Confianza
Qué se puede afirmar sobre seguridad, y qué no
Un proveedor que opera el sistema de gestión de una empresa toca información sensible. Lo que sigue son los principios que sostenemos y el nombre exacto de la evidencia que todavía no podemos mostrar.
ISOadvance implementa y acompaña. No realiza auditorías de certificación ni decide certificaciones.
Los principios
Cuatro compromisos que sí se pueden reclamar
Están escritos en términos verificables: cada uno se puede comprobar preguntando, y cada uno se puede incumplir de forma visible.
Acceso por necesidad, no por comodidad
Cada persona del equipo accede a lo que su trabajo requiere. Cuando un encargo termina, el acceso se retira: un permiso que sobrevive al trabajo que lo justificaba es el modo de fallo más común.
La evidencia es de la organización
Los registros del sistema pertenecen a la empresa que los generó. Se pueden exportar en un formato que sirva fuera del producto, y ese derecho no depende de seguir siendo cliente.
Los datos del cliente no alimentan nada compartido
La información de una organización no se usa para construir material, plantillas ni modelos que después vean otras. Lo que se aprende de un trabajo es método, no contenido.
Un incidente se avisa aunque incomode
Si algo compromete información de un cliente, se lo comunicamos con lo que sabemos y con lo que todavía no sabemos. Un incidente informado tarde es dos problemas.
Lo que falta
Esta página no declara una certificación de seguridad propia
Implementar y operar sistemas ISO/IEC 27001 para clientes no es lo mismo que estar certificado uno mismo. Confundir las dos cosas sería exactamente la afirmación que esta sección existe para evitar.
Pendiente
Estado de certificación propia e informes de auditoría técnica
Falta publicar, con evidencia verificable, cuál es el estado de certificación de seguridad de la información de ISOadvance como organización y qué informes de auditoría técnica independiente existen. Hasta que esa evidencia esté, la página no afirma ni una cosa ni la otra: quien necesite el dato lo pide y se responde por escrito.
Si su proceso de compra exige una certificación de seguridad del proveedor como requisito excluyente, conviene pedirla por escrito antes de avanzar. Es una pregunta legítima y se responde con un documento, no con una página web.
Lo que tampoco publicamos
Ni arquitectura interna ni proveedores por nombre
Detallar en una página pública dónde vive cada cosa y con qué proveedor es un mapa para quien busque el punto más débil.
El detalle técnico se comparte bajo acuerdo de confidencialidad, con el área de sistemas de la organización y en el marco de una evaluación de proveedor. Ahí sí corresponde, y ahí se responde con nombres concretos.
Qué pasa con los datos cuando interviene asistencia automática
Mejor saber qué falta antes de firmar
Las homologaciones de proveedor piden cosas concretas. Si algo que su compra necesita no está, es preferible descubrirlo ahora que en la etapa de entrega.
ISOadvance implementa y acompaña. No realiza auditorías de certificación ni decide certificaciones.