Proyectos que hablan por sí solos

Desafío

Operador de Importancia Vital del sector eléctrico requería preparación ante ANCI con plazo ajustado. Sin inventario consolidado, sin mapa de cumplimiento.

Abordaje

GAP Multi-Norma simultáneo contra Ley 21.663, ANCI 9 Básicos, IEC 62443 y NIST CSF. Talleres ejecutivos con CIO + CISO + Operaciones + Riesgo. Validación con muestra de evidencias.

Entregables (5)

• Matriz de cumplimiento de 187 controles con evidencia
• Plan de remediación priorizado (acciones inmediatas a 30 días + roadmap a 12 meses)
• Diagnóstico de brechas críticas con cuantificación de riesgo
• Sesión de presentación al Comité de Auditoría
• Estimación de inversión necesaria para certificación

Frameworks aplicados

Desafío

Planta industrial con redes OT planas y convergencia descontrolada con TI. Sin segmentación por zonas y conductos, exponía PLCs y HMIs a propagación lateral.

Abordaje

Levantamiento de inventario OT, modelado Purdue Niveles 0-5, diseño de arquitectura de segmentación con DMZ industrial. Análisis de tráfico Modbus, DNP3 y EtherNet/IP. Plan de implementación por fases sin detener producción.

Entregables (5)

• Arquitectura de zonas y conductos según IEC 62443-3-2
• Reducción significativa de las rutas de propagación entre TI y OT mediante segmentación y DMZ industrial
• DMZ industrial entre Niveles 3 y 4 del modelo Purdue
• Catálogo de protocolos industriales en uso por zona
• Runbook de respuesta a incidentes OT

Frameworks aplicados

Desafío

Banco requería evaluar capacidad de respuesta del Comité de Crisis frente a un ataque ransomware con cifrado de sistemas críticos y filtración pública.

Abordaje

Diseño de escenario realista de 4 horas: alerta inicial, escalamiento, decisión de pago de rescate, comunicación con regulador (CMF), gestión de prensa. Facilitación con CISO, CIO, Riesgo, Legal, Comunicaciones y CEO. Inyección de complicaciones cada 30 min.

Entregables (5)

• Identificación de 12 gaps críticos en el plan de respuesta
• Validación de RTO/RPO declarados vs reales
• Capacitación del Comité Ejecutivo en toma de decisiones bajo presión
• Reporte ejecutivo con recomendaciones priorizadas
• Plan de re-ejercitación a 6 meses

Frameworks aplicados

Desafío

PyME tecnológica con cliente enterprise que exigió certificación ISO 27001 como condición de contrato. Sin SGSI previo, equipo de TI de 4 personas.

Abordaje

Análisis de contexto, declaración de alcance acotado, evaluación de riesgos cualitativa, SoA con 93 controles del Anexo A:2022, documentación mínima viable, capacitación interna y simulacro de auditoría.

Entregables (5)

• SoA completa con 93 controles documentados
• Política general y 7 políticas específicas firmadas
• Procedimiento de gestión de incidentes operativo
• Programa de concientización para 100% del personal
• Listos para auditoría externa de certificación

Frameworks aplicados

Desafío

Servicio del Estado requería hoja de ruta plurianual de ciberseguridad alineada con la Ley 21.663 y la estrategia digital institucional, con justificación presupuestaria para Hacienda.

Abordaje

Evaluación de madurez actual (escala CMMI), benchmark contra pares del sector público, identificación de iniciativas estratégicas, estimación de inversiones, OKRs anuales, modelo de gobierno y KPIs ejecutivos.

Entregables (5)

• Diagnóstico de madurez (Nivel 1.8 sobre 5)
• 24 iniciativas priorizadas con esfuerzo y beneficio
• Roadmap detallado a 12, 24 y 36 meses
• Estimación de inversión con justificación para DIPRES
• Modelo de gobierno con comité estratégico mensual

Frameworks aplicados

Desafío

Operador portuario requería evaluación de seguridad de sus Terminal Operating Systems, plataforma VTMS y red de grúas automatizadas antes de incorporar nuevo cliente naviero.

Abordaje

Pentesting con metodología OSSTMM + OWASP para aplicaciones TOS, análisis de protocolos de control de grúas, evaluación de segmentación entre red corporativa y red operacional, simulación de ataque dirigido a continuidad operacional.

Entregables (5)

• Identificación de 23 vulnerabilidades (4 críticas, 8 altas)
• PoC de movimiento lateral desde red corporativa a OT
• Plan de remediación con esfuerzo y prioridad
• Re-test gratuito post-remediación incluido
• Reporte ejecutivo para presentación a directorio

Frameworks aplicados