Una organización había acumulado herramientas y controles puntuales, pero no contaba con un sistema común para decidir qué riesgo atender, qué evidencia confiar y quién era responsable.
La situación #
Había iniciativas de infraestructura, identidades, endpoints, proveedores y políticas. Faltaban una lectura compartida de riesgo, ownership y una cadencia ejecutiva que conectara los controles con decisiones reales.
Lo que estaba en juego #
- Continuidad operativa y preparación ante incidentes.
- Priorización de inversión con recursos limitados.
- Exigencias crecientes de clientes y auditorías.
- Dependencia de proveedores y evidencia incompleta.
Mi responsabilidad #
Estructuré el programa y su governance: lenguaje de riesgo, risk register priorizado, políticas y controles, identity hardening, logging readiness, preparación de incidentes, métricas ejecutivas y roadmap 30/60/90.
Decisiones clave #
- Priorizar riesgo antes que cobertura estética de frameworks.
- Separar Known, Unknown y Not Verified.
- Asignar owner y seguimiento a cada quick win.
- Usar NIST y CIS como mapas adaptables, no como productos.
- Mantener explícito el riesgo residual.
Qué cambió #
Se establecieron mecanismos de gobierno, riesgos priorizados, owners, cadencias, preparación de incidentes y una ruta ejecutable por capacidades.
Límites #
No se afirma certificación, ausencia de incidentes o madurez completa. Las métricas de cobertura, aging y readiness deben validarse antes de publicarse como resultados cuantitativos.