¿Su compañía cuenta con un inventario de activos de información, personas, dispositivos, sistemas e instalaciones? ¿Este inventario es un facilitador para lograr los objetivos de su negocio? ¿Los inventarios de elementos de la compañía se administran de manera consistente y están en línea con la estrategia y tratamiento de riesgos existente?

¿La compañía cuenta con un proceso que le permita realizar una evaluación de riesgos? ¿El acceso a los activos de información físicos o lógicos y la infraestructura está limitada a ciertos usuarios? ¿Las actividades y transacciones excluyen y delimitan ciertas acciones a los usuarios y dispositivos según lo expresa la evaluación de riesgos de la compañía? ¿Se realizan actividades de concientización y entrenamiento al interior de la compañía en relación al cuidado de la información? ¿Tiene la compañía unas políticas claras para usuarios y proveedores sobre el manejo y cuidado de la información?

¿Posee un sistema de monitoreo de la infraestructura? ¿Tiene una visibilidad preventiva de los eventos y de la actividad de los actores que interactúan con los activos de información? ¿Su sistema de monitoreo actual ayuda a mitigar el impacto en su negocio en caso de presentarse una falla del sistema de seguridad? ¿La infraestructura es monitoreada de manera proactiva? ¿Se hacen pruebas para garantizar el correcto funcionamiento de los sistemas de monitoreo?

¿Su compañía posee formalmente un procedimiento de respuesta frente a un ciberataque? ¿Los procedimientos de respuesta se ejecutan de acuerdo con políticas claramente definidas y socializadas con el personal encargado?

¿Su compañía tiene un plan de recuperación de desastres para cada uno de los activos de información o sistemas afectados en caso de un incidente de seguridad? ¿Se hacen pruebas controladas de escenarios donde hay afectación de la operación? ¿Se guarda una bitácora de registro de lecciones aprendidas?

¿Se hacen pruebas de engaño controladas a sus usuarios? ¿Los usuarios tienen el entrenamiento de identificar amenazas de ingeniería social? ¿Tiene la organización planes de educación definidos?

¿El sistema de seguridad de la información (SGSI) cuenta con los recursos humanos, técnicos y económicos suficientes? ¿El personal a cargo del SGSI cuenta con las competencias técnicas adecuadas para responder frente a cualquier situación que se presente? ¿Los procesos de recuperación y las actividades relacionadas son ejecutadas con el apoyo de proveedores o los involucrados en el manejo de los sistemas de información?

Empresa: Nombre Completo: * Correo Electrónico: * Celular: *