceros que utilizas, no solo a quien te presta un servicio gestionado.<\/li>\n
- e) Adquisici\u00f3n y mantenimiento de sistemas:<\/strong> incluida la gesti\u00f3n de vulnerabilidades. Aqu\u00ed entran el parcheo, la retirada de sistemas fuera de soporte y la seguridad en el desarrollo si haces software propio.<\/li>\n
- f) Evaluaci\u00f3n de la eficacia de las medidas:<\/strong> comprobar que lo aplicado funciona de verdad. Una pol\u00edtica que nadie revisa no cuenta como medida implantada.<\/li>\n
- g) Ciberhigiene y formaci\u00f3n:<\/strong> pr\u00e1cticas b\u00e1sicas de seguridad y concienciaci\u00f3n de los empleados. Cubre desde la protecci\u00f3n antimalware hasta la formaci\u00f3n peri\u00f3dica con registro de qui\u00e9n la ha completado.<\/li>\n
- h) Criptograf\u00eda y cifrado:<\/strong> pol\u00edticas de cifrado aplicadas y verificadas. Lo que se pregunta no es si tienes la pol\u00edtica, sino en qu\u00e9 porcentaje de la flota de dispositivos est\u00e1 activo el cifrado.<\/li>\n
- i) Seguridad en RRHH, control de accesos y gesti\u00f3n de activos:<\/strong> el ciclo de vida de personas, cuentas y equipos. Es la categor\u00eda m\u00e1s amplia de las diez y la que m\u00e1s trabajo operativo genera.<\/li>\n
- j) Autenticaci\u00f3n multifactor:<\/strong> MFA y comunicaciones seguras donde corresponda. Lo aporta tu proveedor de identidad, pero tienes que poder demostrar en qu\u00e9 cuentas est\u00e1 activa.<\/li>\n<\/ul>\n
De esas diez medidas, seis se demuestran fundamentalmente con documentaci\u00f3n y proceso<\/strong>. Escribes la pol\u00edtica, defines el procedimiento, guardas el acta. Las otras cuatro<\/strong>, m\u00e1s partes de dos de las anteriores, no se demuestran con un documento, sino que se demuestran con el estado real de tus equipos y accesos a una fecha concreta.<\/p>\nY esa segunda parte, la que se demuestra con datos, es justo la que Factorial IT genera de forma continua<\/strong>. Lo vemos a continuaci\u00f3n.<\/p>\n\u00bfQu\u00e9 medidas de la NIS2 cubre Factorial IT?<\/h2>\n
Una herramienta de este tipo no sustituye a un consultor ni a un auditor. Lo que s\u00ed hace es generar por su cuenta la mitad del expediente que tendr\u00e1s que presentar, la parte que se demuestra con datos. Estas son las seis medidas cubiertas y la evidencia<\/strong> que sale de cada una.<\/p>\n\n\n\n| Medida (art. 21.2)<\/th>\n | \u00bfQu\u00e9 exige?<\/th>\n | La evidencia que necesitas<\/th>\n | \u00bfC\u00f3mo la produce Factorial?<\/th>\n<\/tr>\n<\/thead>\n |
\n\ni) Gesti\u00f3n de activos<\/a><\/strong><\/td>\n| Inventario de activos con responsable identificado<\/td>\n | Inventario con fecha y responsable asignado a cada equipo<\/td>\n | Inventario en tiempo real de flota mixta macOS, Windows, Linux, iOS y Android, con cada dispositivo vinculado a persona, equipo y departamento<\/td>\n<\/tr>\n | \ni) Control de accesos<\/a><\/strong><\/td>\n| Ciclo de vida de las cuentas y privilegio m\u00ednimo<\/td>\n | Registro fechado de altas, cambios y revocaciones<\/td>\n | Aprovisionamiento y revocaci\u00f3n disparados desde el evento de RRHH, con integraci\u00f3n con tu proveedor de identidad<\/td>\n<\/tr>\n | \ni) Seguridad en RRHH<\/a><\/strong><\/td>\n| Procedimientos de alta, cambio de puesto y baja<\/td>\n | La ejecuci\u00f3n, no el procedimiento escrito. Horas entre la baja y el corte del \u00faltimo acceso<\/td>\n | La salida se ejecuta desde el dato de RRHH, as\u00ed que la revocaci\u00f3n y su registro se producen a la vez<\/td>\n<\/tr>\n | \nh) Criptograf\u00eda y cifrado<\/a><\/strong><\/td>\n| Pol\u00edticas de cifrado aplicadas y verificadas<\/td>\n | Porcentaje de la flota de dispositivos con cifrado activo a una fecha concreta<\/td>\n | Aplicaci\u00f3n y verificaci\u00f3n de FileVault y BitLocker, con el listado de equipos no conformes y la traza de remediaci\u00f3n<\/td>\n<\/tr>\n | \ne) Adquisici\u00f3n y mantenimiento de sistemas<\/a><\/strong><\/td>\n| Sistemas actualizados y software con soporte<\/td>\n | Nivel de parche por equipo, tiempo medio de aplicaci\u00f3n y lista de sistemas EOL<\/td>\n | Seguimiento de versiones, pol\u00edticas de actualizaci\u00f3n y detecci\u00f3n de vulnerabilidades conocidas y software fuera de soporte<\/td>\n<\/tr>\n | \ng) Ciberhigiene<\/a><\/strong><\/td>\n| Protecci\u00f3n frente a c\u00f3digo malicioso desplegada y activa en todos los equipos<\/td>\n | Cobertura real del agente, equipo por equipo<\/td>\n | Verificaci\u00f3n del estado del agente de protecci\u00f3n en cada dispositivo y se\u00f1alizaci\u00f3n de los que no lo tienen<\/td>\n<\/tr>\n | \nb) Gesti\u00f3n de incidentes<\/a><\/strong><\/td>\n| Notificaci\u00f3n inicial en 24 horas y evaluaci\u00f3n de impacto en 72<\/td>\n | El alcance del incidente y la traza de la respuesta, con horas<\/td>\n | La consola devuelve al instante el usuario del equipo afectado, sus accesos, sus aplicaciones y el hist\u00f3rico de acciones<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\ni) Gesti\u00f3n de activos<\/h3>\nCasi todo el mundo tiene una lista de equipos. Casi nadie la tiene vinculada a personas<\/strong>, y sin esa vinculaci\u00f3n no se puede demostrar ni la revocaci\u00f3n de accesos ni el alcance de un incidente.<\/p>\nHay un segundo fallo habitual, y es que el inventario se queda en los port\u00e1tiles cuando la norma incluye tambi\u00e9n los servicios contratados a proveedores externos. En Factorial IT el inventario recoge hardware, software instalado y versiones desde una sola consola<\/strong>, con flota mixta de macOS, Windows, Linux, iOS y Android, y cada dispositivo queda vinculado a una persona, un equipo y un departamento a trav\u00e9s de la conexi\u00f3n con el sistema de RRHH. Tambi\u00e9n incorpora las aplicaciones SaaS realmente en uso, incluidas las contratadas fuera de IT.<\/p>\nLa evidencia que genera Factorial IT: <\/strong> Inventario descargable con fecha, responsable por activo y porcentaje de cobertura del reporte.<\/p>\ni) Control de accesos<\/h3>\nEl principio de privilegio m\u00ednimo es f\u00e1cil de enunciar y dif\u00edcil de acreditar. Lo que se pide en una auditor\u00eda no es la pol\u00edtica de permisos, sino la lista de qui\u00e9n tiene acceso a qu\u00e9 hoy y desde cu\u00e1ndo<\/strong>. En la mayor\u00eda de organizaciones esa lista no existe como tal y hay que reconstruirla entrando aplicaci\u00f3n por aplicaci\u00f3n.<\/p>\nFactorial IT mantiene ese inventario de accesos por persona y automatiza el aprovisionamiento seg\u00fan el rol<\/strong>, con reglas que asignan grupos, permisos y licencias a partir de los datos del sistema del software de RRHH. Las aplicaciones donde la automatizaci\u00f3n no es posible se cubren con un flujo de tickets que deja el mismo rastro auditable.<\/p>\nLa evidencia que genera Factorial IT: <\/strong> Registro fechado de altas, cambios y revocaciones, y el mapa de accesos por persona en cualquier momento.<\/p>\ni) Seguridad en RRHH<\/h3>\nEl procedimiento de offboarding est\u00e1 escrito en casi todas las empresas. Lo que no existe es la prueba de su ejecuci\u00f3n.<\/p>\n Casi ninguna organizaci\u00f3n sabe decir cu\u00e1ntas horas pasaron, en las \u00faltimas doce salidas, entre el \u00faltimo d\u00eda del empleado y el corte del \u00faltimo acceso. Eso es exactamente lo que se audita.<\/p>\n El alta y la baja se disparan desde el propio software de RRHH de Facotrial, no desde un ticket. Al entrar alguien nuevo al equipo se aprovisionan cuentas y accesos seg\u00fan su rol<\/strong>. Cuando ese empleado sale de la empresa se revocan los accesos, se bloquea el dispositivo y se liberan las licencias<\/strong>. Los AI Agents identifican todos los accesos, dispositivos y aplicaciones asignados a una persona y ejecutan la salida completa, con lo que la revocaci\u00f3n y su registro se producen en el mismo momento.<\/p>\nLa evidencia que genera Factorial IT: <\/strong>traza completa de cada baja, con la hora de revocaci\u00f3n de cada acceso y el tiempo transcurrido desde el \u00faltimo d\u00eda del empleado.<\/p>\nh) Criptograf\u00eda y cifrado<\/h3>\nLa pregunta del auditor nunca es si tienes cifrado de disco. Es en qu\u00e9 porcentaje de la flota de dispositivos est\u00e1 activo y a qu\u00e9 fecha se comprob\u00f3<\/strong>. La pol\u00edtica que ordena el cifrado existe en casi todas las empresas, pero el dato de qu\u00e9 equipos lo cumplen hoy no.<\/p>\nFactorial IT aplica y verifica FileVault y BitLocker en toda la flota<\/strong>, y permite definir pol\u00edticas de configuraci\u00f3n por rol, sistema operativo o estado de seguridad. Entran ah\u00ed el firewall, el bloqueo de sesi\u00f3n, la pol\u00edtica de contrase\u00f1as y las restricciones de perif\u00e9ricos. Las desviaciones se detectan y se corrigen de forma autom\u00e1tica.<\/p>\nLa evidencia que genera Factorial IT:<\/strong> porcentaje de conformidad por regla a una fecha concreta, listado nominal de equipos no conformes y traza de las remediaciones. Ese listado nominal es lo importante, porque es lo que convierte un n\u00famero en una evidencia utilizable.<\/p>\ne) Adquisici\u00f3n y mantenimiento de sistemas<\/h3>\nEsta categor\u00eda cubre la seguridad a lo largo de la vida de un sistema, desde que se compra hasta que se retira, e incluye la gesti\u00f3n de vulnerabilidades. En el puesto de trabajo eso se traduce en dos cosas, mantener el software actualizado<\/strong> y no tener en producci\u00f3n sistemas que ya no reciben parches<\/strong>.<\/p>\nLo primero se hace en casi todas las empresas, pero se acredita en muy pocas. Se parchea, y sin embargo no hay forma de responder cu\u00e1nto se tarda de media desde que se publica una actualizaci\u00f3n cr\u00edtica hasta que est\u00e1 aplicada en toda la flota, que es la m\u00e9trica que se pide. Lo segundo pesa a\u00fan m\u00e1s, porque un equipo con un sistema operativo fuera de soporte es un incumplimiento expl\u00edcito y no una recomendaci\u00f3n, y esos equipos suelen aparecer precisamente durante la auditor\u00eda.<\/p>\n Lo que Factorial IT mantiene al d\u00eda:<\/p>\n \n- El seguimiento de versiones de sistema operativo y aplicaciones en toda la flota.<\/li>\n
- Las pol\u00edticas de actualizaci\u00f3n, con su nivel de aplicaci\u00f3n por equipo.<\/li>\n
- Las vulnerabilidades conocidas detectadas en cada dispositivo, con su estado de remediaci\u00f3n.<\/li>\n
- El software fuera de soporte, se\u00f1alado en el propio inventario.<\/li>\n<\/ul>\n
La evidencia que genera Factorial IT: <\/strong>nivel de parche por dispositivo, tiempo medio de aplicaci\u00f3n y listado de sistemas sin soporte.<\/p>\ng) Ciberhigiene<\/h3>\nLa ciberhigiene agrupa las pr\u00e1cticas b\u00e1sicas de seguridad que se dan por descontadas pero que hay que poder demostrar, y una de ellas es la protecci\u00f3n frente a c\u00f3digo malicioso<\/strong> en todos los equipos. Lo que se audita no es que tengas antivirus contratado, sino que est\u00e9 instalado y activo en cada dispositivo.<\/p>\nY ah\u00ed conviene ser precisos. Factorial IT no es el antivirus, es la capa que demuestra que est\u00e1 y que funciona.<\/p>\n Lo que se ense\u00f1a en una auditor\u00eda suele ser la factura del antivirus. Lo que se verifica es el despliegue efectivo, y casi siempre hay entre un 3% y un 8% de equipos sin agente o con el agente parado, normalmente por una reinstalaci\u00f3n, un equipo nuevo que nadie enrol\u00f3 o un usuario con permisos de administrador local. Factorial IT verifica el estado del agente de protecci\u00f3n en cada dispositivo<\/strong> y se\u00f1ala los que no lo tienen.<\/p>\nLa evidencia que genera Factorial IT: <\/strong>cobertura efectiva del antimalware, equipo por equipo, con fecha.<\/p>\nb) Gesti\u00f3n de incidentes<\/h3>\nLa NIS2 obliga a notificar los incidentes significativos en un plazo muy corto, con un aviso inicial en 24 horas y una evaluaci\u00f3n de impacto en 72<\/strong>. Cumplir ese calendario depende de poder responder deprisa una pregunta concreta, que es hasta d\u00f3nde lleg\u00f3 el incidente.<\/p>\nEl problema no est\u00e1 en detectar, sino en acotar.. Lo que bloquea la notificaci\u00f3n es saber qu\u00e9 datos, qu\u00e9 accesos y qu\u00e9 sistemas estaban al alcance del equipo comprometido<\/strong>, y responderlo a mano lleva d\u00edas.<\/p>\nCuando un incidente afecta a un dispositivo, la consola devuelve al instante el usuario, sus accesos, sus aplicaciones y el hist\u00f3rico de acciones sobre el equipo. Incluye bloqueo y borrado remoto, con traza de cada acci\u00f3n.<\/p>\n La evidencia que genera Factorial IT: <\/strong>el alcance del incidente y la traza de la respuesta, con horas.<\/p>\nD\u00f3nde Factorial IT hace la parte dif\u00edcil<\/h2>\nAdem\u00e1s de las seis medidas anteriores, hay cuatro m\u00e1s donde Factorial IT resuelve la parte que depende de datos<\/strong>, que es la m\u00e1s costosa de reunir, como ya hemos visto. El resto de las medidas se completan con otras herramientas o con un proceso interno. No es lo mismo que las medidas que Factorial IT no cubre en absoluto, que veremos despu\u00e9s. En estas cuatro, la herramienta aporta algo concreto: el inventario, la trazabilidad o la visibilidad que normalmente cuesta semanas reconstruir a mano.<\/p>\n\n\n\n| Medida (art. 21.2)<\/th>\n | \u00bfQu\u00e9 exige?<\/th>\n | \u00bfQu\u00e9 parte cubre Factorial?<\/th>\n | \u00bfQu\u00e9 parte no?<\/th>\n<\/tr>\n<\/thead>\n | \n\nb) Gesti\u00f3n de incidentes<\/a><\/strong><\/td>\n| Detectar el incidente y acotar su alcance para notificar en plazo<\/td>\n | El alcance y la trazabilidad de lo que ha pasado en el dispositivo<\/td>\n | La detecci\u00f3n. Factorial IT no es un SIEM ni un SOC<\/td>\n<\/tr>\n | \nj) Autenticaci\u00f3n multifactor<\/a><\/strong><\/td>\n| Tener MFA activa donde corresponda y poder demostrar en qu\u00e9 cuentas lo est\u00e1.<\/td>\n | La visibilidad de qu\u00e9 cuentas la tienen activa<\/td>\n | El MFA en s\u00ed, que lo aporta tu proveedor de identidad<\/td>\n<\/tr>\n | \ni) Revisi\u00f3n de accesos<\/a><\/strong><\/td>\n| Comprobar peri\u00f3dicamente que cada persona tiene solo los permisos que necesita<\/td>\n | El inventario de accesos por persona y la ejecuci\u00f3n de la revocaci\u00f3n<\/td>\n | El proceso formal de recertificaci\u00f3n peri\u00f3dica con aprobadores<\/td>\n<\/tr>\n | \nd) Cadena de suministro<\/a><\/strong><\/td>\n| Conocer y evaluar el riesgo de los proveedores y servicios en uso<\/td>\n | El inventario real de los servicios en uso, incluido el shadow IT<\/td>\n | La evaluaci\u00f3n y contrataci\u00f3n de proveedores, que es un proceso<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\nb) Gesti\u00f3n de incidentes<\/h3>\nUn incidente de seguridad tiene dos momentos: detectarlo<\/strong> y, una vez detectado, averiguar hasta d\u00f3nde ha llegado<\/strong>. Son dos trabajos distintos y los hacen herramientas distintas.<\/p>\nLa detecci\u00f3n, darse cuenta de que algo malo est\u00e1 pasando, es tarea de un SIEM o un SOC. Un SIEM <\/strong>es un sistema que recoge y correlaciona los registros de toda la infraestructura para levantar una alarma cuando detecta algo an\u00f3malo. Un SOC<\/strong> es el equipo de personas que vigila esas alarmas. Factorial IT no es ninguna de las dos cosas y no pretende serlo.<\/p>\nLo que s\u00ed hace, una vez que el incidente se ha detectado, es acotarlo. Cuando el equipo afectado est\u00e1 gestionado por Factorial IT, la consola devuelve al instante qui\u00e9n lo usaba, a qu\u00e9 ten\u00eda acceso esa persona y qu\u00e9 acciones se hab\u00edan ejecutado sobre el dispositivo<\/strong>. Eso es justo lo que se necesita para la notificaci\u00f3n en plazo, pero la alarma que dispara todo el proceso viene de otro sitio.<\/p>\nj) Autenticaci\u00f3n multifactor<\/h3>\nLa autenticaci\u00f3n multifactor (MFA) la proporciona tu proveedor de identidad (Google Workspace, Microsoft Entra ID u otro), que es donde tus empleados inician sesi\u00f3n. Factorial IT no sustituye a ese proveedor ni activa el MFA por su cuenta<\/strong>.<\/p>\nDonde Factorial IT ayuda es en la parte de control. La norma no solo exige tener MFA, exige poder demostrar en qu\u00e9 cuentas est\u00e1 realmente activa<\/strong>, y esa foto suele estar dispersa entre varias herramientas. La integraci\u00f3n con el proveedor de identidad permite reunir esa informaci\u00f3n en un solo sitio.<\/p>\ni) Revisi\u00f3n de accesos<\/h3>\nRevisar los accesos significa comprobar cada cierto tiempo que cada persona sigue teniendo solo los permisos que necesita<\/strong>, ni m\u00e1s ni menos. Esto tiene dos caras. Una es tener la lista de qui\u00e9n accede a qu\u00e9, y la otra es el proceso formal de sentar a un responsable a revisar esa lista y firmar que la aprueba, lo que se llama recertificaci\u00f3n.<\/p>\nFactorial IT resuelve la primera cara. Mantiene el inventario de accesos por persona siempre al d\u00eda<\/strong> y ejecuta la revocaci\u00f3n cuando toca. Lo que no aporta es el circuito de aprobaci\u00f3n, esto es, el flujo en el que cada responsable de \u00e1rea revisa peri\u00f3dicamente los accesos de su equipo y deja constancia de que los ha validado.<\/p>\nd) Cadena de suministro<\/h3>\nEsta medida trata de controlar el riesgo que entra por tus proveedores, sobre todo los de software y servicios digitales. Tambi\u00e9n tiene dos partes: saber qu\u00e9 proveedores y servicios est\u00e1s usando de verdad, y evaluar y contratar a esos proveedores con las debidas garant\u00edas.<\/p>\n La primera es donde Factorial IT aporta. Descubre las aplicaciones SaaS realmente en uso en la organizaci\u00f3n<\/strong>, incluidas las que se han contratado por fuera del departamento de IT, lo que se conoce como shadow IT<\/em>. Ese inventario real es el punto de partida de la medida, porque no puedes controlar el riesgo de un proveedor que ni siquiera sab\u00edas que estabas usando. Lo que queda fuera es la segunda parte, la evaluaci\u00f3n y contrataci\u00f3n de cada proveedor<\/strong>, que es un proceso de negocio y no un dato.<\/p>\nLo que Factorial IT no cubre, y c\u00f3mo abordarlo<\/h2>\nEstas cuatro \u00e1reas quedan fuera de Factorial IT porque ninguna herramienta de esta categor\u00eda cubre las diez medidas del art\u00edculo 21.2. Aun as\u00ed, saber c\u00f3mo abordarlas y en qu\u00e9 orden es lo que separa un proyecto de seis semanas de uno de seis meses.<\/p>\n \n\n\n| Medida (art. 21.2)<\/th>\n | \u00bfPor qu\u00e9 no es software?<\/th>\n | \u00bfQu\u00e9 te ahorra Factorial IT?<\/th>\n<\/tr>\n<\/thead>\n | \n\na) Gobernanza, pol\u00edtica y an\u00e1lisis de riesgos<\/a><\/strong><\/td>\n| Son decisiones de direcci\u00f3n que alguien tiene que firmar<\/td>\n | El inventario de activos, que es por donde arranca el an\u00e1lisis de riesgos<\/td>\n<\/tr>\n | \ng) Formaci\u00f3n y concienciaci\u00f3n<\/a><\/strong><\/td>\n| Requiere una plataforma de formaci\u00f3n con seguimiento por empleado<\/td>\n | El listado de empleados por departamento que alimenta esa plataforma<\/td>\n<\/tr>\n | \nc) Copias de seguridad, continuidad e infraestructura<\/a><\/strong><\/td>\n| Es otra capa formada por servidores, red e instalaciones, no el puesto de trabajo<\/td>\n | El inventario de sistemas sobre el que se define el plan de continuidad<\/td>\n<\/tr>\n | \nf) Supervisi\u00f3n, auditor\u00eda y test de intrusi\u00f3n<\/a><\/strong><\/td>\n| La supervisi\u00f3n continua es un SOC y la auditor\u00eda la hace un tercero independiente<\/td>\n | La evidencia que el auditor pide en la primera reuni\u00f3n, ya generada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\na) Gobernanza, pol\u00edtica y an\u00e1lisis de riesgos<\/h3>\nEsto no es software porque son decisiones de direcci\u00f3n. Un documento que no aprueba nadie no vale como evidencia, y ninguna herramienta puede firmar por ti la pol\u00edtica de seguridad ni el an\u00e1lisis de riesgos.<\/p>\n La forma de abordarlo es con una consultora<\/strong>, pero acotando el encargo. Para una empresa de menos de 300 personas esto es un proyecto de cuatro a seis semanas<\/strong>, y deber\u00eda entregarte cuatro cosas concretas:<\/p>\n | | | | | | | | | | | | | | | | | |