Seguridad, gobierno y resiliencia
Del principio corporativo a una gobernanza aplicable.
Con este proyecto académico adaptado para portafolio busco demostrar mi capacidad para convertir las necesidades de una empresa tecnológica en una política corporativa comprensible y accionable. Partí de un material elaborado durante el TFM y de la documentación de la empresa ficticia Drive Tech para adaptar el alcance, las responsabilidades y las reglas de seguridad a una actividad con dispositivos conectados, software, plataforma digital y soluciones de inteligencia artificial.
El proceso comenzó con la identificación de la información, los productos, los servicios y las dependencias que debían quedar protegidos. Después distinguí obligaciones legales, compromisos contractuales y referencias voluntarias; distribuí funciones entre Dirección, negocio, CISO, IT, Producto, Legal, Recursos Humanos y DPO; y estructuré reglas sobre riesgos, accesos, trabajo remoto, desarrollo seguro, privacidad, incidentes, continuidad y terceros.
El trabajo me permitió profundizar en gobierno de seguridad, GRC, compliance tecnológico, protección de datos, AI Governance, resiliencia y gestión de proveedores. También reforzó una decisión metodológica clave: una política general debe fijar autoridades y criterios estables, mientras que los contactos, configuraciones y frecuencias operativas deben desarrollarse en procedimientos y dejar evidencia verificable de su ejecución.
| Bloque | Trabajo realizado | Capacidad visible |
|---|---|---|
| Alcance, marco y gobierno | Delimitación de información, procesos, productos y terceros; análisis condicionado de requisitos legales, contractuales y referencias voluntarias; y distribución de autoridad entre Dirección, Comité, CISO, negocio, IT, Producto, Legal, RR. HH. y DPO. | Gobierno de seguridad, análisis de aplicabilidad y segregación de responsabilidades. |
| Riesgos, operación y productos | Reglas sobre activos, riesgos, accesos, equipos y trabajo remoto, cambios, vulnerabilidades, desarrollo seguro, productos conectados, IA y protección de datos. | Traducción de riesgos tecnológicos a criterios organizativos y controles de alto nivel. |
| Incidentes, continuidad y mejora | Coordinación de incidentes, recuperación, terceros, desarrollo documental, excepciones, formación y acciones de mejora con responsables, plazos y evidencia de cierre. | Diseño de un sistema de cumplimiento mantenible y orientado a evidencia. |
Caso académico sobre una organización ficticia. La aprobación y la entrada en vigor permanecen pendientes; no corresponde a un cliente ni a un encargo real. No acredita implantación, certificación de seguridad o ejercicio profesional como DPO o CISO. La revisión se realizó con apoyo de IA, bajo decisiones de adaptación definidas y revisadas personalmente. La autoría del texto original y de su adaptación corresponde a Jon Sanmillán Fuica. El enunciado y el presupuesto del caso proceden de EBIS y no se presentan como elaboración propia.
Criterio aplicado
Tres decisiones que muestran cómo traté el alcance, la autoridad y la relación entre las reglas y su futura evidencia.
Arquitectura documental del SGSI
Reorienté el contenido para que la PSI cumpliera su función real: expresar la intención y el compromiso de la organización, fijar objetivos, alcance, principios y responsabilidades, y sentar los cimientos de un futuro SGSI. Evité convertirla en un compendio exhaustivo de controles o procedimientos; el detalle operativo debe desarrollarse en normas, procedimientos y registros subordinados.
Gobierno y segregación de funciones
Distribuí autoridad entre Dirección, Comité de Seguridad, CISO, responsables de información y servicio, IT, Producto, Legal, Recursos Humanos y DPO. La política evita que quien administra un sistema autorice sus propios privilegios o acepte unilateralmente el riesgo de negocio.
GRC y mejora continua
Relacioné la política con procedimientos y registros que permitirían comprobar su aplicación: revisiones de acceso, pruebas de restauración, trazabilidad de cambios, respuesta a incidentes, supervisión de terceros y acciones de mejora con responsable, plazo y criterio de cierre.
