Gestión de accesos y credenciales: el riesgo entra por la puerta
El atacante más difícil de detectar es el que entra con usuario y contraseña válidos, y casi siempre hay una cuenta olvidada esperándolo.
Ciberseguridad, riesgo y cumplimiento, explicados para quien tiene que decidir.
Guías sobre ransomware, phishing, SOC, pentest, ISO 27001, NIST CSF, LGPD, regulación del Banco Central de Brasil y análisis de riesgo — con la fuente oficial de cada afirmación.
Amenazas y operación de seguridad
Backup y resiliencia cibernética: más allá de la regla 3-2-1
Tener copias no es lo mismo que poder recuperarse, y el ransomware apunta justo a esa diferencia.
Red Team, Blue Team y Purple Team: qué hace cada uno
Ataque, defensa, colaboración y gobernanza: el rol de cada equipo y cuándo su empresa está lista para cada uno.
SOC tradicional vs. SOC moderno: qué esperar de un SOC 24×7
Ver alertas no es reducir el riesgo. Qué distingue al SOC moderno, qué métricas seguir y cómo evaluar un SOC tercerizado.
Phishing e ingeniería social en la era de la IA: qué cambió
La IA eliminó las faltas de ortografía; lo que todavía delata la estafa es la petición: urgencia, excepción al proceso y secreto.
Ransomware y RaaS: cómo preparar a la empresa
El ransomware ya es una industria de afiliados y doble extorsión; prepararse exige prevención, detección, respaldos probados y un plan decidido antes de la crisis.
El SOC de Network Secure tiene certificación ISO 27001:2022
Monitoreo, detección, análisis y respuesta a incidentes auditados en la versión más reciente de la norma — y lo que eso garantiza a quien contrata.
Riesgo cibernético
Apetito de riesgo: de la frase al número
La declaración aprobada en acta no le dice al analista qué hacer. Cómo convertir el apetito en límite, y el límite en criterio de aceptación.
La matriz 5×5 no dice cuánto cuesta el riesgo
El mapa de calor empata riesgos que difieren en dos órdenes de magnitud. Cuando la decisión es de presupuesto, un color no basta.
ISO 27005: el análisis de riesgo de la 27001
La norma contra la que te auditan exige un análisis de riesgo y no dice cómo hacerlo. La 27005 responde eso — y cambió en 2022.
CROC: cuando detectar amenazas deja de ser suficiente
Las empresas tienen datos de seguridad de sobra. Lo que falta es convertirlos en decisiones de riesgo. El CROC es la capa que construye ese puente — sin reemplazar al SOC.
Cyber risk scoring: cuándo una nota ayuda y cuándo engaña
Un score de riesgo es útil cuando muestra tendencia y señala dónde actuar. Es peligroso cuando se vuelve un promedio que oculta el peor activo.
Cyber Risk Quantification (CRQ): el riesgo cibernético en dinero
Cuantificar es cambiar el color del mapa de calor por un rango de pérdida con probabilidad. Así funciona el modelo por dentro y así suele fallar.
Normas y marcos de referencia
NIST CSF 2.0: las seis funciones y qué cambió con Govern
La versión 2.0 añadió Govern y dejó de ser solo para infraestructura crítica. Qué cambia y cómo convive con la ISO 27001.
Checklist ISO 27001: los 93 controles del Anexo A
Los 93 controles en cuatro temas, los once nuevos de la versión 2022 y lo que el auditor acepta como evidencia.
ISO 27000, 27001 y 27002: cuál es la diferencia
Los números se parecen y los papeles no. Qué hace cada norma de la familia 27k y cuál necesitas de verdad.
Qué es la ISO 27001 y para qué sirve realmente
No es una lista de controles de TI. Qué exige realmente la norma, qué cambió en 2022 y cuándo compensa certificarse.
Vulnerabilidades y exposición
Pentest o escaneo de vulnerabilidades: cuál elegir y cuándo
El escaneo muestra qué fallas conocidas existen; el pentest muestra qué puede hacer un atacante con ellas.
48 mil CVE al año: por dónde empezar
Nadie corrige 48 mil vulnerabilidades al año. La pregunta no es cuántas cierras, sino cuáles — y el CVSS solo responde eso mal.
CVSS 4.0: cómo leer la nota de una vulnerabilidad
La misma falla puede valer 9.3, 8.1 o 6.5 en el CVSS 4.0. La diferencia está en los grupos de métricas que casi nadie completa.
Regulación y terceros
Resolución CMN 5.274/2025 de Brasil: qué cambió en la ciberseguridad del sector financiero
Plazo de adecuación vencido en marzo de 2026. Los 14 controles mínimos obligatorios, las exigencias para Pix y lo que la ISO 27001 ya cubría.
Riesgo de terceros y la Resolución CMN 4.893
Quien contrata procesamiento de datos o nube sigue respondiendo por el servicio. Qué exige la norma, artículo por artículo.