La empresa operaba con on-premise, GCP y Google Workspace a la vez, con aplicaciones web en producción y equipos distribuidos en varias sedes. Un entorno que había escalado con el negocio pero al que la seguridad no le había seguido el paso. Sin inventario formal de activos cloud, sin monitoreo activo y con aplicaciones expuestas a internet sin ninguna protección perimetral, el riesgo llevaba tiempo acumulándose sin que nadie lo viera.

El objetivo de alcanzar ISO 27001 estaba sobre la mesa. Antes de llegar ahí había que construir la base desde la que operar, porque sin visibilidad no hay certificación que sostenga nada.