NIS2 se enfrenta a su realidad, no a sus archivadores

Por qué las herramientas GRC clásicas fracasan ante NIS2

La mayoría de las herramientas GRC actúan como si su infraestructura estuviera detenida: rellenadas una vez, mantenidas a medias, con datos de hace meses. Pero NIS2 no pregunta por su última auditoría, sino por su riesgo actual.

• Las listas de activos estáticas quedan obsoletas más rápido de lo que usted puede mantenerlas
• Las evaluaciones de riesgo sin conexión en vivo con la realidad carecen de valor cuando de verdad importa
• Los puentes manuales entre la operación y la documentación cuestan tiempo y generan lagunas

Qué exige NIS2 y cómo lo resuelve COD

NIS2 plantea requisitos concretos de gestión de riesgos, transparencia y evidencia. COD representa cada uno de ellos sobre una base de datos común y viva.

Nota: COD no sustituye al asesoramiento jurídico. Nosotros aportamos la herramienta que hace que sus medidas NIS2 sean técnicamente implementables y demostrables.

• Transparencia de activos: COD-Network detecta automáticamente cada dispositivo direccionable por IP, desde TI y red hasta OT, como base en lugar de listas manuales
• Gestión de riesgos: evaluación de riesgos versionada y basada en activos según el estándar BSI 200-3 con las amenazas elementales del compendio IT-Grundschutz, sobre el activo concreto incluido su estado en vivo, no sobre un «componente en general»
• Trazabilidad: el registro de auditoría del módulo GRC es de solo adición (append-only) y está protegido contra modificaciones y borrados mediante un trigger de base de datos. Registra los cambios campo por campo: quién, cuándo, qué y dónde
• Medidas y políticas: políticas versionadas, vinculadas directamente con los controls, con un flujo de trabajo desde el borrador hasta el archivado

El módulo GRC: varias normas, un solo sistema

Ya se trate de seguridad de la información, calidad o continuidad del negocio, el módulo GRC cubre las principales normas sobre una base de datos común, sin mantenimiento de datos duplicado. El análisis de riesgos sigue el estándar BSI 200-3 con las amenazas elementales del compendio IT-Grundschutz.

• ISO 27001 y 27002: seguridad de la información, incluidos los 93 controls del Anexo A
• ISO 9001: gestión de la calidad
• ISO 22301: gestión de la continuidad del negocio
• NIS2: evidencia de preparación para la Directiva NIS2

Gestionar los controls, no solo marcarlos

La madurez ante NIS2 significa saber en todo momento en qué punto se encuentra. El módulo GRC hace visible su grado de implementación, por cada control, no solo como una casilla marcada.

• Los 93 controls del Anexo A de ISO 27001 incorporados, agrupados en cuatro áreas temáticas
• Por cada control: aplicabilidad, estado de implementación (implementado / parcial / planificado / no implementado), notas y políticas vinculadas
• Progreso visual en el dashboard: la preparación de un vistazo

On-premise: apto para KRITIS, con contenidos actualizados

Precisamente en el entorno KRITIS, «ningún dato en la nube» suele ser un requisito, no una preferencia. COD funciona por completo on-premise y aun así mantiene los contenidos actualizados.

• Totalmente operable on-premise, con pleno control de los datos
• Datos de compliance en una base de datos PostgreSQL propia y claramente separada
• Catálogo de normas versionado con cambio guiado entre ediciones de una norma