ISO 27001
El sistema de gestión de la seguridad de la información: políticas, declaración de aplicabilidad, controles, indicadores y mejora continua, de la norma a la prueba.
Ver en el cockpit →Marcos de referencia · profesionales
Marcos de referencia que gestiona Galyct Pro
ISO 27001, NIS 2, DORA, el RGPD y su notificación en 72 h, EBIOS RM, BIA / PCA / PRA: cubiertos, explicados y, sobre todo, vinculados a una decisión. Porque una decisión cíber debe poder explicarse a posteriori, ante un cliente, una aseguradora, una autoridad o su propio comité.
Comprender el riesgo. Recuperar el control. Mantenerse en el tiempo.
Alojado en Francia en Scaleway · IA de Mistral (UE) · para preparar y documentar el RGPD, NIS 2 y DORA.
01 · LOS MARCOS DE REFERENCIA
Seis bases, una misma exigencia: decidir, probar, sostener
No los cubrimos para marcar casillas. Los traducimos en responsabilidades, pruebas y decisiones, la única forma de cumplimiento que resiste una auditoría, un incidente o una pregunta del regulador.
NIS 2
La directiva europea que amplía considerablemente el perímetro: entidades esenciales o importantes, obligaciones de higiene y responsabilidad reforzada del directivo.
A quién afecta →DORA
La resiliencia operativa digital del sector financiero: cinco pilares, gestión del riesgo de TIC y control de los proveedores, aplicable desde el 17 de enero de 2025.
Los cinco pilares →RGPD · 72 h CNIL
Registro de actividades de tratamiento, evaluaciones de impacto, notificación de violaciones en 72 horas: el dato personal tratado como prueba, sin cumplimiento cosmético.
La obligación de 72 h →EBIOS Risk Manager
El método de análisis de riesgos de la ANSSI, en cinco talleres: de la base de seguridad a los escenarios, hasta el tratamiento y el riesgo residual decidido por la dirección.
Los 5 talleres →BIA, PCA y PRA
La continuidad de negocio: se distinguen claramente el análisis de impacto, el mantenimiento en modo degradado y la recuperación técnica, RTO y RPO incluidos.
La cronología →
02 · DOCTRINA
Cumplir no es amontonar documentos. Es tomar decisiones proporcionadas, documentadas y defendibles.
Un marco de referencia solo tiene valor una vez traducido en responsabilidades, pruebas y decisiones realmente seguidas. Galyct Pro vincula cada requisito (ISO, NIS 2, DORA, RGPD) a una decisión trazable, no a un archivador que tranquiliza. La documentación refleja prácticas reales; nunca al revés.
03 · EBIOS RISK MANAGER
El método de la ANSSI en 5 talleres, hasta la decisión
Un análisis de riesgos serio no produce una matriz abstracta. Vincula los escenarios creíbles a los impactos en el negocio, a las medidas existentes y a las decisiones de la dirección: reducir, aceptar, transferir o tratar con prioridad.
01Base de seguridadAlcance, valores de negocio, activos de soporte, eventos temidos y base de medidas ya implantadas.
02Fuentes de riesgoPares fuente de riesgo / objetivo perseguido: quién podría atacarle, con qué motivaciones y con qué recursos.
03Escenarios estratégicosRutas de ataque de alto nivel a través del ecosistema y de las partes interesadas, proveedores incluidos.
04Escenarios operativosModos operativos técnicos, vulnerabilidades explotadas y verosimilitud de las rutas consideradas.
05Tratamiento del riesgoMedidas priorizadas, responsables, presupuestos, plazos y después evaluación del riesgo residual y seguimiento.
→DecisiónEl resultado no es una tabla: es una trayectoria sobre la que decidir, defendible ante el comité.
04 · CONTINUIDAD DE NEGOCIO
BIA → PCA → PRA: la cronología de una interrupción
El BIA identifica lo vital. El PCA organiza la continuidad en modo degradado. El PRA prepara la recuperación técnica. Situados en la línea temporal de un incidente, estos planes dejan de confundirse.
01Antes · BIAActividades críticas, impactos de la interrupción, dependencias y objetivos RTO / RPO. La base.
02T0 · InterrupciónSe produce el incidente: el funcionamiento nominal se detiene, empieza la crisis.
03Durante · PCAMantener las funciones esenciales en modo degradado: toda la organización, no solo el sistema de información.
04Recuperación · PRARestaurar sistemas y datos respetando los RTO / RPO. La vertiente técnica.
05Después · Pruebas y lecciones aprendidasUn plan nunca puesto a prueba es una hipótesis, no una garantía. Desviaciones, acciones, actualización.
06Resultado · Continuidad sostenidaVuelta a la normalidad controlada, pruebas conservadas, decisiones documentadas.
05 · DEJAR DE CONFUNDIR
Cuatro distinciones que cambian la decisión
Emplear estos términos indistintamente ya es perder precisión. Aclararlos es saber por dónde empezar, y qué se espera realmente de cada dispositivo y de cada función.
BIA, PCA y PRA
BIA: identifica lo vital y las tolerancias a la interrupción. La base, sin la cual un plan se construye a ciegas.
PCA: organiza el mantenimiento de las actividades esenciales en modo degradado. Va más allá de la informática: afecta a toda la organización.
PRA: restaura los sistemas y los datos tras un siniestro. La vertiente estrictamente técnica.
RTO · RPO
RTO: duración máxima aceptable de la interrupción: en cuánto tiempo debe restablecerse un servicio.
RPO: pérdida máxima tolerable de datos: hasta dónde es aceptable retroceder en el tiempo.
Dos objetivos medibles, fijados en el BIA, que dimensionan después las copias de seguridad, la redundancia y el PRA.
Auditoría · Análisis de riesgos
Auditoría: observa el estado de control y las brechas: dónde está usted, en un momento dado.
Análisis de riesgos: vincula esas brechas a escenarios creíbles, impactos en el negocio, decisiones y riesgos residuales. Una constata, el otro compromete una decisión.
CISO · DPD
CISO: dirige la seguridad del sistema de información: proteger la actividad, los accesos, la disponibilidad.
DPD: vela por el cumplimiento de los tratamientos de datos personales (RGPD); función independiente. Dos responsabilidades que se coordinan, sin confundirse.
06 · NIS 2
Un perímetro ampliado, una responsabilidad que llega hasta el directivo
NIS 2 extiende el marco europeo de ciberseguridad a varios miles de organizaciones en Francia, en unos dieciocho sectores. La ley de transposición se concreta: esperar a «la fecha» es un mal cálculo, la adecuación lleva meses.
Entidades esenciales
Los sectores más críticos: energía, sanidad, transporte, agua, digital, administración… Supervisión reforzada y obligaciones completas, con posible control a priori.
Entidades importantes
Un perímetro ampliado: agroalimentación, fabricación, gestión de residuos… Obligaciones proporcionadas y un control ejercido más bien a posteriori.
Las obligaciones, en resumen
Gestión de riesgos e higieneAnálisis de riesgos, copias de seguridad, MFA, gestión de accesos, registro de eventos.
Cadena de suministroSeguridad de los proveedores y suministradores críticos de los que depende.
Incidentes y notificaciónDetección, gestión y notificación de los incidentes significativos a las autoridades.
Continuidad de negocioCopias de seguridad, gestión de crisis y planes de continuidad / recuperación (BIA, PCA, PRA).
Responsabilidad del directivo
Novedad principal: los órganos de dirección deben validar y supervisar las medidas de gestión de riesgos. La ciberseguridad deja de ser un tema puramente técnico.
Por dónde empezar
Determinar si le afecta (sector, tamaño, función), cartografiar sus riesgos prioritarios mediante un análisis EBIOS RM, medir la brecha mediante una auditoría y después estructurar la gobernanza y el reporting.
07 · DORA
La resiliencia operativa digital del sector financiero
Aplicable desde el 17 de enero de 2025, el reglamento DORA impone al sector financiero (y a sus proveedores informáticos) un marco exigente de resiliencia. En Francia, la supervisión corresponde, entre otras, a la ACPR y a la AMF (los supervisores bancario y bursátil franceses).
Sujetas directamente
Las entidades financieras
Un abanico muy amplio de actores entra en el perímetro:
- Bancos, aseguradoras, gestoras de activos
- Entidades de pago y de dinero electrónico
- Proveedores de servicios de criptoactivos (PSAN)
En el perímetro de rebote
Sus proveedores de TIC
Punto crucial: DORA también se dirige a los proveedores de servicios informáticos.
- Proveedores de alojamiento, editores de software, proveedores de nube
- A través de las exigencias contractuales impuestas a sus clientes financieros
- Registro de contratos, cláusulas conformes, estrategia de reversibilidad
Los cinco pilares
Gestión del riesgo de TIC
Gobernanza, cartografía, medidas de protección y de continuidad, dirigidas al nivel de la dirección.
Gestión de incidentes
Detección, clasificación y notificación de los incidentes graves relacionados con las TIC.
Pruebas de resiliencia
Pruebas periódicas, hasta las pruebas avanzadas (TLPT) para los actores más significativos.
Riesgo de proveedores de TIC
Registro de contratos, cláusulas contractuales, evaluación de la concentración, plan de reversibilidad.
Intercambio de información
Intercambio voluntario de inteligencia sobre ciberamenazas entre entidades financieras.
El punto más subestimado: los terceros
Muchas organizaciones descubren que no controlan su dependencia de unos pocos proveedores críticos. DORA lo convierte en un tema de primer orden: registro, cláusulas conformes, concentración y reversibilidad.
08 · RGPD · 72 H CNIL
Del dato a la prueba, notificación en 72 h incluida
El cumplimiento del RGPD solo tiene valor operativo si se traduce en un registro mantenido, en evaluaciones de impacto reales y en la capacidad de notificar una violación dentro de plazo, sin declaraciones vacías ni cumplimiento cosmético.
Registro de actividades de tratamiento
Tratamientos, finalidades, datos sensibles, accesos y encargados, cartografiados y actualizados.
Evaluaciones de impacto
EIPD sobre los tratamientos de alto riesgo: medir antes de tratar, documentar las decisiones.
Notificación en 72 h
Una violación de datos debe notificarse a la CNIL (la autoridad francesa de protección de datos) en 72 horas. Una cuenta atrás que se prepara antes del incidente, no durante.
DPD y seguridad
Coordinación del DPD y de la función de seguridad: pruebas de decisión, gestión de incidentes, derechos de los interesados.
09 · LO QUE NO PROMETEMOS
Un marco de referencia guía, no garantiza nada por usted
Un marco de referencia bien mantenido reduce la improvisación y facilita las decisiones. No sustituye ni las pruebas, ni las decisiones, ni los hechos sobre el terreno. Esto es lo que no prometemos.
Un cumplimiento vinculado a las prácticas reales
Ningún sello sustituye a medidas realmente aplicadas. Un documento inútil, nunca puesto en práctica, a veces aumenta el riesgo en lugar de reducirlo.
Sin riesgo cero
Un análisis de riesgos no garantiza ni la ausencia de vulnerabilidades ni la ausencia de compromiso. Es una lectura estructurada en un momento dado, que debe revisarse tras cualquier incidente, cambio en el sistema de información o nueva dependencia.
Ningún plan sin probar
Un plan nunca puesto a prueba da una ilusión de control. Y la decisión corresponde a la dirección: Galyct Pro aclara las decisiones; la aceptación del riesgo y los medios dependen de la organización.
Vea sus marcos de referencia aplicados a su contexto.
Una demo en directo de 30 minutos sobre ISO 27001, NIS 2, DORA, RGPD, EBIOS RM o PCA / PRA, o empiece por su cuenta con el diagnóstico de dirección gratuito. Sin compromiso.