Un equipo de diez personas que se enfrenta a su primer SOC 2 o ISO 27001 no puede gestionar el cumplimiento como lo haría una empresa de cien personas, y no debería intentarlo. La ventaja a pequeña escala está en los hábitos que son baratos de mantener y costosos de implementar a posteriori. Algunos de ellos, si se adoptan desde el principio, soportan la mayor parte del trabajo.
Elige los marcos de trabajo y olvídate de la carpeta
Decide qué marcos de trabajo realmente te aplican (un SaaS B2B que vende en la UE suele buscar SOC 2 o ISO 27001 más GDPR, a veces DORA o NIS 2 según el cliente) y anótalo una vez. Luego resiste la tentación de vivir en una hoja de cálculo gigante de controles. A tu escala, la hoja de cálculo se queda obsoleta más rápido de lo que cambia el sistema.
Lo que necesitas en su lugar es que los pocos controles relacionados con el código se verifiquen donde ya trabajas: la solicitud de extracción (pull request).
Los hábitos que generan más impacto
Tres hábitos hacen la mayor parte del trabajo. Registra eventos relevantes para la seguridad (autenticación, cambios de privilegios, acceso a datos sensibles) desde el primer día, porque implementar un registro de auditoría a posteriori es doloroso. Mantén el principio de mínimo privilegio por defecto, porque revocar concesiones demasiado amplias más tarde es peor. Y nunca registres secretos ni datos personales, porque limpiar un almacenamiento de registros después de los hechos es la peor versión de este trabajo.
Ninguno de estos requiere una herramienta de GRC. Necesitan ser detectados en la revisión de código, que es exactamente donde un equipo pequeño ya tiene ojos en cada cambio.
Dónde la automatización ayuda más a un equipo pequeño
Lo que le falta a un equipo pequeño no es diligencia, sino el conocimiento del marco de trabajo para reconocer que un diff en particular afecta a un control en particular. Esa es la brecha que heygrc está diseñado para cerrar: leer el cambio frente a tus marcos de trabajo seleccionados y nombrar el control, para que un equipo pequeño obtenga la conciencia del marco de trabajo de uno mucho más grande sin necesidad de contratar para ello.