Plazos documentales
Cargando plazos…
Vista de dirección
Situación de la organización
Descarga el resumen para el directorio: veredicto, indicadores, auditorías abiertas, camino a la certificación, comparación con el corte anterior, qué se solicita decidir y firmas. Mismo dato que esta vista.
Indicadores de gestión
Requiere atención
Decisiones pendientes
Cola de trabajo
Buzón
—Espera cliente
—Espera auditor
—Vencidas
El auditor pide; el cliente responde y marca lo pendiente.
Ciclo de auditoría en curso
Trazabilidad hacia la certificación
Nivel de exposición al riesgo
Plan de acción por auditoría
Hoja de ruta operativa para cada marco normativo, descargable en Word o PDF.
Postura de seguridad
Postura de seguridad
Avance de evaluación
Mapa de calor de riesgo
Marcos de cumplimiento
Tendencia del riesgo
Establecimiento
Núcleo del sistema de gestión
Completá el núcleo para desbloquear el mando ejecutivo.
Cumplimiento
Estado de cumplimiento
Calculando el estado de la auditoría en curso…
Buscando análisis FODA vigente…
Cadena del sistema
De dónde sale y dónde se corta
Inventario → riesgo → decisión → evidencia → auditoría.
Cargando cadena…
ISO/IEC 27005 · matriz
Dónde está el riesgo
Tratamiento
¿El tratamiento mueve el riesgo?
Documentos
Evidencia vigente
Tendencia de avance · 30 días
Requisitos evaluados en el tiempo.
Cargando tendencia…
Distribución de riesgo
Niveles actuales · top escenarios
Cargando KPIs de riesgo…
Cargando…
Top riesgos (actual)
Por tratamiento
Criterio ISO 27005 sobre escenarios filtrados
Cargando…
Top amenazas
Más frecuentes en el inventario de escenarios
Cargando…
Top activos expuestos
Activos con más escenarios
Cargando…
Mapa de brechas
Cláusulas con más gaps abiertos
Cargando…
Pipeline de evidencia
Plantilla → operativa → aprobada
Cargando…
Aging de plazos
Horizonte 90 días
Cargando…
Cargando organización…
Territorio
Áreas de la organización
Tamaño por activos · avance del análisis de riesgo.
Cargando áreas…
Estructura · ISO 27001 5.3
Organigrama de la organización
Quién responde por qué. Cada unidad acumula los activos y escenarios de su rama. Las áreas salen del inventario; la jerarquía la definís vos.
Ayuda
Mapa de módulos
Mapa de módulos del sistema. Oculto por defecto en el mando ejecutivo.
Mejora continua
Ciclo PHVA
Planificar · Hacer · Verificar · Actuar — una sola lectura del sistema.
Más detalle · inventario, QC y señales GRC
—Activos
—Valorados
—Escenarios
—Control de calidad
—Auditorías
Validación
Inventario rápido
Señales GRC
Controles, políticas, incidentes y aceptaciones.
1 · Identificar · Inventario
Inventario y valoración de activos
Inventario corporativo · Jerarquía Primario (PR) → Soporte (SP) · Valor = el mayor de C, I y D (peor escenario de pérdida)
Más acciones
—Total activos
—
—
Valoración SP
— valorados · — pendientes
—Sin clasificar
—
Ver calidad del inventario y exposición
ISO/IEC 27005
Datos de la organización activa
Calidad del inventario y exposición
| Activo | Responsables | Clasificación | Valoración C · I · D | Impacto | Acciones |
|---|
2 · Identificar · Escenarios
Escenarios de riesgo
Vista de auditoría: activo × amenaza → riesgo inherente / actual / residual → criterio → justificación
Importar / exportar
Qué pide ISO/IEC 27005 y dónde se cumple cada cosa
Registro de escenarios
Ordenado por riesgo actual · Editar abre el panel lateral
0
Brechas del registro · ISO/IEC 27005:2022
Indicadores de riesgo · ISO/IEC 27001:2022 9.1
Reevaluaciones · ISO/IEC 27005:2022 10.5
| Escenario | A × V | Inherente | Actual | Residual | Criterio | Trazab. |
|---|
Generador masivo
Reglas: depto, criticidad, amenazas concretas, tope por activo
Evaluar escenario
Completá P×I, controles y justificación (trazabilidad ISO 27005)
3 · Analizar · Matriz
Matriz de probabilidad e impacto 5×5
Norma de referencia: ISO/IEC 27005 (gestión de riesgos de seguridad de la información) · alineada a ISO/IEC 27001 (SGSI)
Marco normativo
La matriz Probabilidad × Impacto (5×5) sigue ISO/IEC 27005 para identificar, analizar, evaluar y tratar riesgos. Se distingue riesgo inherente, actual (con controles) y residual (tras tratamiento), en coherencia con el SGSI ISO/IEC 27001.
1 · Muy bajo
2 · Bajo
3 · Medio · tolerable
4 · Alto · tratar
5 · Muy alto · tratar
Probabilidad ↑
Impacto →
ISO 27005 · 5.2
—
Criterios de consecuencia de la organización
Qué significa cada nivel de impacto en magnitudes del negocio. Sin esto, dos analistas puntúan distinto el mismo riesgo y los resultados dejan de ser comparables. Alcanza con completar una dimensión por nivel.
| Nivel de impacto | Financiero | Legal / regulatorio | Operativo | Reputacional |
|---|
4 · Evaluar y tratar
Registro de riesgos y plan de tratamiento
Trazabilidad ISO/IEC 27005:2022: activo y amenaza → evaluación → controles → tratamiento → residual → seguimiento.
| Escenario | Inherente | Actual | Residual | Criterio | Trazabilidad |
|---|
Dictámenes de mitigación
Políticas transversales por criticidad de activo (p.ej. antivirus en Medio y Alto).
Cargando…
| Escenario | A × V | Nivel | Criterio | Acción | Inv. | Residual |
|---|
Centro de cumplimiento
Auditorías y evaluación de conformidad
Herramientas avanzadas
P Planificar
D Hacer
C Verificar
A Actuar
Avance documental de la auditoría Organización y marco activos
Preparación documental
Estado global
Analítica y pendientes
Madurez / avance por cláusula
Tendencia de avance
Mapa de calor (cláusula × resultado)
Mis pendientes / campaña
Auditoría → reauditoría
Auditorías de la organización
Seleccioná o creá una auditoría para evaluar requisitos (conforme / parcial / no conforme), registrar evidencias y generar el plan de acción.
—
—
Más acciones
| Ref | Requisito | Clasificación normativa | Resultado | Estado |
|---|
Operación de seguridad
Controles aplicados y ciclo de vida
Ciclo de vida operativo: por hacer → activo / degradado / obsoleto · prioridad P1–P4 · ETA · dueño
Ciclo de vida · Mejora continua
PDCA documental: borrador → revisión → vigencia → alerta de vencimiento → mejora. Alertas de revisión y caducidad de documentos y evidencias.
Centro de alertas y vencimientos
Documentos, evidencias, controles, acciones y ciclos de auditoría en una sola bandeja.
Cargando bandeja de alertas…
Cargando alertas documentales…
Índice Maestro Documental
Buscá por texto o por significado con el modelo ISO (IA). Un solo archivo físico, varias vistas.
Filtrá por campo:
Por significado: el modelo ISO devuelve un ranking en un panel aparte; la lista de abajo sigue mostrando el recorte de los filtros.
Resultados semánticos (ISO emb)
Escribí una consulta y pulsá Buscar IA.
Cargando…
| Ref | Control | Estado | Prioridad | Dueño | ETA | Próxima revisión |
|---|
Hub documental
Documentos: repositorio y control 7.5
Repositorio, biblioteca indexada, ciclo de vida y control documental (firmas, distribución, externos e integridad) en un solo módulo.
Modelo unificado: el repositorio sirve para carga libre; el índice maestro mantiene documentos controlados ISO. Un archivo, varias vistas.
Marco normativo interno
Políticas del sistema de gestión
Redacción y gobierno de políticas; los archivos y su trazabilidad se administran en Gestión documental.
| Ref | Título | Estado | Versión | Dueño | Revisión |
|---|
Respuesta operativa
Incidentes de seguridad
Incidentes operativos. Las NC / hallazgos de auditoría y CAPA se gestionan en Mejora.
| Ref | Título | Tipo | Severidad | Estado | Dueño |
|---|
Gobierno de decisiones
Aceptaciones de riesgo residual
Flujo formal: borrador → pendiente → aprobado / rechazado · vencimiento y revocación
| Ref | Título | Escenario | Estado | Aprobador | Vence |
|---|
ISO 9001 · Calidad
Sistema de gestión de la calidad
Metrología · proveedores · objetivos · satisfacción · CAPA (ISO 9001). La bandeja NC/CAPA unificada está en Mejora.
ISO 9001 cl. 4.4 · ISO/IEC 27001 cl. 4.3–4.4, 8.1
Mapa de procesos
Procesos del sistema de gestión con entradas y salidas, secuencia e interacción, indicadores, recursos, responsables, riesgos y mejora. Los riesgos de cada proceso salen de los activos que lo soportan.
Bandeja unificada
Mejora continua y acciones correctivas
No conformidades, hallazgos y CAPA con origen trazable a auditoría o operación.
NC y hallazgos abiertos
| Ref | Título | Tipo | Severidad | Estado | Dueño |
|---|
CAPA abiertas
| Ref | Título | Estado | Dueño | Vence |
|---|
ISO/IEC 27001 · Anexo A
Declaración de Aplicabilidad
Checklist de controles: aplicabilidad, justificación y respaldo con actas/evidencias.
| Ref | Control | Aplicabilidad | Justificación | Respaldo |
|---|
Riesgo de terceros · ISO 27001 cl. 5.19–5.22
Riesgo de proveedores
A qué datos accede cada proveedor, qué tan crítico es su servicio, si hay evidencia de su postura (SOC 2) y cuándo toca revisarlo. El nivel se deriva de criticidad × acceso a datos; sin esos dos, queda «sin evaluar».
| Proveedor | Acceso a datos | Nivel | SOC 2 | Próx. revisión | |
|---|---|---|---|---|---|
| Cargando proveedores… | |||||
Cuestionarios de seguridad · ISO 27001 cl. 5.19–5.22
Cuestionarios
Importá la planilla que te mandó un cliente, respondé con lo que la empresa ya dijo y dejá cada respuesta aprobada: lo aprobado es la base de conocimiento de la próxima. También podés mandarle uno a un proveedor por un enlace.
Enlace para el proveedor
Un enlace público, sin sesión. Lo que conteste entra como borrador suyo: aprobarlo sigue siendo tuyo.
Monitoreo continuo · ISO 27001 Anexo A
Monitoreo
Conectores de sólo lectura que miden la configuración real contra lo que pide un control, y dejan el hallazgo con fecha. Lo que no se pudo medir queda sin medir: no cuenta como incumplimiento.
Hallazgos abiertos
Qué controles mide el monitoreo
Cargando conectores…
Gestión CISO · Roadmap y seguimiento
Planificador CISO
Tareas, hitos de certificación, reuniones de revisión por la dirección y recomendaciones de mejora vinculadas a las auditorías en curso.
Cargando planificador…
Comunicación de auditoría
Buzón de solicitudes
Pedidos del auditor al cliente · tiempo de respuesta · checklist de pendientes.
—Abiertas
—Espera cliente
—Espera auditor
—Vencidas
—Acciones pend.
Nueva solicitud al cliente
ISO 27001 · cláusulas 4 a 10
El sistema de gestión de la organización
Cada cláusula es un registro con estado, dueño y fecha de revisión. La identidad de la empresa y sus accesos están abajo, en «La empresa».
La empresa Identidad, ficha y accesos
Completitud del perfil
Datos necesarios para carátulas, alcance, políticas y cuadros de firma.
Calculando…
Estructura y acceso
Defina cómo se organiza el alcance y quién puede trabajar dentro de esta organización.
CRUD de grupos · permisos vía rol de membresía
Centro de Confianza
Enlace público de postura (Trust Center)
Un enlace sin login para que un prospecto o cliente vea tu postura de cumplimiento —marcos en curso, % derivado, SoA aprobada—, sin ver datos de otra empresa. El enlace muestra solo agregados; publicar es deliberado.
Cargando enlaces…
Personal
Registro de personal y controles
Por cada persona del padrón, los controles que se verifican a mano. El estado se registra, no se lee de un proveedor de identidad; un control sin tildar es «sin registrar», no «no cumple».
Cargando personal…
ISO 27001 · cláusulas 4 a 10
El sistema de gestión, registro por registro
Cada cláusula con su estado y su documento. Un registro vacío no emite: el documento es el render del dato, no una plantilla.
Prerequisito
—
Quién puede firmar estos registros
El estado de cada registro sale de su aprobación, y se aprueba eligiendo a una persona de la ficha de la empresa. Quien tiene acceso a la plataforma no está automáticamente acá: se propone y se confirma.
ISO 27001 · 4.1
FODA del SGSI
Las cuestiones internas y externas pertinentes al sistema de gestión. Fortalezas y
debilidades son internas; oportunidades y amenazas, externas.
De acá sale el documento, y la 9.3 b) pide revisarlas en la revisión por la dirección.
—
ISO 27001 · 4.1
—
FODA del SGSI
Las cuestiones internas y externas pertinentes al sistema de gestión. Fortalezas y debilidades son internas; oportunidades y amenazas, externas. De acá sale el documento, y la 9.3 b) pide revisarlas en la revisión por la dirección.
ISO 27001 · 4.2
Partes interesadas y sus requisitos
Una fila por requisito, que es como se lee: qué exige cada
parte, de dónde sale esa exigencia y qué control la sostiene. Una parte sin
ningún requisito está nombrada, no identificada.
—
ISO 27001 · 4.2
—
Partes interesadas y sus requisitos
Una fila por requisito, que es como se lee: qué exige cada parte, de dónde sale esa exigencia y qué control la sostiene. Una parte sin ningún requisito está nombrada, no identificada.
ISO 27001 · 4.3
Alcance del SGSI
Los tres límites —físico, lógico y organizacional—, las interfaces con
terceros y las exclusiones con su justificación. Una
exclusión sin motivo escrito no deja vigente el alcance.
—
ISO 27001 · 4.3
—
Alcance del SGSI
Los tres límites —físico, lógico y organizacional—, las interfaces con terceros y las exclusiones con su justificación. Una exclusión sin motivo escrito no deja vigente el alcance.
Límite físico · sedes e instalaciones
Límite lógico · redes, sistemas y datos
Límite organizacional · unidades, procesos y personas
Interfaces y dependencias con terceros
Exclusiones
ISO 27001 · 5.1
Liderazgo: comité y recursos comprometidos
Cuándo se reunió la dirección y qué recursos aprobó. Lo prometido y no
ejecutado sigue a la vista: es lo primero que un auditor pregunta.
—
ISO 27001 · 5.1
—
Liderazgo: comité y recursos comprometidos
Cuándo se reunió la dirección y qué recursos aprobó. Lo prometido y no ejecutado sigue a la vista: es lo primero que un auditor pregunta.
Actas
Decisiones · cada una con dueño y plazo, o es un comentario
Recursos comprometidos
ISO 27001 · 5.2 d
Comunicación de la política y acuse de lectura
Publicar no es comunicar. El acuse es de una versión: una
revisión nueva no hereda los acuses de la anterior.
ISO 27001 · 5.2 d
Comunicación de la política y acuse de lectura
Publicar no es comunicar. El acuse es de una versión: una revisión nueva no hereda los acuses de la anterior.
ISO 27001 · 5.3
Matriz RACI del SGSI
Quién ejecuta (R), quién rinde cuentas (A),
a quién se consulta (C) y a quién se informa (I). Un solo A por actividad:
con dos, ninguno responde.
—
ISO 27001 · 5.3
—
Matriz RACI del SGSI
Quién ejecuta (R), quién rinde cuentas (A), a quién se consulta (C) y a quién se informa (I). Un solo A por actividad: con dos, ninguno responde.
Actores
Actividades propias · se suman a las 22 de la norma
Actividades del SGSI
Escribe en el formulario; guardar sigue siendo un acto aparte.
ISO 27001 · 6.2
Objetivos de seguridad
Un objetivo sin indicador y sin meta es una
intención: son la S y la M de SMART y sin ellas no hay nada que evaluar en la
revisión por la dirección. El estado sale de las mediciones, no se declara.
—
ISO 27001 · 6.2
—
Objetivos de seguridad
Un objetivo sin indicador y sin meta es una intención: son la S y la M de SMART y sin ellas no hay nada que evaluar en la revisión por la dirección. El estado sale de las mediciones, no se declara.
Registrar una medición
ISO 27001 · 7.2 y 7.3
Competencia y concienciación
Nivel requerido por rol contra nivel real por persona: eso es la matriz de
brechas, y es lo que decide el plan de formación. Una simulación de phishing
informa dos números —quién participó y quién cayó— porque no son lo mismo.
—
ISO 27001 · 7.2 y 7.3
—
Competencia y concienciación
Nivel requerido por rol contra nivel real por persona: eso es la matriz de brechas, y es lo que decide el plan de formación. Una simulación de phishing informa dos números —quién participó y quién cayó— porque no son lo mismo.
Competencia requerida por rol
Personas y su nivel · una fila por competencia
Brechas · lo calcula el servidor contra los requisitos declarados
Concienciación · charlas, cursos y simulaciones
ISO 27001 · 7.4
Matriz de comunicaciones
Qué, a quién, cuándo, cómo y quién comunica. La tabla se escribe en veinte
minutos; lo que la hace útil es que venza: lo mensual que no
se emite hace cuatro meses aparece acá y no en un Word.
—
ISO 27001 · 7.4
—
Matriz de comunicaciones
Qué, a quién, cuándo, cómo y quién comunica. La tabla se escribe en veinte minutos; lo que la hace útil es que venza: lo mensual que no se emite hace cuatro meses aparece acá y no en un Word.
Registrar una emisión
ISO 27001 · 9.3
Revisión por la dirección
Las diez entradas de la 9.3.2 salen de los registros del sistema y se
congelan al abrir el acta: recalcularlas daría un acta que
cambia sola. Lo que la plataforma no puede responder sale «sin dato» y se
aporta en la reunión.
—
ISO 27001 · 9.3
—
Revisión por la dirección
Las diez entradas de la 9.3.2 salen de los registros del sistema y se congelan al abrir el acta: recalcularlas daría un acta que cambia sola. Lo que la plataforma no puede responder sale «sin dato» y se aporta en la reunión.
Acta
ISO 27001 · 10.1 y 10.2
No conformidades, acciones correctivas y mejora
Corrección no es acción correctiva: reponer el backup borrado
es corrección; cambiar quién puede borrarlo es la acción. No se cierra sin
causa raíz enunciada, sin acciones ejecutadas y sin que **otra persona**
verifique la eficacia.
—
ISO 27001 · 10.1 y 10.2
—
No conformidades, acciones correctivas y mejora
Corrección no es acción correctiva: reponer el backup borrado es corrección; cambiar quién puede borrarlo es la acción. No se cierra sin causa raíz enunciada, sin acciones ejecutadas y sin que **otra persona** verifique la eficacia.
Trabajar un expediente
Reportar un incidente o una idea de mejora
Quien reporta no clasifica: si es una no conformidad —y si es mayor— lo determina quien analiza el expediente.
Otros módulos Auditorías, documentos y SoA
Auditorías
—
Evaluaciones, brechas y planes de acción.
Documentos
—
—
Biblioteca, índice maestro y paquetes documentales.
Cobertura SoA
—
Cobertura documental y evidencias aplicables.
Configuración avanzada y zona de peligro
Eliminar organización
Elimina el tenant y todos sus datos relacionados. Esta acción no se puede deshacer.
Control de acceso
Usuarios, roles y permisos
Asigná rol y acceso por organización. Cambiá la organización activa en el selector del menú y creá/editá el usuario ahí.
Organización activa
—
Cliente, CISO y Auditor solo ven las organizaciones donde tienen membresía; el sistema no les revela el resto del catálogo. Solo el Administrador (o superadmin) ve todas.
Para dar acceso a un usuario existente en otra organización: cambiá la organización activa y creálo de nuevo con el mismo correo. Se agrega la membresía sin modificar su contraseña.
Continuidad
Respaldo de la organización
Exportá o restaurá el estado GRC de la organización activa (auditorías, riesgos, controles, índice documental, etc.). Los archivos binarios en MinIO no van en el ZIP v1.
Ningún archivo seleccionado.
Padrón de usuarios
Todas las personas y las empresas a las que accede cada una. Las altas y las asignaciones las hace el admin de plataforma.
| Usuario | Empresas | Estado | Tipo | |
|---|---|---|---|---|
| Cargando usuarios… | ||||
Tests automatizados
Motor de pruebas continuas vinculadas a conectores y controles.
Accesos
Gestión de identidades, roles y revisiones periódicas de acceso.
Vulnerabilidades
Registro, clasificación y seguimiento de vulnerabilidades y parches.
Aceptación de políticas
Seguimiento de la aceptación de políticas por parte de empleados y terceros.
Trust Center
Portal público de confianza: estado de cumplimiento, certificaciones y documentos compartidos.
Pista de auditoría
Registro cronológico e inmutable de todas las acciones y cambios en la plataforma.
Frameworks personalizados
Creación y gestión de marcos de cumplimiento propios o sectoriales.
Scoping
Reglas de alcance: qué controles aplican según contexto, activos y frameworks seleccionados.
Salud de controles
Vista consolidada de la eficacia, cobertura y estado operativo de cada control.
SSO / SAML
Configuración de inicio de sesión único, federación SAML y proveedores de identidad.
Cumplimiento por persona
Score de cumplimiento individual: políticas, capacitación, MFA y dispositivos.
Admin de plataforma
Empresas registradas
Elegí una empresa para trabajar sobre sus datos.
Cada empresa se lee sola: no hay un promedio entre ellas, porque promediar organizaciones que están en etapas distintas se ve bien sobre trabajo que nadie hizo. Un «—» es un dato que todavía no se puede medir, no un cero.