Una empresa puede comprar herramientas de seguridad, aprobar una política y contratar una prueba técnica sin disponer todavía de un plan de ciberseguridad. La diferencia aparece cuando gerencia pregunta qué riesgo se está reduciendo, quién responde por cada decisión y qué evidencia demuestra el avance. Si la respuesta depende de una presentación que nadie actualiza, existe actividad, pero falta dirección.
Para las organizaciones que buscan una consultora de ciberseguridad en Colombia, el primer reto no consiste en elegir una tecnología. Consiste en conectar objetivos comerciales, obligaciones, información crítica, proveedores y presupuesto. Esta guía explica cómo construir esa conexión mediante un diagnóstico, liderazgo especializado y un sistema de gestión de seguridad de la información, o SGSI. El objetivo es contratar con criterio y preparar una organización sostenible, incluso cuando la certificación ISO 27001 forme parte del camino.
Insylux articula estas necesidades desde su presencia en Medellín y sus servicios para empresas en Colombia. Las recomendaciones que siguen son una propuesta de trabajo, no una evaluación de su empresa ni una promesa de certificación. Las cifras conservan el período al que pertenecen: una estadística publicada anteriormente no se presenta como un conteo de ataques de 2026.
El contexto colombiano: cifras que ayudan a decidir, no a alarmar
El balance de ciberseguridad 2024 divulgado por la CCIT el 28 de marzo de 2025, con información de la Policía Nacional, registró 77.666 denuncias por delitos informáticos, frente a 63.249 en 2023. En el desglose territorial aparecen 23.490 en Bogotá, 6.533 en Medellín y 4.969 en Cali. Son denuncias registradas: no equivalen a empresas únicas atacadas, pérdidas económicas verificadas ni incidentes de una sola modalidad. Fuente: balance CCIT 2024.
| Indicador | Dato | Qué permite concluir |
|---|---|---|
| Registro nacional 2023 | 63.249 | Referencia del período anterior. |
| Registro nacional 2024 | 77.666 | Mayor volumen de denuncias registradas. |
| Medellín, 2024 | 6.533 | Existe una dimensión local documentada; no mide el riesgo individual de una empresa. |
La utilidad empresarial del dato está en justificar preguntas concretas: ¿puede una cuenta comprometida autorizar pagos?, ¿qué información comparte ventas con terceros?, ¿cuánto tiempo puede detenerse la operación? Convertir el contexto nacional en una probabilidad exacta para una compañía sería una extrapolación injustificada. Para estimar su exposición hacen falta activos, procesos, controles y escenarios propios.
Qué debe resolver un plan de ciberseguridad empresarial
Un plan útil resuelve cinco vacíos: desconocimiento de los activos relevantes, prioridades contradictorias, responsabilidades difusas, inversiones sin criterio de aceptación y ausencia de seguimiento. Puede haber excelentes administradores de sistemas y, aun así, faltar una instancia que decida qué riesgos aceptar o cómo coordinar compras, recursos humanos, operaciones y tecnología.
El punto de partida es describir servicios de negocio, no llenar un inventario de equipos indiscriminadamente. Una distribuidora necesita facturar y despachar; una firma profesional necesita proteger expedientes y colaborar; una empresa de software necesita desarrollar, desplegar y atender clientes. Cada operación tiene datos, identidades, integraciones y proveedores. Esa cadena revela dónde una interrupción o un acceso indebido cambiarían la capacidad de cumplir un contrato.
El resultado esperado debe expresarse en decisiones verificables. Por ejemplo: retirar privilegios innecesarios, validar restauraciones, acordar controles con un proveedor o corregir una exposición pública. Comprar una plataforma puede ser una medida, pero no sustituye la definición de responsables, criterios de uso, revisión y evidencias.
Diagnóstico, CISO externo y SGSI: tres servicios diferentes
La elección mejora cuando se distingue el problema que aborda cada servicio. Un Security GAP Assessment identifica brechas y produce una hoja de ruta apoyada en evidencia. No es una explotación técnica ni debería presentarse como garantía de ausencia de vulnerabilidades. Su valor está en encontrar la distancia entre el estado observado y el objetivo acordado.
El CISO as a Service de Insylux aporta dirección especializada con alcance y dedicación acordados. Ayuda a traducir riesgos en decisiones, coordinar prioridades y mantener interlocución con gerencia. No reemplaza automáticamente al equipo de tecnología ni convierte cualquier tarea operativa en parte del contrato. Esa separación debe quedar escrita.
La implementación del SGSI estructura un sistema de gestión: alcance, riesgos, controles, documentación, evaluación y mejora. Si la empresa desea certificarse, el acompañamiento prepara la organización y sus evidencias; la decisión de certificación corresponde a un organismo certificador independiente.
| Situación | Servicio prioritario | Resultado que conviene exigir |
|---|---|---|
| No existe una visión fiable del estado actual. | Security GAP Assessment | Brechas justificadas, prioridades y dependencias. |
| Hay iniciativas, pero falta liderazgo y seguimiento. | CISO as a Service | Gobierno, decisiones documentadas e indicadores. |
| Un cliente o una estrategia exige un sistema auditable. | SGSI | Procesos operativos y evidencias vinculadas al alcance. |
| Se necesitan las tres capacidades. | Programa por fases | Un plan integrado, sin entregables duplicados. |
Definir el alcance antes de pedir una cotización
Solicitar “ISO 27001 para la empresa” deja abiertas demasiadas variables. Es necesario precisar entidades jurídicas, sedes incluidas, procesos, plataformas, modalidades de trabajo y relaciones con terceros. Una oficina comercial y una operación que presta servicios tecnológicos no exigen el mismo trabajo. Tampoco es equivalente proteger una aplicación propia o depender de un proveedor que administra infraestructura y copias.
El alcance debe reconocer fronteras e interfaces. Si nómina está externalizada, la información laboral y las decisiones sobre acceso no desaparecen del análisis. Si una aplicación pertenece a un cliente, habrá que distinguir obligaciones contractuales, permisos disponibles y responsabilidades compartidas. Excluir un componente no elimina la dependencia que el negocio mantiene con él.
Una ficha inicial puede incluir organigrama funcional, servicios vendidos, clientes con requisitos de seguridad, inventario aproximado, proveedores críticos, auditorías previas y problemas conocidos. No hace falta enviar contraseñas, bases de datos personales o informes confidenciales completos en una primera consulta. Es preferible acordar primero un canal y condiciones de confidencialidad.
Cómo reconocer un diagnóstico apoyado en evidencia
Un diagnóstico serio combina entrevistas con muestras documentales y observación de controles. Preguntar si existe un procedimiento de bajas no basta: conviene revisar una muestra autorizada de salidas recientes y contrastar cuándo se revocaron sus accesos. La evidencia debe ser proporcional, protegida y suficiente para sostener la conclusión, sin recolectar información sensible innecesaria.
El informe debería separar controles existentes, controles parcialmente operativos, carencias y aspectos no evaluados. “No se aportó evidencia” no significa necesariamente “el control no existe”; significa que no pudo acreditarse en las condiciones de revisión. Esa precisión evita convertir incertidumbre en un hallazgo categórico y facilita que la empresa subsane la información pendiente.
También importa explicar la prioridad. Una debilidad en una cuenta administrativa expuesta puede requerir atención antes que una mejora documental de menor impacto. La clasificación debe considerar daño potencial, exposición, dependencias y capacidad de respuesta. Un semáforo sin razonamiento no ayuda a asignar recursos ni permite defender el presupuesto ante gerencia.
Del inventario al tratamiento del riesgo
Trabaje con escenarios comprensibles. “Una cuenta de proveedor conserva acceso después de terminar el contrato y permite modificar información de clientes” es más útil que “riesgo de terceros: alto”. El escenario identifica una condición, una acción posible y una consecuencia. Después se evalúan controles preventivos, capacidad de detección y medidas de recuperación.
La valoración no necesita aparentar una precisión que la empresa no tiene. Si faltan datos económicos o históricos, una escala cualitativa bien definida puede ser más honesta que una cifra monetaria inventada. Cuando se calculen impactos, documente supuestos: operación afectada, duración, obligaciones contractuales, trabajo de recuperación y costos que podrían solaparse.
El tratamiento requiere un propietario con autoridad, actividades, recursos, fecha objetivo y criterio de cierre. Aceptar un riesgo también es una decisión formal y revisable; no debería ser la consecuencia silenciosa de dejar vencer una tarea. Los riesgos pendientes deben volver al comité cuando cambie la exposición, falle un control o aparezca una dependencia relevante.
Cómo conectar el plan con ISO 27001 sin reducirlo a documentos
ISO/IEC 27001:2022 establece requisitos para un SGSI basado en riesgos. La certificación es una evaluación del sistema dentro de un alcance definido, no una declaración de invulnerabilidad. La implementación debe usar la edición y las enmiendas aplicables, y distinguir el trabajo de consultoría de la evaluación externa independiente.
En la práctica, cada documento debe servir a una operación. Una política de acceso orienta aprobaciones y revisiones; un registro de riesgos guía decisiones; un procedimiento de incidentes organiza comunicaciones y responsabilidades. La documentación que no se usa tiende a quedar desactualizada y produce una falsa sensación de preparación.
La Declaración de Aplicabilidad merece atención especial: debe justificar controles y reflejar el tratamiento adoptado. No conviene copiarla de otra organización, porque el alcance, las obligaciones y las decisiones de riesgo son distintos. Mantener trazabilidad entre riesgos, controles, responsables y evidencias facilita explicar por qué se eligió cada medida y qué falta para operarla.
La auditoría interna debe examinar funcionamiento y conformidad con independencia suficiente respecto de la actividad revisada. Después, la dirección necesita evaluar resultados, recursos, cambios y oportunidades de mejora. Cerrar hallazgos no consiste en cambiar una frase: exige identificar su causa, aplicar acciones y comprobar que la corrección se sostiene.
Qué determina el presupuesto y cómo comparar propuestas
El precio depende del alcance real, la madurez existente, la dispersión operativa, la disponibilidad del equipo interno y la profundidad de acompañamiento. Una propuesta puede incluir entrevistas y recomendaciones; otra, además, talleres, construcción de procesos, seguimiento y preparación de auditoría. Compararlas solo por importe mezcla servicios diferentes.
Pida una separación entre diagnóstico, implementación, dirección recurrente, formación y gastos de certificación externa cuando correspondan. Aclare qué requiere participación de su equipo y qué actividades se cotizan aparte. Las licencias, la ejecución de cambios técnicos o el soporte fuera del horario pactado no deben darse por incluidos si el documento comercial no lo especifica.
También conviene contratar resultados intermedios aceptables. Un registro de riesgos se aprueba cuando los propietarios lo entienden y aceptan sus responsabilidades; una guía de respuesta se acepta cuando las personas pueden usarla en un ejercicio. Vincular aceptación a calidad y uso reduce el riesgo de recibir una carpeta extensa que no resuelve la necesidad empresarial.
Una hoja de ruta por hitos, sin prometer plazos universales
El siguiente esquema es una propuesta de organización del proyecto, no un calendario garantizado de Insylux. El avance depende de información disponible, decisiones internas y capacidad de ejecutar cambios. Es preferible comprometer condiciones de salida por fase que anunciar una certificación en una cantidad fija de semanas sin conocer la empresa.
- Acordar dirección y alcance: patrocinador, objetivos comerciales, procesos incluidos, restricciones y responsables.
- Observar el estado actual: entrevistas, muestras, brechas y medidas urgentes justificadas.
- Decidir prioridades: escenarios de riesgo, presupuesto, tratamiento y decisiones de aceptación.
- Operar controles: cambios aprobados, procedimientos utilizados y evidencias conservadas.
- Evaluar y mejorar: indicadores, auditoría interna, revisión directiva y corrección de causas.
Las fases pueden solaparse. Una exposición crítica no debería esperar a que termine la redacción de políticas, pero su tratamiento debe quedar registrado. Del mismo modo, iniciar conversaciones con un certificador no autoriza a declarar que la organización está certificada antes de recibir una decisión válida sobre su alcance.
Indicadores que permiten conversar con gerencia
Evite que el tablero se limite al número de reuniones o documentos publicados. Puede medir riesgos prioritarios con tratamiento vencido, accesos críticos revisados, restauraciones verificadas y hallazgos corregidos con evidencia. Cada indicador necesita numerador, denominador, fuente, responsable y frecuencia. Sin esa definición, dos áreas pueden presentar porcentajes incompatibles y ambas creer que están midiendo lo mismo.
Una mejora útil es acompañar el dato con la decisión pendiente. Por ejemplo: “faltan evidencias de recuperación para un proceso crítico; se requiere reservar una ventana de prueba y participación del proveedor”. Gerencia recibe así una solicitud concreta, no un semáforo rojo que traslada el problema sin explicar cómo resolverlo.
Los indicadores deben evolucionar con el programa. Al comienzo puede ser prioritario completar un inventario fiable; después, medir la vigencia de revisiones y la efectividad del tratamiento. Mantener indefinidamente un indicador ya saturado al cien por ciento aporta poco si otros riesgos permanecen sin supervisión.
Qué revisar cuando parte de la operación está externalizada
Una empresa que contrata infraestructura, soporte o aplicaciones conserva decisiones que no puede delegar informalmente. Debe saber quién autoriza usuarios, quién recibe avisos de incidentes y quién puede recuperar la información al finalizar la relación. Una cláusula genérica de confidencialidad no responde por sí sola a estas preguntas operativas.
Solicite evidencias compatibles con el servicio y su criticidad: responsabilidades compartidas, condiciones de acceso, gestión de cambios, devolución de datos y participación en pruebas. No exija el mismo expediente a una herramienta auxiliar que a un proveedor del proceso de facturación. El esfuerzo de evaluación debe reflejar la dependencia real y las posibilidades de sustitución.
El CISO puede coordinar esa revisión con compras, jurídico y tecnología, pero las condiciones finales requieren aprobación de quienes asumen el contrato y el riesgo. Un punto de control antes de renovar suele ser más eficaz que descubrir restricciones cuando ya existe una urgencia.
Preguntas frecuentes antes de contratar en Colombia
¿Necesito un CISO de tiempo completo?
No necesariamente. La decisión depende de complejidad, obligaciones, tamaño del programa y dedicación requerida. Un esquema externo puede aportar dirección especializada con un alcance acordado. La empresa conserva sus responsabilidades y necesita interlocutores internos capaces de ejecutar decisiones. Si la operación exige presencia continua, esa necesidad debe evaluarse expresamente.
¿ISO 27001 es obligatoria para cualquier empresa colombiana?
No debe afirmarse de forma general. La necesidad puede surgir de contratos, clientes, una estrategia comercial o requisitos específicos aplicables a la organización. La certificación no reemplaza las obligaciones legales de seguridad y protección de datos. Antes de contratar, identifique qué exige realmente el cliente y qué alcance espera ver acreditado.
¿Puedo empezar sin buscar certificación?
Sí. Mejorar gobierno, riesgos y controles puede ser el objetivo inicial. El programa debe diseñarse para generar valor operativo y dejar preparada una evolución ordenada. Si posteriormente se decide certificar, se revisan requisitos y brechas pendientes; no se presume que cualquier conjunto de políticas ya constituye un SGSI conforme.
¿La consultora entrega el certificado?
El acompañamiento de implementación y preparación no equivale a emitir la certificación. La evaluación externa y su decisión corresponden al organismo certificador. Conviene mantener esa independencia clara en la propuesta, el cronograma y las comunicaciones comerciales para no generar expectativas que un consultor no puede garantizar.
¿Cómo sé si el proyecto está funcionando?
Busque cambios observables: decisiones con responsables, riesgos tratados, controles probados y personal que conoce sus tareas. Una auditoría sin hallazgos no es el único indicador posible. La capacidad de detectar una debilidad, reconocerla y corregir su causa también demuestra que el sistema está funcionando y aprendiendo.
¿Qué información envío para solicitar una propuesta?
Describa sector, procesos, sedes incluidas, tamaño aproximado, objetivo comercial y situación actual. Indique si existe una fecha contractual, auditorías anteriores o proveedores relevantes. Evite información sensible por canales abiertos. Con esos elementos puede acordarse una conversación de alcance antes de definir dedicación, entregables y condiciones económicas.
Del diagnóstico a una decisión de inversión
Si necesita priorizar la inversión en seguridad, solicite a Insylux una conversación de alcance para su plan de ciberseguridad en Colombia. Explique qué proceso no puede detenerse, qué le exige su cliente y qué capacidad interna tiene. La propuesta debe aclarar si conviene empezar por diagnóstico, dirección CISO, SGSI o una combinación por fases.
La implantación también necesita personas que comprendan sus responsabilidades. Insylux Academy puede complementar el programa con formación sobre seguridad, normas y auditorías según el plan y contenido contratado. La formación apoya la competencia del equipo; no sustituye los controles, la auditoría independiente ni la decisión de certificación.
Fuentes y criterio editorial
- CCIT: balance de ciberseguridad 2024, publicado el 28 de marzo de 2025.
- ISO: ficha oficial de ISO/IEC 27001:2022.
- NIST: Cybersecurity Framework y recursos de gestión del riesgo.
Revisión de fuentes: 9 de septiembre de 2026. Los ejemplos, criterios de compra y secuencia de trabajo son análisis editorial de Equipo Insylux; no describen clientes concretos. El alcance contractual y las obligaciones aplicables deben validarse para cada organización.
