Ir al contenido
Una cadena de entrega generada: cintas de trabajo que fluyen de izquierda a derecha a través de cuatro puertas, y la luz que sale de la última es limpia.

Cómo trabajamos

Seis pasos, ninguna sorpresa

El modelo siguiente es el mismo para un paquete de tres semanas y para un programa de certificación de catorce meses. Existe para que usted sepa siempre qué ha ocurrido, qué viene después y si vamos en plazo.

El modelo de intervención

  1. Paso 1 de 6

    Llamada de calificación

    45 minutos, gratuita

    Un consultor sénior, no un comercial. Preguntamos qué motiva el plazo, qué existe ya, cuántas entidades y sistemas intervienen y quién tendrá que aprobar el resultado. Antes de colgar obtiene una lectura honesta de la viabilidad y una horquilla, incluido, cuando corresponde, que no nos necesita para esto.

    Una visión clara del alcance, el esfuerzo probable y el orden del trabajo.

  2. Paso 2 de 6

    Propuesta

    En 5 días hábiles

    Una propuesta escrita con el alcance, los entregables listados uno a uno, el calendario con fechas, las personas implicadas y un precio cerrado. Sin estimaciones por jornadas con horquilla adjunta, y sin una fase de descubrimiento facturada antes de conocer el alcance.

    Una propuesta a precio cerrado que puede llevar a un comité de presupuesto.

  3. Paso 3 de 6

    Arranque

    Semana 1

    Contrato marco y acuerdo mutuo de confidencialidad firmados, certificados de seguro aportados, accesos solicitados y concedidos, interlocutores identificados y ritmo de reporte acordado. Confirmamos el calendario frente a sus restricciones —auditorías, entregas, vacaciones— antes de empezar nada.

    Contrato firmado, NDA, accesos, contactos con nombre y calendario confirmado.

  4. Paso 4 de 6

    Ejecución

    Según el calendario

    El trabajo avanza con un punto de treinta minutos cada semana: qué se ha hecho, qué se ha encontrado, qué viene después y cualquier cosa que amenace la fecha. Los hallazgos relevantes se comunican al encontrarlos, no se guardan para el informe. Trabajamos en sus herramientas y su repositorio siempre que es posible.

    Un resumen escrito semanal y ninguna sorpresa al final.

  5. Paso 5 de 6

    Presentación y traspaso

    Última semana

    Una presentación a quienes deben actuar —normalmente el comité de dirección o el consejo— con el resumen ejecutivo, los hallazgos y el plan de acción presupuestado. Después, un traspaso operativo con su equipo: el detalle, las pruebas, la configuración y cómo mantenerlo.

    Presentación lista para el consejo, documentación completa y un equipo capaz de continuar.

  6. Paso 6 de 6

    Propuesta de continuidad

    En 15 días

    Una propuesta escrita para lo que venga después, si es que viene algo: encargos concretos del plan de acción, un servicio recurrente que sostenga el trabajo continuo, o nada en absoluto. Se envía en los quince días posteriores a la presentación para que la decisión se tome con los hallazgos frescos, sin compromiso alguno.

    Una opción presupuestada para la siguiente fase, y una parada limpia si lo prefiere.

Qué recibe

Entregables estándar de nuestros proyectos. La propuesta precisa cuáles se aplican al suyo.

Resumen ejecutivo
De cinco a diez páginas escritas para un consejo: la situación, la exposición, las decisiones necesarias y su coste. Sin vocabulario técnico que haya que traducir.
Informe detallado
Todos los hallazgos con pruebas, criticidad, pasos de reproducción cuando proceda y el razonamiento tras cada recomendación.
Plan de acción presupuestado
Acciones priorizadas con responsable, esfuerzo, dependencia y estimación de coste, secuenciadas en un horizonte realista y no simplemente ordenadas por criticidad.
Registros e inventarios
Registro de riesgos, inventario de activos, registro de proveedores, registro de tratamientos, registro de sistemas de IA: lo que produzca el proyecto, en un formato que pueda mantener.
Cuerpo normativo interno
Políticas y estándares redactados para su organización y mapeados sobre los marcos que le aplican, con el ciclo de revisión ya definido.
Código y configuración
Infraestructura como código, definiciones de pipeline, políticas como código y scripts, entregados en su repositorio bajo su licencia. Nada de lo que construimos queda retenido.
Cuadros de mando
Cuadros de mando de cumplimiento y seguridad conectados a fuentes vivas, para que la situación sea visible entre nuestras visitas y no solo en el informe.
Informes de prueba
Informes de prueba de intrusión, certificados de reprueba, informes de observación de ejercicios y resultados de pruebas de restauración: las pruebas que pedirá un auditor, una aseguradora o un cliente.

Los dos pilares que deciden un sistema antes de que nadie pueda auditarlo

La seguridad y la privacidad desde el diseño no son puntos de control. Son tres cosas hechas pronto, y cada una tiene un momento en que debe ocurrir y un documento que produce.

  1. 01

    Seguridad desde el diseño

    Modelamos las amenazas contra el diseño, no contra el producto acabado, y escribimos los requisitos de seguridad en el alcance para que se presupuesten con todo lo demás. Los criterios de salida se acuerdan a la vez, que es lo que evita discutir una puesta en producción al final.

    Entra en
    El encuadre, antes de fijar la arquitectura
    Produce
    Un modelo de amenazas, requisitos de seguridad en el alcance y criterios de salida
    El servicio →
  2. 02

    Privacidad desde el diseño

    La evaluación de impacto se hace antes del primer registro almacenado, no después de la pregunta de un regulador. La minimización es el ajuste por defecto y no un proyecto de limpieza, y los plazos de conservación se escriben donde los vea el equipo que construye.

    Entra en
    La misma semana, sobre el mismo diseño
    Produce
    Una evaluación de impacto, un modelo de datos minimizado y plazos de conservación escritos
    El servicio →
  3. 03

    Y el que decide si la IA llega a algo

    La IA falla menos por el modelo que por el orden en que se hicieron las cosas. La secuencia de abajo es la que ejecutamos, y cada paso es un servicio que ya vendemos, no un diagrama.

    Entra en
    Antes de financiar el primer piloto
    Produce
    Un inventario, una lista de casos priorizada, salvaguardas, un piloto medido
    El servicio →

Cuatro cosas que mantenemos

  • Precio cerrado sobre alcance definido

    Si estimamos mal, el riesgo es nuestro. Los cambios de alcance se discuten y se vuelven a presupuestar de forma explícita; los excesos de esfuerzo, no.

  • Un interlocutor sénior de principio a fin

    Quien define el alcance del trabajo lo ejecuta y lo presenta. Sin traspaso a un equipo júnior tras la firma.

  • Hallazgos comunicados de inmediato

    Todo lo crítico se escala el mismo día en que se encuentra, con recomendaciones de contención, diga lo que diga el calendario de reporte.

  • Todo queda en su poder

    Los documentos, el código, la configuración y las evidencias son suyos. Nuestros datos de misión se conservan en Europa por defecto, en otra jurisdicción si usted lo exige, y se destruyen o devuelven siguiendo su instrucción.

El primer paso no cuesta nada

Cuarenta y cinco minutos con un consultor sénior, y una respuesta honesta sobre si merece la pena.