Este caso empresarial es hipotético y combina necesidades comunes de organizaciones financieras en crecimiento. No describe un cliente, incidente ni resultado real de Insylux. Su propósito es mostrar cómo una empresa puede ordenar gobierno, riesgos, ISO/IEC 27001 y resiliencia operativa sin contratar controles aislados ni confundir una norma internacional con una obligación jurídica.
La empresa ficticia, a la que llamaremos AndinaPay, procesa pagos para comercios en Colombia, contrata infraestructura cloud y prepara una alianza con una entidad europea. Creció más rápido que su gobierno de seguridad: existen controles, pero las responsabilidades, evidencias y dependencias de terceros no forman todavía un sistema verificable.
La necesidad empresarial: crecer sin perder control
AndinaPay necesita responder cuestionarios de clientes, demostrar cómo gestiona riesgos y reducir incertidumbre sobre proveedores críticos. El problema no se resuelve comprando otra herramienta. Dirección necesita saber quién decide, qué activos sostienen el servicio, qué controles funcionan y cómo reaccionaría la organización ante una interrupción.
La primera pregunta no es «¿qué certificación necesitamos?», sino «¿qué objetivo empresarial debemos proteger?». Para este escenario, el objetivo es conservar la disponibilidad y confianza del servicio de pagos mientras se amplían clientes, integraciones y obligaciones contractuales.
La empresa opera en Colombia. DORA es un reglamento de la Unión Europea para el sector financiero y su aplicabilidad no puede presumirse por mantener una conversación comercial con Europa. Debe analizarse la entidad, actividad, contrato y jurisdicción. Aun cuando no aplique directamente, sus áreas —riesgo TIC, incidentes, pruebas y terceros— pueden aportar preguntas útiles de resiliencia.
Primer paso: un diagnóstico con alcance y evidencia
AndinaPay empieza por un Security GAP Assessment de Insylux. El diagnóstico no certifica ni implementa por sí solo un SGSI. Contrasta el estado observado con criterios acordados y produce una hoja de ruta.
El alcance incluye el servicio de pagos, identidades administrativas, infraestructura cloud, soporte, desarrollo y proveedores que intervienen en la operación. Las entrevistas se contrastan con inventarios, configuraciones, contratos, pruebas de recuperación, registros de incidentes y decisiones.
| Necesidad | Pregunta | Evidencia útil |
|---|---|---|
| Gobierno | ¿Quién acepta el riesgo? | Responsables, comités y decisiones registradas |
| Riesgo | ¿Qué amenaza objetivos críticos? | Activos, escenarios, criterios y tratamiento |
| Terceros | ¿Qué dependencia puede detener el servicio? | Contratos, evaluación, monitoreo y salida |
| Incidentes | ¿Cómo se decide y comunica? | Plan, roles, registros y ejercicios |
| Recuperación | ¿Puede reanudarse el proceso completo? | Copias, pruebas, tiempos y criterios de retorno |
El informe separa ausencia, diseño insuficiente y operación inconsistente. También registra controles eficaces para evitar reemplazarlos con plantillas. El resultado no es una puntuación decorativa: vincula cada brecha con riesgo, dependencia, responsable sugerido y evidencia de cierre.
Para que el diagnóstico sirva a negocio, el equipo prioriza escenarios y no listas interminables. Por ejemplo: indisponibilidad del proveedor cloud, abuso de una cuenta privilegiada, modificación no autorizada de una integración y fallo de recuperación. Cada escenario se relaciona con ingresos, compromisos con comercios, datos afectados y tiempo tolerable de interrupción. Así, dirección puede comparar decisiones de seguridad con consecuencias operativas.
También se aclara qué queda fuera. Una revisión documental de gobierno no equivale a una prueba técnica de la plataforma; revisar copias no demuestra que el proceso completo pueda recuperarse. Esas diferencias evitan expectativas falsas y permiten contratar trabajos posteriores con objetivos verificables.
Segundo paso: dirección de seguridad proporcional
AndinaPay no necesita necesariamente contratar de inmediato un CISO interno a tiempo completo. Sí necesita una función que conecte dirección, tecnología, cumplimiento y proveedores. El CISO as a Service de Insylux puede asumir esa dirección dentro de un mandato, dedicación y responsabilidades expresamente acordados.
En el escenario, el CISO externo propone un gobierno simple: comité mensual, registro de decisiones, responsables por riesgo y tablero limitado a resultados útiles. No sustituye a dirección ni acepta riesgos en nombre de la empresa. Facilita información para que la autoridad correspondiente decida.
El tablero no se limita a contar alertas. Incluye riesgos vencidos, cobertura de activos críticos, excepciones aceptadas, pruebas de restauración, dependencias sin alternativa y acciones contractuales abiertas. Cada indicador tiene propietario, fuente, frecuencia y umbral de decisión. Si un dato no cambia una decisión, se revisa su utilidad.
El servicio también coordina la conversación entre áreas. Tecnología explica arquitectura y capacidad; jurídico interpreta contratos y obligaciones; compras gestiona terceros; talento humano participa en accesos y formación; dirección define apetito de riesgo. Esta distribución evita convertir al responsable de seguridad en dueño exclusivo de problemas empresariales.
Las primeras prioridades son delimitar activos críticos, cerrar accesos sin propietario, definir criterios de riesgo y establecer respuesta a incidentes. Después coordina proyectos más largos. La secuencia evita iniciar veinte iniciativas que compiten por las mismas personas.
Tercer paso: construir un SGSI que opere
ISO explica que ISO/IEC 27001 establece requisitos para crear, implementar, mantener y mejorar continuamente un sistema de gestión de seguridad de la información. Para AndinaPay, el servicio de SGSI e ISO/IEC 27001 de Insylux organiza las prácticas existentes dentro de un ciclo verificable.
La empresa define contexto, alcance, política, responsabilidades, metodología de riesgos y objetivos. Después determina controles, conserva evidencia, mide resultados y realiza revisiones. El SGSI no debe transformarse en una carpeta: cada elemento necesita un propietario y una relación con el servicio protegido.
La declaración de aplicabilidad se construye a partir de riesgos y decisiones, no copiando controles. Las exclusiones deben justificarse. La auditoría interna y la revisión por dirección evalúan si el sistema se aplica y mejora; la certificación, si se busca, corresponde a un organismo independiente.
Cuarto paso: determinar la aplicabilidad de DORA
El Reglamento (UE) 2022/2554 establece requisitos de resiliencia operativa digital para determinadas entidades financieras europeas. Incluye gestión del riesgo TIC, reporte de incidentes, pruebas de resiliencia, intercambio de información y riesgo de terceros.
AndinaPay no se declara obligada solo porque trabaja con una entidad europea. Solicita una revisión de aplicabilidad del servicio de cumplimiento DORA de Insylux, contrastada con asesoría jurídica cuando corresponde. El resultado distingue obligaciones directas, requisitos contractuales del cliente y buenas prácticas voluntarias.
Si el contrato exige evidencias específicas, se mapean contra el SGSI para evitar duplicidad. Un inventario de terceros, por ejemplo, puede apoyar varias necesidades, pero cada requisito conserva su criterio y autoridad. No se afirma «cumplimiento DORA» por tener ISO 27001, ni viceversa.
Una hoja de ruta de doce meses
Meses 1–2: alcance, diagnóstico y riesgos urgentes. Se cierran accesos sin responsable, se documentan dependencias y se prueba escalamiento de incidentes.
Meses 3–5: gobierno, políticas mínimas, metodología, tratamiento de riesgos y gestión de proveedores. Se acuerdan evidencias y responsables.
Meses 6–9: operación del SGSI, indicadores, formación, ejercicios y pruebas de recuperación. Los controles se evalúan en la práctica.
Meses 10–12: auditoría interna, acciones correctivas y revisión de dirección. Si existe objetivo de certificación, se prepara con independencia y sin garantizar el resultado.
Esta cronología es ilustrativa. El tiempo real depende del alcance, madurez, recursos y complejidad. Una empresa pequeña puede avanzar más rápido; una operación distribuida puede necesitar fases.
Qué resultado debería recibir la empresa
Al terminar la primera etapa, AndinaPay no recibe una promesa de «cumplimiento total». Recibe un alcance aprobado, mapa de servicios y dependencias, registro de riesgos trazable, brechas sustentadas, prioridades financiables y un calendario de evidencias. Para cada acción constan responsable, fecha, criterio de aceptación y riesgo tratado.
La empresa puede usar ese conjunto para responder con mayor precisión a clientes y auditores, siempre describiendo el estado real. Una política aprobada no prueba operación; una captura aislada no prueba eficacia sostenida; una certificación, si llegara a buscarse, tendría alcance y vigencia concretos. La comunicación comercial debe conservar esas diferencias.
La revisión trimestral comprueba si las prioridades siguen correspondiendo al servicio, porque nuevos proveedores, productos y contratos pueden cambiar el riesgo.
De este modo, presupuesto y esfuerzo se asignan a decisiones que protegen continuidad, confianza contractual y crecimiento, con evidencia suficiente para revisar el avance.
| Decisión | Información mínima | Salida verificable |
|---|---|---|
| Aceptar o tratar un riesgo | Escenario, impacto, controles y propietario | Decisión fechada y plan |
| Renovar un proveedor | Dependencia, desempeño, incidentes y salida | Condiciones o alternativa |
| Buscar certificación | Alcance, madurez y recursos | Plan independiente de auditoría |
| Declarar aplicabilidad DORA | Entidad, servicio, contrato y jurisdicción | Análisis jurídico documentado |
Al finalizar, AndinaPay debería tener decisiones y evidencias: alcance aprobado, riesgos con propietarios, hoja de ruta, gobierno operativo, procesos del SGSI y análisis de aplicabilidad regulatoria. No debería recibir una promesa abstracta de «seguridad total».
Los indicadores responden a preguntas: acciones vencidas, terceros críticos evaluados, tiempo de escalamiento, restauraciones probadas y riesgos sin decisión. El número de documentos no es indicador de madurez.
Preguntas frecuentes
¿Una empresa colombiana debe cumplir DORA?
No puede determinarse únicamente por el país. Deben revisarse entidad, actividad, relaciones contractuales y alcance del reglamento. DORA es normativa europea.
¿ISO 27001 reemplaza un CISO?
No. La norma establece requisitos de un sistema; la dirección de seguridad coordina decisiones, prioridades y responsabilidades.
¿El GAP debe hacerse antes del SGSI?
Es una secuencia útil cuando se desconoce el punto de partida, pero el alcance debe adaptarse. No es una certificación previa.
Ordene gobierno, sistema y resiliencia
Fuentes y límites
AndinaPay es una empresa ficticia. El caso no demuestra resultados ni sustituye asesoría jurídica, auditoría o certificación.
