¿Cómo debe un enfoque de inicio mediano seguridad y cumplimiento de la información?

Primero, si no es compatible con PCI-DSS y está procesando información de pago, elimine todo y resuelva esto primero . Si aborda esto de manera sólida, puede aprovechar las actividades de cumplimiento para crear una infraestructura de seguridad de la información más amplia para su organización. ¡Esta es tu primera brecha!

He estado donde estás.

Aunque normalmente es una evaluación de riesgos donde las organizaciones deben comenzar (¡y usted debe hacer una!), mi conjetura es que solo será una distracción para usted en su etapa de desarrollo. Tienes una tarea más inmediata a mano.

No debería ver el PCI-DSS como una amenaza, sino como una oportunidad para abrazar. Debe adoptar PCI-DSS y (SOC 2) como una herramienta para definir lo que debe hacer y la infraestructura que necesita para cumplir. No "escatime" en este paso, tómelo como un requisito reglamentario para cumplir de frente y para satisfacer plenamente.

Esta actividad existe aparte del riesgo como algo que "solo debe hacerse". Centrarse en esto al principio elimina los debates y las tensiones políticas. Tanto PCI-DSS como SOC 2 requieren auditores externos y guía de expertos. Gasta tu tiempo y dinero en estas cosas, para empezar.

Sería incluso mejor (para procesos seguros y riesgos) si utilizara los marcos ISO 27001 y / o NIST para diseñar un enfoque para el cual el PCI-DSS y el SOC 2 puedan tener una lugar, pero esto simplemente no es eficiente para las pequeñas empresas, y no donde se puede encontrar el valor inmediato. Si puede hacer bien los primeros pasos y obtener éxito y valor, le será más fácil hacer las cosas más grandes.

Soy un fanático de la seguridad "Agile": haga un mapeo de todas sus necesidades como las entiende ahora, pero aborde las áreas críticas primero (a la luz de las necesidades futuras). Para usted, tiene problemas técnicos de seguridad que deben abordarse primero (PCI-DSS). Diseñe los enfoques para abordar esas necesidades a la luz de un marco más amplio, ¡pero aborde esas necesidades primero! Luego construye iterativamente desde allí.

La evaluación de riesgos es una necesidad. La decisión sobre cuánto desea gastar en el proceso se basará en parte en el resultado del análisis de riesgos, por lo que es una línea de base que deberá hacer.

El hecho de que trabaje con consultores externos depende principalmente de si sus clientes y reguladores le exigen que realice una auditoría formal con un certificado de cumplimiento de un asesor calificado o si pueden aceptar una auditoría informal que se basa libremente en esos estándares de auditoría . Si sus clientes / reguladores exigen un certificado formal, entonces no tiene más remedio que trabajar con un consultor externo.

Aparte de eso, es solo una cuestión de si usted tiene algún empleado que esté dispuesto a estudiar los documentos de auditoría relevantes y si tiene prisa por realizar la auditoría. Recuerde que debe asignar tiempo adicional para que el empleado estudie los estándares de auditoría, mientras que un asesor calificado ya estaría familiarizado con él. Este tiempo de capacitación debe incluirse en sus cálculos de costos al decidir si ir con un consultor.

Una auditoría, incluso con un consultor calificado, puede tardar meses en completarse. Debe asegurarse de que a quien le asigne la auditoría puede dejar de desempeñar su función principal durante ese período de tiempo.