¿Tres meses? ¿Medio año? ¿Actualizado deprisa en algún momento, justo antes de la última auditoría?
No está solo en esto. No es un fracaso, es un problema estructural. La mayoría de las herramientas de ISMS son instrumentos de cumplimiento que actúan como si la infraestructura estuviera inmóvil. Se rellenan una vez, se mantienen a medias y se confía en que el auditor no indague demasiado a fondo.
Hemos creado COD-ISMS porque nos enfrentamos a esta realidad a diario. Y porque se puede hacer mejor.
El verdadero problema: dos mundos que nunca llegan a encontrarse
En toda empresa existen dos realidades paralelas:
Realidad 1: La infraestructura. Sistemas de TI, instalaciones OT, equipos médicos, estaciones transformadoras, sistemas de control de producción. Cambia constantemente. Los dispositivos van y vienen. Las configuraciones cambian.
Realidad 2: El ISMS. Listas de activos, evaluaciones de riesgos, controles. Mantenido por personas, con datos de hace tres meses.
La brecha entre estos dos mundos es el punto ciego de todo ISMS clásico. Y es justo ahí donde atacan los atacantes, y también los auditores.
COD cierra esa brecha. De forma automática.
COD es una plataforma integrada compuesta por distintos módulos que encajan entre sí sin fisuras:
Capa 1: COD-Network, el inventariado de red como punto de partida
COD-Network detecta automáticamente todos los dispositivos direccionables por IP de la red, desde equipos finales de TI y componentes de red hasta sistemas OT e instalaciones industriales, siempre que sean accesibles desde la red. Se crean e importan planos de estructura de red.
Lo que COD-Network todavía no hace hoy: no clasifica los activos automáticamente. La categorización (qué es una Firewall, qué es un PLC, qué es un equipo médico) se realiza de forma manual. Y, siendo sinceros, tiene sentido: quien conoce su propia infraestructura quiere tomar esa decisión por sí mismo.
Capa 2: COD-ISMS, cumplimiento estructurado sobre datos vivos
COD-ISMS toma los activos mantenidos en COD-Network y los convierte en la base de un ISMS estructurado y documentado.
Lo que esto significa en concreto:
Gestionar los controles, no solo marcarlos como hechos. Los 93 controles del Anexo A de la ISO 27001:2022 están incluidos, agrupados en cuatro áreas temáticas. Por cada control registra la aplicabilidad (sí/no), el estado de implementación (implementado / parcial / planificado / no implementado), notas y políticas vinculadas. El progreso lo ve de forma visual en el dashboard.
Políticas que realmente forman parte del cumplimiento. Las políticas se vinculan directamente con los controles correspondientes: versionadas, con visualización de diferencias (diff) y con un flujo de trabajo continuo desde el borrador hasta el archivado.
Un rastro de auditoría que merece ese nombre. Cada cambio (en activos, controles, políticas, evaluaciones de riesgos) se registra sin lagunas. Quién, cuándo, qué, dónde, por qué. A prueba de manipulaciones, firmado del lado del servidor. Esa es la base de trazabilidad para las auditorías externas.
Evaluaciones de riesgos sobre el activo concreto. No sobre un «componente de red genérico», sino sobre el activo específico, con el estado en vivo que proporciona COD-Network.
Un rastro de auditoría que merece ese nombre. Cada cambio se registra sin lagunas. Quién, cuándo, qué, dónde, por qué. A prueba de manipulaciones, firmado del lado del servidor.
On-premise o cloud: ambas opciones, control total
Precisamente en el entorno KRITIS, «ningún dato en la nube» no suele ser una preferencia, sino un requisito. COD se ejecuta completamente on-premise, en su infraestructura, en su centro de datos.
Y aun así: las actualizaciones de plantillas (nuevos controles ISO, catálogo BSI actualizado, plantillas de políticas) se ponen a disposición de forma centralizada y pueden aplicarse de manera controlada. Sin obligación de usar la nube. Sin contenidos obsoletos.
Para quién se ha creado COD-ISMS
Para responsables de TI que no tienen tiempo de mantener listas de activos manualmente y, aun así, necesitan una base de ISMS limpia y documentada.
Para CISOs que quieren saber: ¿qué controles están documentados como implementados y cuáles siguen pendientes? Y que quieren una respuesta basada en una base de activos actualizada.
Para directores generales que operan en entornos regulados y han comprendido que un ISMS que no coincide con la realidad no es una protección. Es una cuestión de responsabilidad legal.
Conclusión: un ISMS que sabe lo que protege, y que dice con honestidad lo que es capaz de hacer
La mayoría de las herramientas de ISMS saben lo que usted les dijo, hace meses. COD combina el inventariado de red y la documentación de cumplimiento en una sola plataforma, sin puentes manuales y sin doble mantenimiento de datos.
Si quiere ver cómo se traduce esto concretamente en su entorno, estaremos encantados de mostrárselo. De forma práctica, sin presión comercial y sin una oferta previa de 47 páginas.