Cómo trabajamos
Cuatro pasos, y lo que queda en su poder en cada uno
El servicio encuentra; la plataforma sostiene. Así se ve por dentro, desde la primera conversación hasta la evidencia que se produce sola.
Ningún paso obliga al siguiente. Lo que se entrega en cada uno es suyo.
Los cuatro pasos
De la conversación a la evidencia que se produce sola
Cada paso termina con algo concreto en manos de su organización. Puede detenerse en cualquiera de ellos.
Paso 1 · 20 a 30 minutos
Conversación de alcance
Qué normas le aplican, qué procesos están en juego y qué sistemas los sostienen. De la conversación sale una lista corta de contrapartes y una fecha de entrega.
Queda en su poder: el alcance y la duración, por escrito.
Paso 2 · Obligación por obligación
Diagnóstico con evidencia
Entrevistas, revisión documental y verificación técnica muestral dentro de su red. Cada obligación queda marcada como resuelta, parcial o pendiente, con la evidencia que lo sustenta.
Queda en su poder: el informe, la matriz y el plan. Son suyos aunque no continúe.
Paso 3 · Con su equipo
Cierre de brechas
Procedimientos, registros, contratos y capacitación, brecha por brecha y en el orden del plan. Se trabaja con las personas que van a operar cada control.
Queda en su poder: el procedimiento operando y su gente capacitada.
Paso 4 · En régimen
Evidencia continua en plataforma
La plataforma que corresponda a la obligación se instala dentro de su infraestructura. Desde ese momento la evidencia se produce mientras el negocio opera.
Queda en su poder: evidencia fechada y sellada que se produce sola, verificable por un tercero sin entrar a sus sistemas.
Dos formas de trabajar
Servicio puntual o plataforma continua
Un servicio de consultoría resuelve un momento. Una plataforma sostiene una obligación permanente. Esta tabla ayuda a ver cuál conviene, y cuándo conviene las dos.
| Servicio de consultoría | Plataforma en régimen | Juntos | |
|---|---|---|---|
| Qué resuelve | Establece dónde está y cierra la brecha: deja un informe, un procedimiento y una decisión documentada. | Sostiene el resultado en el tiempo: produce la evidencia fechada y sellada mientras la organización opera. | Del hallazgo al expediente verificable, con el mismo equipo de principio a fin. |
| Cuándo conviene | Cuando necesita saber dónde está, cerrar una brecha concreta o responder a un hecho puntual. | Cuando la obligación es permanente y la evidencia tiene que producirse todos los días, no una vez. | Cuando la norma le pide las dos cosas: haber hecho el trabajo y poder probarlo en cualquier momento. |
| Qué queda | El informe, la matriz y el plan, de su propiedad; los procedimientos operando y la gente capacitada. | Expedientes sellados dentro de su infraestructura, verificables por un tercero sin acceder a sus sistemas. | Lo anterior, más la trazabilidad completa desde el diagnóstico hasta la operación. |
| Qué pide de su gente | Unas horas de tres o cuatro personas durante el diagnóstico; un responsable por brecha durante el cierre. | Un responsable interno que la opere, y una instalación coordinada con su área de TI o con su proveedor. | Lo mismo, con una sola contraparte de nuestro lado. |
| Cómo envejece | Un informe describe un momento. Para que siga vigente hay que repetirlo. | La evidencia se renueva sola. El estado que muestra es siempre el de hoy. | El diagnóstico fija la línea base y la plataforma la mantiene al día. |
| Punto de partida sugerido | Diagnóstico GAP | La plataforma que corresponda a la obligación, con capacitación incluida. | Diagnóstico primero. La plataforma se decide con el plan en la mano. |
Semana a semana
Qué pasa en los primeros 30 días de un diagnóstico
Así se ve un diagnóstico GAP (análisis de brechas) desde adentro. Los plazos son los de un alcance acotado; uno amplio se conversa en el primer paso.
Calendario tipo
- 1Día 1. Conversación de alcance, de una hora. Se fijan las normas, los procesos y los sistemas que entran, las contrapartes y la fecha de entrega.
- 2Días 2 a 5. Recolección de lo que ya tenga: políticas, contratos, registros, respuestas anteriores. No hay que crear nada nuevo para esta etapa.
- 3Días 6 a 15. Entrevistas de 45 minutos con las personas que operan cada proceso y revisión de lo recolectado. Con su autorización, se instala dentro de su red la herramienta de descubrimiento para verificar una muestra.
- 4Días 16 a 22. Contraste de lo declarado con lo encontrado. Cada obligación queda en una matriz con su estado, la evidencia y lo que falta.
- 5Días 23 a 28. Informe preliminar y sesión de revisión con su equipo, para corregir lo que corresponda antes de la versión final.
- 6Día 30. Entrega: informe, matriz, plan priorizado y presentación al directorio si el alcance es acotado. Si es amplio, la entrega final llega en las semanas 5 y 6.
Sellado
Cómo se verifica el sellado
Cada documento que entregamos o que produce una plataforma lleva una huella con fecha. Verificarla toma tres pasos y no requiere confiar en nosotros.
Paso 1
Recibe el documento y su huella
Junto con el informe o el expediente llega una huella matemática con la fecha en que se selló.
Paso 2
Recalcula la huella
Con una herramienta pública o con la de Forensic Corp, quien recibe el documento vuelve a calcular la huella por su cuenta.
Paso 3
Compara
Si las dos huellas coinciden, el documento es el mismo que se selló ese día. Si no coinciden, algo cambió.
Cinco compromisos
Lo que puede exigirnos en cualquier proyecto
Son las mismas cinco reglas en un diagnóstico de tres semanas y en una plataforma en régimen.
Evidencia, no declaración
Cada conclusión viene con lo que la sustenta. Si no lo podemos probar, no lo afirmamos.
Sus datos se quedan en su casa
El descubrimiento, los registros de acceso y el análisis de incidentes corren dentro de su infraestructura. Hacia afuera va el resultado, y sellado.
Lo que hacemos es suyo
Informes, matrices, procedimientos y expedientes quedan en su poder. Siguen siendo verificables aunque deje de trabajar con nosotros.
El mismo equipo de principio a fin
Quien hace el diagnóstico es quien cierra las brechas y quien responde cuando ocurre el incidente. Sin traspasos entre proveedores.
No damos asesoría jurídica y no la fingimos
Producimos evidencia técnica y dejamos procesos operando. La interpretación de la norma la conduce su asesoría legal; trabajamos con ella.
El entregable
Cómo se ve un informe de diagnóstico, por dentro
Siete partes, siempre en el mismo orden, para que su directorio y su asesoría legal encuentren lo que buscan sin leerlo entero.
Las siete partes
- 1Portada y alcance. Qué normas, qué procesos y qué sistemas se revisaron, y cuáles quedaron fuera.
- 2Resumen ejecutivo. Un semáforo con las obligaciones resueltas, parciales y pendientes, en una página.
- 3Mapa de obligaciones. Por cada una: qué le van a pedir, en qué estado está, qué falta y con qué prioridad.
- 4Ficha por brecha. Qué se esperaba, qué encontramos, la evidencia, la propuesta de cierre, el esfuerzo (bajo, medio o alto) y el responsable sugerido.
- 5Plan priorizado en tres olas. Qué cerrar primero, qué después y qué puede esperar, con el criterio de cada decisión.
- 6Anexos. Las entrevistas, los documentos revisados y el detalle técnico de la verificación muestral.
- 7Hoja de verificación. La huella del informe y la fecha del sellado, para que cualquiera compruebe que es el mismo documento.
Siguiente paso
Empecemos por saber dónde está
La primera conversación define el alcance real y la fecha de entrega, sin compromiso.
Le responde un consultor dentro de 24 horas hábiles. El informe del diagnóstico es suyo.