Transformamos el riesgo en una ventaja competitiva.
Risknet | Gobernanza, Riesgo, Cumplimiento y Ciberseguridad alineados a tu negocio. Consultoría especializada bajo ISO/IEC 27001:2022 y NIST CSF 2.0 impulsada por plataforma tecnológica continua.
Internal Auditor & Lead Implementer acreditado formalmente con validez continua.
SELLO ACTIVO2026-Q1
NIST CSF 2.0 FrameworkTIER 4 ADAPTIVE
Implementación táctica de resiliencia cibernética corporativa y gobierno transversal.
VALIDADO NISTLEVEL: EXP
AUDITORÍAS SUPERADAS100%Tasa de éxito perfecta en certificaciones formales de 3ra parte.
CONTROLES AUTOMATIZADOS+450Verificación constante en nubes AWS, Azure, GCP y On-premise.
BRECHAS NO MITIGADAS$0Cero incidentes críticos no contenidos en entidades gestionadas.
UPTIME DE CUMPLIMIENTO99.9%Disponibilidad ininterrumpida de evidencias y telemetría de riesgo.
DIFERENCIADORES ARQUITECTÓNICOS
¿Por qué la alta dirección elige a Risknet?
Unimos la precisión de auditoría formal con ingeniería de software moderna para desmantelar la burocracia de cumplimiento y elevar la protección tangible.
PILLAR // 01
Auditores Certificados y Acreditados
Especialistas con credenciales internacionales líderes (CISA, CISM, CISSP, ISO Lead Auditor) y experiencia en auditoría formal de tercera parte y evaluación exhaustiva de brechas técnicas.
✓Enfoque pragmático sin ambigüedades documentales.
✓Defensa directa ante comités de certificación y reguladores.
✓Revisión de arquitectura zero trust y cloud native.
AUDITOR CREDENTIALED100% SENIOR LEAD
PILLAR // 02 [RECOMMENDED]
Modelo vGRC + Automatización Continua
Servicio gestionado con plataforma tecnológica propietaria que elimina las hojas de cálculo estáticas, genera evidencias auditables automatizadas y despliega tableros C-Level en tiempo real.
✓Recolección de evidencia continua vía APIs de infraestructura.
✓Métricas de apetito de riesgo y telemetría ejecutiva.
✓CISO-as-a-Service integrado para dirección estratégica.
CONTINUOUS VGRCAUTOMATED EVIDENCE
PILLAR // 03
Cultura y Blindaje del Factor Humano
Programas de concientización conductual continua, simulacros de phishing sofisticados de última generación y entrenamiento táctico ante ingeniería social dirigido a áreas de alto riesgo financiero y directivo.
✓Simulacros contextualizados a la industria y perfiles VIP.
✓Micro-cápsulas gamificadas con métricas de comportamiento.
✓Transformación del colaborador en un sensor de ciberseguridad.
HUMAN FIREWALL<0.5% CLICK RATE
CATÁLOGO DE SERVICIOS ESPECIALIZADOS
Soluciones de Ciberresiliencia y Cumplimiento
Diseñadas modularmente para acompañar a tu empresa desde el diagnóstico de brechas hasta la automatización total del sistema de gestión.
MOD.01
Consultoría en GRC & SGSI
Diseño, implementación y afinación integral de Sistemas de Gestión de Seguridad de la Información alineados a ISO/IEC 27001:2022 y al nuevo NIST CSF 2.0.
ISO 27001NIST 2.0SOC 2 TYPE II
EXPLORAR SERVICIO›
MOD.02
Virtual GRC (vGRC) & Cloud
Acompañamiento continuo bajo modalidad de servicio gestionado. Acceso a plataforma cloud propietaria para recolección automatizada de evidencia y tableros en vivo.
CISO as a ServiceCloud GRCContinuous Audit
CONOCER PLATAFORMA›
MOD.03
Auditoría & Pre-certificación
Auditorías internas rigurosas, simulacros de certificación y análisis de brechas (Gap Analysis) que garantizan cero no-conformidades mayores ante entes evaluadores.
Gap AnalysisAuditoría Fase 1 & 2Mitigación
METODOLOGÍA DE AUDITORÍA›
MOD.04
Formación & Simulación
Campañas avanzadas de phishing controlado, simulación de ataques de ransomware, y programas formativos ejecutivos para blindar el eslabón humano de la organización.
Phishing SimExecutive SecTabletop
VER PROGRAMA DE CULTURA›
DIAGNÓSTICO EJECUTIVO DE CIBERRESILIENCIA
Lleva tu Cumplimiento al Siguiente Nivel.
Descubre en una sesión confidencial de 45 minutos con nuestros auditores principales el estado real de tu SGSI, brechas críticas frente a ISO 27001:2022 y la ruta para automatizar tu gestión con el modelo vGRC.
🔒 Acuerdo de Confidencialidad (NDA) firmado previo✓ Sin costo ni compromiso comercial
Servicios Especializados en GRC y Ciberseguridad Defensiva
Soluciones de consultoría estratégica y servicios gestionados vGRC para organizaciones que requieren rigor normativo, resiliencia operativa y protección de activos digitales críticos.
TIEMPO MEDIO A CERTIFICACIÓN4.2 Meses-45% vs Consultoría Tradicional
RECOLECCIÓN DE EVIDENCIA87% AutoConectores Cloud Nativos
REDUCCIÓN TASA PHISHING< 2.8%Post 90-días de simulación
MÓDULOS OPERACIONALES
Arquitectura de Capacidades
Estructura modular orientada a mitigar vectores de amenaza, validar cumplimiento continuo y transferir soberanía técnica al equipo interno.
MOD.01 // SGSI & NIST CSF
Consultoría en GRC & Seguridad de la Información
Diseño e Implementación de Sistemas de Gestión de Seguridad de la Información (SGSI). Análisis de Brechas (Gap Analysis), Gestión de Riesgos bajo ISO 31000 y alineación estricta al marco NIST CSF 2.0.
ALINEACIÓN NIST CSF 2.0 (COBERTURA ACTIVA)
GV
ID
PR
DE
RS
RC
ENTREGABLES DE INGENIERÍA:
✓Matriz integral de riesgos
✓Catálogo de políticas corporativas
✓Plan de tratamiento de riesgos
✓Mapa de madurez cibernética
STATUS: DISPONIBLE PARA AUDITORÍAS Q1/Q2
MOD.02 // CONTINUOUS ASSURANCE
vGRC (Virtual GRC) & Plataforma Cloud
Oficial de Seguridad y Cumplimiento como Servicio (vCISO / vGRC). Monitoreo continuo de controles técnicos y organizacionales, recolección automatizada de evidencias en la nube y tableros ejecutivos en tiempo real.
Auditorías de primera y segunda parte realizadas por auditores internos acreditados. Evaluación rigurosa de los 93 controles del Anexo A (Organizacionales, Personas, Físicos, Tecnológicos) y cláusulas normativas 4 a 10.
ANEXO A 2022 (93 CONTROLES REORGANIZADOS)
37Org.
8Personas
14Físicos
34Tecnol.
ENTREGABLES DE INGENIERÍA:
✓Informe formal de auditoría interna
✓Categorización de NC (Mayor/Menor)
✓Matriz de hallazgos y evidencias
✓Planes de acción correctiva pre-cert
EQUIPO AUDITOR: LEAD AUDITOR CERTIFIED
MOD.04 // HUMAN RESILIENCE
Formación y Simulación en Ciberseguridad
Blindaje del factor humano frente a vectores de ataque modernos. Campañas continuas de concientización, simulaciones controladas de spear phishing, vishing y ransomware, y ejercicios de mesa (tabletop exercises) para comités de crisis.
SIMULACIONES ACTIVASCAMPAÑAS AUTOMÁTICAS
Phishing Personalizado
Vishing Voz Sintética
Tabletop Comité Crisis
ENTREGABLES DE INGENIERÍA:
✓Métricas de susceptibilidad del personal
✓Plan de capacitación segmentado por rol
✓Protocolos de respuesta a incidentes validados
✓Reporte de resiliencia cultural para Directorio
ADIESTRAMIENTO: SOC/NOC TEAM CURATED
ARQUITECTURA DE RESILIENCIA OPERATIVA
Transición fluida desde la Auditoría Aislada hacia el Cumplimiento Continuo.
Elimine el pánico previo a las auditorías anuales. Con nuestra plataforma e integración vGRC, el 90% de sus controles permanecen validados permanentemente mediante telemetría conectada a su stack tecnológico y flujos operativos reales.
[CHECK] ISO 27001:2022 A.8.20 Network SecurityAUTOMATED_VERIFIED
[CHECK] Cloud Module IAM Multi-Factor AWS/AZ100% VALIDATED
[CHECK] CP2510 Compliance Direction TrackingMONITORED_OK
ℹConsola Ejecutiva para Junta Directiva: Transforma hallazgos técnicos en exposición económica cuantificada (FAIR).
ANÁLISIS COMPARATIVO DE VALOR
Consultoría Tradicional vs. Enfoque Risknet vGRC + Tecnología
Por qué las metodologías estáticas basadas en carpetas y hojas de cálculo aumentan el riesgo en lugar de reducirlo.
DIMENSIÓN ESTRATÉGICA
CONSULTORÍA TRADICIONAL
🛡 ENFOQUE RISKNET vGRC + TECNOLOGÍA
RECOLECCIÓN DE EVIDENCIA
Manual, intensiva en horas/hombre, basada en screenshots dispersos y hojas de cálculo desactualizadas al día siguiente.
✓ Automatizada vía API continua con AWS, Azure, Google Workspace, GitHub y herramientas de identidad (85%+ ahorro de tiempo).
FRECUENCIA DE EVALUACIÓN
Fotografía estática anual ("Spot-check"). El estado de seguridad se desconoce entre una auditoría y la siguiente.
✓ Evaluación en tiempo real 24/7/365. Alertas inmediatas cuando un control técnico o administrativo cae fuera de cumplimiento.
ROL DEL CISO Y LIDERAZGO
Consultores temporales que entregan documentación voluminosa y se retiran antes del mantenimiento operativo.
✓ vCISO institucional continuo con SLA de respuesta, participación en Comités de Riesgo y representación técnica ante clientes y auditores.
FACTOR HUMANO Y AMENAZAS
Charlas teóricas anuales o presentaciones en diapositivas pasivas con nula correlación práctica de riesgo.
✓ Simulación continua de ingeniería social, spear phishing adaptativo, vishing y ejercicios tabletop interactivos para ejecutivos.
VISIBILIDAD PARA EL BOARD
Informes técnicos crípticos de 120 páginas en PDF que no cuantifican el riesgo comercial ni la exposición financiera.
✓ Tableros interactivos con KPIs/KRIs ejecutivos, cuantificación económica del riesgo y visibilidad directa para comités de auditoría.
MÓDULOS DE CONTROL:
● TECNOLOGÍA & AGILIDAD OPERATIVA
Centralización, Automatización y Control Continuo de Riesgos
Elimina las hojas de cálculo dispersas. Nuestra plataforma tecnológica unifica la gestión de riesgos, el mapeo de normativas internacionales y la recolección de evidencias en tiempo real con tableros diseñados para la C-Suite.
🛡 SOC2 TYPE II READY·🔒 EAL 4+ ENCLAVE
GRC
MÉTRICA 01 // AUDITORÍA
-70%Tiempo de Preparación
Reducción drástica del esfuerzo operativo manual en auditorías externas mediante orquestadores automáticos.
MÉTRICA 02 // EVIDENCIA
100%Trazabilidad Histórica
Hash criptográfico inmutable y registros fechados para cada prueba de control ingestada desde entornos multinube.
MÉTRICA 03 // GOBERNANZA
360°Visión Holística
Correlación inmediata entre impacto financiero, cumplimiento normativo y amenazas técnicas activas en una vista única.
FLUJO DE VALOR TÉCNICO
Ingeniería de Cumplimiento en 4 Fases
PIPELINE STATUS: SYS_AUTO_SYNC_ACTIVE
FASE 01
Diagnóstico y Mapeo Inicial
Ingesta de activos críticos, evaluación de amenazas y asignación automatizada de controles base ISO 27001 y NIST CSF 2.0.
AUTOMATION: 85%→
FASE 02
Automatización de Evidencias
Conectores a entornos cloud (AWS, Azure, Google Cloud, M365) para verificar configuraciones y recolectar pruebas criptográficas sin fricción humana.
AUTOMATION: 99%→
FASE 03
Control y Monitoreo Continuo
Detección proactiva de desvíos en controles, alertas tempranas de riesgo residual y reevaluación periódica de vulnerabilidades.
REALTIME FEED→
FASE 04
Reporte C-Level y Auditoría 1-Click
Generación instantánea de informes ejecutivos de cumplimiento, estado del SGSI para Junta Directiva y expedientes listos para auditores externos.
OUTPUT: 1-CLICK→
DETALLE FASE 01 // CATÁLOGO CRÍTICOMapeo de Dominios Normativos CruzadosOrquestación cruzada de requerimientos de seguridad entre ISO/IEC 27001:2022, NIST CSF v2.0 y regulaciones sectoriales locales.
LIVE CONSOLE PREVIEW
Tablero Operativo C-Suite & Riesgos
VELOCÍMETRO CUMPLIMIENTO
98.4%GLOBAL
↗ +2.1% este mes
ESTADO DE CONTROLES
Efectivos (Verificados)242
En Mitigación28
Desviación Crítica3
TOTAL: 273 CONTROLES EVALUADOS
ÍNDICE EXPOSICIÓN RESIDUAL
Bajo (1.2 / 5.0)
Riesgo dentro del apetito corporativo aprobado por el Comité.
COBERTURA SEGURO CIBERACTIVO
CONECTORES NUBE ACTIVOS
AWS (Prod)
Azure EU
M365 Gov
GCP Core
● Sincronizado hace 4 min
MATRIZ 5X5 // ANÁLISIS PROBABILIDAD VS IMPACTOMapa de Calor: Riesgo Residual
Crítico Aceptable
0
1
2
1
1
0
3
4
1
0
1
6
8
2
0
4
12
5
1
0
18
9
2
0
0
PROBABILIDAD: BAJA → CRÍTICAEJE VERTICAL: IMPACTO
REGISTRO DE INCIDENTES ACTIVOS
2 PENDIENTES
INC-8921 // S3 MisconfigHace 12m
Permisos públicos detectados en bucket de logs de transacciones bancarias.
INC-8919 // MFA DriftHace 2h
3 cuentas privilegiadas sin enrolamiento FIDO2 obligatorio en Azure AD.
ASIGNACIONES DE EQUIPO14 TOTAL
● Revisión Anual SGSI 9.3Lead CISO
● Prueba de Penetración APISecOps
● Renovación Certificado SSLCloud Eng
ARQUITECTURA DE INTEGRACIÓN
Conexión Agnóstica sin Agentes Invasivos
Nuestros conectores utilizan permisos de sólo lectura mediante APIs nativas de proveedores de nube y herramientas SaaS, garantizando que ninguna información clasificada abandone el perímetro corporativo.
[OK] Compliance proof stamped into immutable ledger.
ESTÁNDAR PARA LA JUNTA DIRECTIVA
De Jerga Técnica a Decisión de Negocio
La plataforma traduce instantáneamente el estado de controles de infraestructura a exposición en capital y riesgo reputacional, permitiendo al CISO defender inversiones con rigor cuantitativo frente al Comité de Auditoría.
📋
Auditoría 1-Click CertificadaExpedientes empaquetados bajo plantillas de Big Four y entidades de certificación.
MOTOR GRC & ACREDITACIONES OFICIALES
Anatomía NIST CSF 2.0 & Ciclo de 5 Pasos
Armonización total entre el estándar prescriptivo ISO/IEC 27001:2022 y el marco de resultados NIST CSF 2.0, orquestados desde la función central transversal Gobernar (GV).
EJE CENTRAL TRANSVERSALNIST CSF 2.0
GOBERNAR (GV)
Establece y comunica la estrategia corporativa, expectativas de apetito de riesgo y supervisión para toda la organización y su cadena de suministros.
GV.OC Contexto Org.
GV.RM Estrategia Riesgo
GV.RR Roles & Aut.
GV.PO Políticas GRC
GV.OV Supervisión
GV.SC Cadena Suministro
OrquestaOperación
IDFUNCIÓN 02
IDENTIFICAR
Inventario de activos, vulnerabilidades, proveedores y flujos de datos.
PRFUNCIÓN 03
PROTEGER
Control de acceso, conciencia humana, seguridad de red y resiliencia de datos.
DEFUNCIÓN 04
DETECTAR
Monitoreo continuo de telemetría, anomalías y eventos adversos.
RSFUNCIÓN 05
RESPONDER
Planes de respuesta a incidentes, contención, comunicación y análisis forense.
RCFUNCIÓN 06
RECUPERAR
Restauración de capacidades de negocio, planes de continuidad (BCP/DRP) y lecciones aprendidas.
METODOLOGÍA DE DESPLIEGUE
Ciclo de Implementación de 5 Pasos
Seleccione cada paso para inspeccionar actividades
PERSPECTIVA TÉCNICA & ANÁLISIS ESTRATÉGICO
Artículos & Recursos Técnicos
Análisis riguroso escrito por auditores líderes para CISOs, Oficiales de Cumplimiento y Directores de Tecnología.
NIST CSF 2.0·Lectura: 6 min
De la Teoría a la Operación: Cómo implementar la nueva función Gobernar en NIST CSF 2.0
El NIST CSF 2.0 introduce "Gobernar" (GV) como el eje transversal definitivo. Analizamos sus 6 categorías (desde Contexto hasta Cadena de Suministro) y explicamos cómo vincular las decisiones de ciberseguridad directamente con la tolerancia al riesgo de la Junta Directiva.
Octubre 2026
vGRC & Terceros·Lectura: 5 min
vGRC: La solución costo-eficiente frente a los riesgos de la cadena de suministro
Más del 60% de las brechas corporativas se originan a través de proveedores externos. Descubra cómo la combinación de consultoría delegada y plataformas de recolección continua reduce drásticamente el costo operativo de auditar a terceros sin sobrecargar al equipo interno.
Septiembre 2026
ISO/IEC 27001:2022·Lectura: 7 min
Superando la Auditoría de Certificación ISO/IEC 27001:2022: Errores comunes en el Anexo A
La transición a la versión 2022 reestructuró el Anexo A en 93 controles y 4 categorías, agregando 11 nuevos controles (como Inteligencia de Amenazas y Seguridad en Nube). Examinamos los errores más frecuentes que provocan no conformidades en auditorías externas.
Inicia tu Blindaje Corporativo y Cumplimiento Estratégico
Agenda una sesión de diagnóstico inicial sin costo con nuestros especialistas o comunícate directamente con nuestras sedes de atención en Estados Unidos y Colombia.
Agendamiento de Diagnóstico Técnico
Sesión ejecutiva de 45 minutos con arquitectos certificados de seguridad y vCISO.
FORM_ID: RISK-DIAG-2026
✓
¡Solicitud de Diagnóstico y NDA Registrados!
Hemos registrado su requerimiento. Su Acuerdo de Confidencialidad Preliminar (NDA Bilateral) ha sido formalizado y firmado digitalmente por Risknet Consulting LLC para proteger toda la información compartida durante la sesión.
CÓDIGO DE AGENDA:RISK-DIAG-2026-8812
ESTADO DEL NDA:VIGENTE Y FIRMADO DIGITALMENTE
REGISTRO SEGURO & NOTIFICACIÓN OFICIAL
PROCESADO
[·] Estado de Registro: Asentado en base de auditoría Risknet Enclave
[·] Despacho Oficial: Verificando envío de confirmación...
Garantía de estricta confidencialidad bajo Acuerdo de No Divulgación (NDA) previo a cualquier intercambio de información técnica o arquitectural.
RISKNET OFFICIAL PGP FINGERPRINT0x4F8A 9E21 773B CC42
Para notificación de incidentes activos o peritaje forense de emergencia, utiliza el canal telefónico directo con clave de autorización corporativa o el canal cifrado a aurbina@risknet.us.
GLOBAL DISPATCH REACHLATENCY: 18ms
ALBUQUERQUE HQ - LAT 35.0844° NMEDELLÍN HUB - LAT 6.2442° N
PROTOCOLO DE ATENCIÓN DIRECTA
¿Qué esperar de tu sesión de diagnóstico?
01
Evaluación de Postura
Revisión preliminar de tu mapa de riesgos, madurez frente a ISO 27001 o NIST y brechas de cumplimiento prioritarias.
02
Roadmap de Mitigación
Definición de etapas de remediación técnica y administrativa optimizadas según tu sector y capacidad operativa.
03
Dictamen Ejecutivo
Entrega de un memorando ejecutivo apto para socializar ante Junta Directiva o Comités de Auditoría y Riesgos.
/MARCO LEGAL & GOBIERNO/AVISO DE PRIVACIDAD
GDPR · CCPA · LEY 1581 (COL)
ID NORMATIVO: POL-PRIV-2026-V3.2
ÚLTIMA REVISIÓN TÉCNICA: ENERO 2026 // VIGENTE
Aviso de Privacidad & Protección de Datos Personales
Política de Tratamiento y Custodia de Datos de Risknet RegTech Enable Service (Operado por Weltcomm LLC). Diseñada bajo los estándares de privacidad por diseño y por defecto de la norma ISO/IEC 27701 y la legislación binacional en Estados Unidos y la República de Colombia.
01. Identidad y Domicilio del Responsable del Tratamiento
El responsable del tratamiento de los datos personales y corporativos recopilados a través de esta plataforma es Risknet RegTech Enable Service, unidad de servicios tecnológicos operada por Weltcomm LLC, sociedad legalmente constituida en los Estados Unidos de América, con domicilio principal en:
Sede Principal: 2105 Vista Oeste Northwest, Suite E-1140, Albuquerque, NM 87120, EE. UU.
Hub Operativo LATAM: Medellín, Antioquia, República de Colombia.
Para cualquier requerimiento, ejercicio de derechos o verificación de tratamiento, las comunicaciones oficiales se canalizan a través del Oficial de Seguridad de la Información en el correo corporativo indicado.
02. Principios Rectores del Tratamiento
De conformidad con las mejores prácticas globales y la norma ISO/IEC 27701 (Privacy Information Management System), el tratamiento se rige por:
Principio de Licitud, Lealtad y Transparencia: Los datos se tratan únicamente con previa base legal informada al titular.
Principio de Limitación de la Finalidad: Los datos recopilados no son utilizados para fines distintos a los diagnósticos técnicos, auditorías y servicios vGRC acordados.
Principio de Minimización de Datos: Solo se solicita la información estrictamente necesaria para validar el perímetro de seguridad corporativo. No se capturan datos de tarjetas de crédito ni información bancaria transaccional en este sitio.
Principio de Integridad y Confidencialidad: Todo dato transmitido se encuentra amparado bajo controles criptográficos de última generación (AES-256 en reposo, TLS 1.3 en tránsito y encriptación PGP para canales de emergencia).
03. Categorías de Datos Recopilados
En el desarrollo de las interacciones en la plataforma se recopilan exclusivamente las siguientes categorías:
A. Datos de Identificación y Contacto Corporativo
Nombre completo, correo electrónico corporativo (se excluyen intencionalmente dominios públicos gratuitos), teléfono o WhatsApp directo, cargo y nombre de la organización solicitante.
B. Parámetros Técnicos y de Cumplimiento
Rango de colaboradores, estándar de interés (ISO 27001, NIST CSF 2.0, vGRC), descripción del desafío de seguridad y telemetría de navegación técnica con fines estrictos de prevención de ataques DDoS.
04. Finalidades Específicas del Tratamiento
Formalización inmediata del Acuerdo Bilateral de Confidencialidad (Mutual NDA) para la protección jurídica recíproca previa a la sesión técnica.
Coordinación y despacho de sesiones de diagnóstico inicial de madurez en ciberseguridad.
Validación y autenticación de la legitimidad corporativa del remitente para prevenir incidentes de ingeniería social o fraude.
Envío de análisis de brechas (Gap Analysis), planes de acción (POA&M) y dictámenes solicitados explícitamente por el titular.
05. Derechos de los Titulares (ARCO & GDPR)
Los titulares de datos personales gozan de los derechos reconocidos en el GDPR, la CCPA y la Ley 1581 de 2012 de Colombia:
ACCESO & CONOCIMIENTOConocer qué datos se encuentran bajo custodia.
RECTIFICACIÓN & ACTUALIZACIÓNCorregir datos inexactos o incompletos.
SUPRESIÓN & REVOCATORIASolicitar eliminación conforme al Control A.8.10 ISO 27001.
Para ejercer cualquiera de estos derechos, basta remitir una solicitud firmada electrónicamente al buzón del CISO: aurbina@risknet.us con el asunto DERECHOS-DATOS-[ORGANIZACION]. Las solicitudes se tramitan en un plazo máximo de cinco (5) días hábiles.
¿Dudas sobre esta política? Contacta a nuestro Oficial de Seguridad.
/MARCO LEGAL & GOBIERNO/POLÍTICA DE SEGURIDAD
ISO/IEC 27001:2022 · NIST CSF 2.0
CONTROL SGSI: SEC-POL-SGSI-2026-V4.1
● ACREDITACIÓN: AUDITOR INTERNO CERTIFICADO
Política Integral de Seguridad de la Información & Ciberdefensa
Postura de ciberdefensa, controles operacionales y salvaguardas tecnológicas aplicadas por Risknet RegTech Enable Service para garantizar la triada CIA (Confidencialidad, Integridad y Disponibilidad) y la resiliencia en infraestructuras críticas.
01. Propósito y Alcance del SGSI
Esta política establece las directrices mandatarias de seguridad que gobiernan todos los sistemas, enclaves virtuales, operaciones consultivas y procesos de servicio vGRC provistos por Risknet. Su observancia es de estricto cumplimiento para todos los ingenieros de seguridad, auditores líderes y personal técnico vinculado a Weltcomm LLC.
CONFIDENCIALIDADGarantizada por cifrado de extremo a extremo, enclaves blindados y acuerdos NDA previos a cualquier revelación.
INTEGRIDADAsegurada mediante sellos de hash criptográfico SHA-256 e inmutabilidad de los registros de auditoría.
DISPONIBILIDADSoportada en arquitectura redundante multinube distribuida entre Albuquerque y Medellín con SLA continuo.
02. Alineación Operativa NIST CSF 2.0
Nuestra arquitectura operativa trasciende los esquemas estáticos para operar bajo las seis funciones continuas de NIST CSF 2.0:
[GV] GOBERNAR:Eje transversal donde la alta dirección y el CISO definen apetito de riesgo, políticas formales y monitoreo contractual estricto sobre terceros (GV.SC).
[ID] IDENTIFICAR:Inventario exhaustivo de activos de información, diagramas de arquitectura cloud y modelado de amenazas específicas por industria.
[PR] PROTEGER:Políticas de Zero Trust, autenticación multifactor física (FIDO2/WebAuthn), gestión estricta de parches y bastionado (hardening).
[DE] DETECTAR:Telemetría continua, detección de anomalías de red y correlación de eventos en tiempo real con monitoreo SOC 24/7.
[RS] RESPONDER:Planes de contingencia activables en menos de 15 minutos ante incidentes P1, contención perimetral y preservación forense de evidencia.
[RC] RECUPERAR:Respaldos inmutables en frío y en caliente con pruebas periódicas de restauración y métricas rigurosas de RPO y RTO.
03. Controles Críticos del Anexo A (ISO/IEC 27001:2022)
Risknet implementa internamente y valida en sus clientes los controles clave de la norma ISO/IEC 27001:2022:
A.5.7 Inteligencia de Amenazas
Ingesta de feeds de ciberinteligencia en tiempo real para anticipar vectores emergentes de ataque y campañas dirigidas.
A.5.23 Seguridad en Servicios Cloud
Políticas de postura de seguridad CSPM (Cloud Security Posture Management) sobre nubes AWS, Azure y Google Cloud.
A.8.9 Gestión de Configuración
Líneas base de configuración segura (CIS Benchmarks) aplicadas a todos los servidores y contenedores del enclave.
A.8.24 Uso de Criptografía
Uso de suites criptográficas aprobadas por NIST (AES-GCM 256, RSA 4096, ECC P-384) y custodia formal de material de claves.
04. Política de Divulgación Responsable de Vulnerabilidades (VDP)
Risknet respalda la investigación ética de seguridad. Si ha identificado una potencial vulnerabilidad en nuestros enclaves o servicios:
1. Notifique de inmediato al equipo CISO a través del Buzón Seguro CISO o mediante correo cifrado con nuestra clave PGP a aurbina@risknet.us.
2. Incluya una descripción técnica detallada, pasos reproducibles y prueba de concepto (PoC).
3. Otorgue un plazo de remediación prudencial antes de cualquier divulgación pública. Nos comprometemos a acusar recibo en menos de 24 horas y emitir un reporte de evaluación técnica formal.
Oficial Responsable: Alejandro Urbina (CISO & Lead Auditor ISO 27001)
/MARCO LEGAL & GOBIERNO/TÉRMINOS DE SERVICIO
ESIGN ACT · LEY 527 (COL)
CONTRATO MARCO: TOS-REGTECH-2026-V2.8
JURISDICCIÓN: NEW MEXICO, USA // COLOMBIA
Términos y Condiciones del Servicio RegTech & Consultoría vGRC
Condiciones que regulan el acceso a la plataforma tecnológica, las sesiones de diagnóstico de ciberseguridad, la formalización de acuerdos de confidencialidad y la contratación de servicios profesionales gestionados de Risknet RegTech Enable Service (Weltcomm LLC).
01. Aceptación de los Términos y Partes
Al acceder, navegar o utilizar este sitio web, solicitar un diagnóstico técnico o contratar cualquiera de los servicios profesionales de Risknet, el usuario y la entidad corporativa a la que representa aceptan de forma plena y sin reservas los presentes Términos y Condiciones.
El servicio es prestado por Weltcomm LLC, sociedad domiciliada en Albuquerque, Nuevo México, Estados Unidos, actuando comercialmente a través de su unidad de soluciones Risknet RegTech Enable Service y su red operativa en Medellín, Colombia.
02. Diagnóstico Técnico Inicial y NDA Bilateral Automático
Risknet pone a disposición de directores de tecnología, CISOs y directivos corporativos una sesión de Diagnóstico Técnico Inicial sin costo. La solicitud de dicho servicio implica:
La suscripción electrónica automática de un Acuerdo Bilateral de Confidencialidad y No Divulgación (Mutual NDA) con validez jurídica por tres (3) años.
La asignación de un código de registro criptográfico (Folio de Seguridad) que autentica la transacción y fecha la solicitud.
La garantía de que ninguna información técnica, arquitectural o de vulnerabilidad revelada será divulgada a terceros o utilizada fuera del alcance consultivo.
El usuario puede descargar inmediatamente la copia formal del acuerdo o inspeccionarla en pantalla desde el visor contractual de la plataforma.
03. Propiedad Intelectual y Metodologías
Todos los derechos de propiedad intelectual, marcas, logotipos, monigramas, código fuente de la plataforma, metodologías de convergencia ISO-NIST, matrices de análisis de brechas y plantillas operacionales son propiedad exclusiva de Weltcomm LLC.
Propiedad del Cliente:El cliente retiene en todo momento la titularidad exclusiva y absoluta sobre todos sus datos, topologías de red internas, diagramas propietarios, configuraciones y los reportes finales de auditoría emitidos como entregables contractuales.
04. Declaraciones y Obligaciones del Usuario
El usuario declara y garantiza que:
Posee las facultades y autorizaciones corporativas suficientes para solicitar evaluaciones sobre los activos y sistemas indicados.
No utilizará las herramientas, buzones seguros o diagnósticos para fines ilícitos, sondeos no autorizados sobre redes de terceros o ingeniería inversa maliciosa.
Suministrará información verídica y verificable en los formularios de agendamiento.
05. Límite de Responsabilidad y Debida Diligencia
Risknet ejecuta sus diagnósticos y consultorías con el más alto nivel de debida diligencia profesional, conforme a las metodologías reconocidas internacionalmente (ISO 27001 y NIST CSF 2.0).
Dado que la ciberseguridad es una disciplina dinámica y evolutiva sujeta a amenazas sofisticadas (APTs, vulnerabilidades de día cero y fallas humanas ajenas al control consultivo), los diagnósticos iniciales constituyen evaluaciones de madurez y orientación técnica estructurada, sin que impliquen una póliza de garantía absoluta contra ciberataques futuros.
06. Ley Aplicable y Jurisdicción Binacional
Estos Términos y Condiciones se regirán e interpretarán de acuerdo con las leyes del Estado de New Mexico, Estados Unidos de América, con plena validez recíproca comercial en la República de Colombia conforme al principio de reciprocidad y a la legislación de firma y comercio electrónico (Ley 527 de 1999 y ESIGN Act).
Cualquier controversia se someterá en primera instancia a un procedimiento de mediación amigable y de buena fe entre los directivos autorizados de las Partes por un plazo de treinta (30) días calendario.
Panel exclusivo para el Administrador de Risknet / Weltcomm LLC
Esta consola controla la infraestructura de custodia de clientes en Google Sheets y los despachos oficiales por Gmail. Ingrese la contraseña de administrador para desbloquear las funciones de sincronización.
Contraseña incorrecta.
Sesión CISO Autorizada // Acceso Nivel 1
Política Zero Trust // Cuentas de Google Autorizadas:
Para máxima seguridad, ninguna cuenta ajena de Google puede sincronizar datos ni acceder a esta consola. Solo las siguientes cuentas están autorizadas:
aurbina@risknet.us (Oficial de Seguridad CISO)
contactoweltcomm@gmail.com (Administrador de Cuenta)
Google Workspace Desconectado
Inicia sesión con una cuenta autorizada para activar la sincronización automática en Google Sheets y el despacho por Gmail.
Canal directo para remitir reportes de brechas, incidentes de seguridad en curso o evidencias sensibles dirigidas al equipo CISO (aurbina@risknet.us). El envío se procesa bajo estricto acuerdo NDA y canal protegido.
✓ Notificación Despachada Exitosamente
Su reporte ha sido recibido por el buzón seguro de guardia CISO (aurbina@risknet.us). El tiempo de respuesta para incidentes P1/P2 es inferior a 15 minutos.
Receipt Hash: SHA256: 7f8a9e...38b1
RISKNET CISO OFFICIAL FINGERPRINT0x4F8A 9E21 773B CC42
Para cifrar documentos, adjuntos o mensajes antes de enviarlos a aurbina@risknet.us, importe esta clave pública en su gestor GPG (GnuPG, Kleopatra, Thunderbird o Mailvelope).
Cifrado Punto a Punto Garantizado
PROTOCOLO DE CONFIDENCIALIDAD PRELIMINARLEGALTECH BINDING
Acuerdo Bilateral de Confidencialidad (Mutual NDA)
REFERENCIA / FOLIO:RISK-DIAG-2026-PRE
FECHA DE FORMALIZACIÓN:Inmediata al agendar
ESTADO DE COBERTURA:● VIGENTE & CUSTODIADO
PARTES SUSCRIPTORAS:
PARTE RECEPTORA / AUDITORA:Risknet RegTech Enable ServiceOperado por Weltcomm LLCHQ: 2105 Vista Oeste NW, Albuquerque, NM 87120, USAHub: Medellín, Colombia | CISO: aurbina@risknet.us
PARTE REVELADORA / CLIENTE:Organización RegistradaContacto Titularcorreo@empresa.com● Autenticado vía checklist de diagnóstico
CLÁUSULA 1: OBJETO Y ALCANCE TÉCNICO
El presente Acuerdo de Confidencialidad y No Divulgación (NDA) tiene por objeto garantizar la más estricta reserva, integridad y custodia de toda información técnica, documental, arquitectural, de código, métricas de vulnerabilidad, hallazgos y datos organizacionales compartidos entre las Partes con motivo del Diagnóstico Inicial de Ciberseguridad, evaluación de madurez NIST CSF 2.0 o preparación para certificación ISO/IEC 27001:2022.
CLÁUSULA 2: DEFINICIÓN DE INFORMACIÓN CONFIDENCIAL
Se considerará Información Confidencial toda información verbal, escrita, gráfica o digital suministrada por la Parte Reveladora, incluyendo de forma enunciativa pero no limitativa: inventarios de activos críticos, topologías de red perimetral e interna, diagramas de infraestructura de nube (AWS, Azure, GCP), resultados de escaneos de vulnerabilidad o pruebas de penetración, políticas del SGSI, y actas directivas.
CLÁUSULA 3: DEBERES DE CUSTODIA Y ESTÁNDAR ISO/IEC 27001
Risknet y su equipo consultor aplicarán controles técnicos y administrativos de protección no inferiores a los estándares fijados en la norma ISO/IEC 27001:2022 (específicamente Controles Anexo A: A.5.15 Control de Acceso, A.5.33 Protección de Registros, A.8.11 Enmascaramiento de Datos y A.8.24 Uso de Criptografía). La información residirá exclusivamente en enclaves cifrados protegidos por autenticación multifactor (MFA) y segregación estricta de privilegios.
CLÁUSULA 4: CANALES SEGUROS Y CIFRADO CISO
Cualquier reporte técnico, archivo de configuración sensible o evidencia digital será transmitido preferentemente a través del buzón seguro de Risknet o cifrado de extremo a extremo mediante la llave pública PGP oficial (Fingerprint: 0x4F8A 9E21 773B CC42) dirigida al CISO (aurbina@risknet.us).
CLÁUSULA 5: VIGENCIA
Las obligaciones de confidencialidad asumidas permanecerán vigentes durante las conversaciones preliminares, el diagnóstico y por un periodo de tres (3) años computados a partir de la fecha de suscripción y generación del folio respectivo.
CLÁUSULA 6: LEY APLICABLE Y JURISDICCIÓN BINACIONAL
Este acuerdo se regirá e interpretará conforme a las leyes del Estado de New Mexico, Estados Unidos de América, y contará con reconocimiento recíproco y plena validez ejecutiva en la República de Colombia (Medellín Hub) bajo los principios de la Ley 527 de 1999 sobre Comercio Electrónico y Mensajes de Datos y la normativa ESIGN Act de EE. UU.
Bienvenido al enclave de orientación técnica de Risknet. Puedo resolver tus dudas sobre la alineación a NIST CSF 2.0, los 93 controles de ISO/IEC 27001:2022, el servicio continuo vGRC y los protocolos de confidencialidad.
Haz clic en los temas sugeridos arriba o escribe tu consulta a continuación.
