
Cómo trabajamos
Seis pasos, ninguna sorpresa
El modelo siguiente es el mismo para un paquete de tres semanas y para un programa de certificación de catorce meses. Existe para que usted sepa siempre qué ha ocurrido, qué viene después y si vamos en plazo.
El modelo de intervención
- Paso 1 de 6
Llamada de calificación
45 minutos, gratuitaUn consultor sénior, no un comercial. Preguntamos qué motiva el plazo, qué existe ya, cuántas entidades y sistemas intervienen y quién tendrá que aprobar el resultado. Antes de colgar obtiene una lectura honesta de la viabilidad y una horquilla, incluido, cuando corresponde, que no nos necesita para esto.
Una visión clara del alcance, el esfuerzo probable y el orden del trabajo.
- Paso 2 de 6
Propuesta
En 5 días hábilesUna propuesta escrita con el alcance, los entregables listados uno a uno, el calendario con fechas, las personas implicadas y un precio cerrado. Sin estimaciones por jornadas con horquilla adjunta, y sin una fase de descubrimiento facturada antes de conocer el alcance.
Una propuesta a precio cerrado que puede llevar a un comité de presupuesto.
- Paso 3 de 6
Arranque
Semana 1Contrato marco y acuerdo mutuo de confidencialidad firmados, certificados de seguro aportados, accesos solicitados y concedidos, interlocutores identificados y ritmo de reporte acordado. Confirmamos el calendario frente a sus restricciones —auditorías, entregas, vacaciones— antes de empezar nada.
Contrato firmado, NDA, accesos, contactos con nombre y calendario confirmado.
- Paso 4 de 6
Ejecución
Según el calendarioEl trabajo avanza con un punto de treinta minutos cada semana: qué se ha hecho, qué se ha encontrado, qué viene después y cualquier cosa que amenace la fecha. Los hallazgos relevantes se comunican al encontrarlos, no se guardan para el informe. Trabajamos en sus herramientas y su repositorio siempre que es posible.
Un resumen escrito semanal y ninguna sorpresa al final.
- Paso 5 de 6
Presentación y traspaso
Última semanaUna presentación a quienes deben actuar —normalmente el comité de dirección o el consejo— con el resumen ejecutivo, los hallazgos y el plan de acción presupuestado. Después, un traspaso operativo con su equipo: el detalle, las pruebas, la configuración y cómo mantenerlo.
Presentación lista para el consejo, documentación completa y un equipo capaz de continuar.
- Paso 6 de 6
Propuesta de continuidad
En 15 díasUna propuesta escrita para lo que venga después, si es que viene algo: encargos concretos del plan de acción, un servicio recurrente que sostenga el trabajo continuo, o nada en absoluto. Se envía en los quince días posteriores a la presentación para que la decisión se tome con los hallazgos frescos, sin compromiso alguno.
Una opción presupuestada para la siguiente fase, y una parada limpia si lo prefiere.
Qué recibe
Entregables estándar de nuestros proyectos. La propuesta precisa cuáles se aplican al suyo.
- Resumen ejecutivo
- De cinco a diez páginas escritas para un consejo: la situación, la exposición, las decisiones necesarias y su coste. Sin vocabulario técnico que haya que traducir.
- Informe detallado
- Todos los hallazgos con pruebas, criticidad, pasos de reproducción cuando proceda y el razonamiento tras cada recomendación.
- Plan de acción presupuestado
- Acciones priorizadas con responsable, esfuerzo, dependencia y estimación de coste, secuenciadas en un horizonte realista y no simplemente ordenadas por criticidad.
- Registros e inventarios
- Registro de riesgos, inventario de activos, registro de proveedores, registro de tratamientos, registro de sistemas de IA: lo que produzca el proyecto, en un formato que pueda mantener.
- Cuerpo normativo interno
- Políticas y estándares redactados para su organización y mapeados sobre los marcos que le aplican, con el ciclo de revisión ya definido.
- Código y configuración
- Infraestructura como código, definiciones de pipeline, políticas como código y scripts, entregados en su repositorio bajo su licencia. Nada de lo que construimos queda retenido.
- Cuadros de mando
- Cuadros de mando de cumplimiento y seguridad conectados a fuentes vivas, para que la situación sea visible entre nuestras visitas y no solo en el informe.
- Informes de prueba
- Informes de prueba de intrusión, certificados de reprueba, informes de observación de ejercicios y resultados de pruebas de restauración: las pruebas que pedirá un auditor, una aseguradora o un cliente.
Los dos pilares que deciden un sistema antes de que nadie pueda auditarlo
La seguridad y la privacidad desde el diseño no son puntos de control. Son tres cosas hechas pronto, y cada una tiene un momento en que debe ocurrir y un documento que produce.
01
Seguridad desde el diseño
Modelamos las amenazas contra el diseño, no contra el producto acabado, y escribimos los requisitos de seguridad en el alcance para que se presupuesten con todo lo demás. Los criterios de salida se acuerdan a la vez, que es lo que evita discutir una puesta en producción al final.
- Entra en
- El encuadre, antes de fijar la arquitectura
- Produce
- Un modelo de amenazas, requisitos de seguridad en el alcance y criterios de salida
- El servicio →
02
Privacidad desde el diseño
La evaluación de impacto se hace antes del primer registro almacenado, no después de la pregunta de un regulador. La minimización es el ajuste por defecto y no un proyecto de limpieza, y los plazos de conservación se escriben donde los vea el equipo que construye.
- Entra en
- La misma semana, sobre el mismo diseño
- Produce
- Una evaluación de impacto, un modelo de datos minimizado y plazos de conservación escritos
- El servicio →
03
Y el que decide si la IA llega a algo
La IA falla menos por el modelo que por el orden en que se hicieron las cosas. La secuencia de abajo es la que ejecutamos, y cada paso es un servicio que ya vendemos, no un diagrama.
- Entra en
- Antes de financiar el primer piloto
- Produce
- Un inventario, una lista de casos priorizada, salvaguardas, un piloto medido
- El servicio →
Cuatro cosas que mantenemos
Precio cerrado sobre alcance definido
Si estimamos mal, el riesgo es nuestro. Los cambios de alcance se discuten y se vuelven a presupuestar de forma explícita; los excesos de esfuerzo, no.
Un interlocutor sénior de principio a fin
Quien define el alcance del trabajo lo ejecuta y lo presenta. Sin traspaso a un equipo júnior tras la firma.
Hallazgos comunicados de inmediato
Todo lo crítico se escala el mismo día en que se encuentra, con recomendaciones de contención, diga lo que diga el calendario de reporte.
Todo queda en su poder
Los documentos, el código, la configuración y las evidencias son suyos. Nuestros datos de misión se conservan en Europa por defecto, en otra jurisdicción si usted lo exige, y se destruyen o devuelven siguiendo su instrucción.
El primer paso no cuesta nada
Cuarenta y cinco minutos con un consultor sénior, y una respuesta honesta sobre si merece la pena.