Staff Augmentation de CiberseguridadCybersecurity Staff Augmentation
Perfiles especializados incorporados a tu equipo por tiempo definido.Specialised professionals embedded into your team for a defined period.
¿Qué es este servicio?What is this service?
Es la incorporación de perfiles de ciberseguridad al equipo del cliente por tiempo definido: analista de SOC, ingeniero de detección, pentester, especialista en cumplimiento o quien haga falta. La persona trabaja dentro de la operación del cliente, con sus herramientas y sus prioridades, y reporta a un responsable interno.
Adding cybersecurity profiles to the client team for a defined period: SOC analyst, detection engineer, pentester, compliance specialist or whoever is needed. The person works inside the client operation, with the tools and priorities of the client, reporting to an internal manager.
¿Para qué se usa?What is it used for?
Encaja cuando el problema es de capacidad y no de conocimiento: hay trabajo definido y falta gente para hacerlo. Conviene ser honesto sobre el modelo, porque es donde se generan los malentendidos: esto no es una consultoría por entregables. No se compra un informe ni un resultado; se compran horas de un perfil calificado al que dirige el cliente. Si lo que hace falta es que alguien se haga dueño del resultado, corresponde otro servicio.
It fits when the problem is capacity rather than knowledge: the work is defined and there are not enough people to do it. The model deserves honesty, since this is where misunderstandings start: it is not a deliverables-based consultancy. What is bought is not a report or an outcome; it is hours from a qualified profile directed by the client. If somebody has to own the result, a different service applies.
Qué beneficios traeBenefits it delivers
- Cubre una vacante o un pico de trabajo en semanas y no en los meses que toma un proceso de contratación.
- Da acceso a perfiles escasos, como ingeniero de detección o forense, que en el mercado local casi no se consiguen disponibles.
- Se puede cortar al terminar el proyecto sin el costo ni el desgaste de una desvinculación.
- El perfil trae prácticas de otras organizaciones, que suele ser un efecto secundario más valioso que las horas.
- Fills a vacancy or a workload peak in weeks rather than the months a hiring process takes.
- Gives access to scarce profiles such as detection engineers or forensic analysts, rarely available in the local market.
- Can be ended when the project finishes, without the cost and friction of a termination.
- The profile brings practices from other organisations, usually a more valuable side effect than the hours themselves.
¿En qué momentos es obligatorio?When is it mandatory?
Costa RicaCosta Rica
- No hay obligación legal de contratar perfiles externos.
- Conviene revisar la relación contractual con criterio: dirigir el trabajo de la persona tiene implicaciones laborales que deben quedar claras en el contrato desde el inicio.
- Si el perfil accede a datos personales, la Ley 8968 sigue apuntando al responsable del tratamiento, que es la organización contratante y no el proveedor.
- There is no legal obligation to contract external profiles.
- The contractual relationship deserves a careful look: directing the work of the person has employment implications that must be settled in the contract from the outset.
- If the profile accesses personal data, Law 8968 still points at the data controller, which is the contracting organisation and not the provider.
InternacionalInternational
- Ningún marco lo exige, pero todos exigen controlar el acceso de terceros.
- PCI-DSS obliga a gestionar y documentar el acceso del personal externo a los entornos de datos de tarjeta.
- ISO 27001 exige tratar la seguridad en las relaciones con proveedores y durante la incorporación y salida del personal, propio o no.
- No framework requires it, but all of them require controlling third-party access.
- PCI-DSS requires managing and documenting external personnel access to cardholder data environments.
- ISO 27001 requires addressing security in supplier relationships and during onboarding and offboarding of personnel, in-house or not.
Requisitos mínimosMinimum requirements
- Una descripción honesta del puesto y de las tareas: cuanto más vaga sea, peor va a ser el encaje del perfil.
- Un responsable interno que dirija el trabajo, revise y priorice. Sin eso, el modelo no funciona.
- Accesos, equipo y herramientas listos el primer día, que es donde se pierden las dos primeras semanas.
- Acuerdos de confidencialidad y el proceso de alta y baja de accesos definido antes de que la persona empiece.
- An honest description of the role and its tasks: the vaguer it is, the worse the fit will be.
- An internal manager who directs the work, reviews and prioritises. Without that, the model does not work.
- Access, equipment and tools ready on day one, which is where the first two weeks are usually lost.
- Confidentiality agreements and a defined access provisioning and revocation process before the person starts.
Plazo típico de entregaTypical delivery time
Presentar candidatos toma de dos a seis semanas según lo especializado del perfil: un analista de primer nivel se consigue rápido, un forense o un ingeniero de detección con experiencia real puede tardar más. La contratación mínima habitual es de tres a seis meses, porque por debajo de eso la persona se va justo cuando terminó de entender el entorno.
Presenting candidates takes two to six weeks depending on how specialised the profile is: a first-line analyst is found quickly, while a forensic analyst or an experienced detection engineer can take longer. The usual minimum engagement is three to six months, because below that the person leaves just as they finish understanding the environment.
NomenclaturaTerminology
Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.