Está frenando un negocio.
SOC 2, HIPAA o PCI apareció en el checklist de compras de alguien más y tu negocio está esperando detrás. Un diagnóstico de brechas, un plan de remediación, y la evidencia que un auditor va a pedir.
- Tarifa fija, no story points
- Diagnóstico de brechas primero
- Evidencia que un auditor acepta
El problema
El trabajo de cumplimiento casi siempre empieza como una emergencia de ventas. Un cliente grande manda un cuestionario de seguridad. La respuesta a nueve preguntas es no. Un negocio firmado ahora espera por algo que nadie tiene a cargo.
La reacción de pánico es comprar una plataforma de cumplimiento. Produce un tablero de ítems en rojo, que sirve de verdad, y ahí se detiene. Un tablero no puede hacer los cambios. Cerrar las brechas es trabajo de ingeniería, y esa es la parte que toma meses.
Nosotros hacemos la mitad de ingeniería. También te decimos cuáles controles reducen riesgo real y cuáles existen porque el marco los pide.
- Diagnóstico contra el marco real, no contra un checklist genérico
- Remediación definida y secuenciada por lo que bloquea primero la auditoría
- Evidencia recogida mientras pasa el trabajo, no reconstruida después
Qué cubre esto
Diagnóstico de brechas
Cada control evaluado contra tus sistemas reales, marcando como cumplidos los que ya cumples en vez de volver a venderlos.
Remediación técnica
Control de accesos, cifrado, registro, respaldo y recuperación llevados al estándar que el marco exige.
Políticas que coinciden con la realidad
Escritas para describir lo que tu equipo de verdad hace, porque una política que nadie sigue falla la auditoría más caro que una ausente.
Evidencia y acompañamiento
Los artefactos que un auditor pide, recogidos en su lugar, más acompañamiento durante la auditoría misma.
Por qué esto no se cotiza en puntos
El trabajo de gobierno, riesgo y cumplimiento nunca se cotiza en story points. Un punto es una unidad de software entregado. El entregable aquí es una opinión: si tus controles cumplen un estándar.
Dimensionar una opinión en puntos sería un error de categoría. También nos premiaría por encontrar más trabajo. Así que esto es tarifa fija o retainer, cotizado después del diagnóstico. El software que haya que construir para cerrar una brecha se estima en puntos como siempre, y sale de tu carril existente.
Qué sigue un auditor en realidad
- Control
- La prueba que lo ejercita
- El artefacto que deja
- Atestación
Cuánto cuesta
El diagnóstico de brechas es tarifa fija. Lo cotizamos desde el marco y el número de sistemas en alcance. Produce la estimación de remediación, y esa estimación es un compromiso y no un rango.
La mayoría de clientes necesita el diagnóstico antes de poder presupuestar algo. Por eso mismo se vende solo.
- Diagnóstico de brechas: tarifa fija, cotizada por adelantado
- Remediación: tarifa fija o retainer, cotizada desde el diagnóstico
- El software para cerrar una brecha se estima en puntos, desde tu carril
- SOC 2, HIPAA, PCI DSS, ISO 27001 y GDPR
Tráenos el backlog.
En 30 minutos te mostramos qué entregaría primero un Pod y cómo lo cotizaríamos.