Guías, análisis y noticias sobre Enterprise Risk Intelligence, ciberriesgo, GRC y cumplimiento.
Nadie corrige todas las vulnerabilidades. Medir la exposición es saber qué tiene, qué es alcanzable y explotable, y si la curva de riesgo baja mes a mes.
Leer artículo →Más de 72.000 CVE en nueve meses de 2026 hicieron inviable la clasificación manual. Vea cómo correlacionar, priorizar y llevar al directorio decisiones trazables, con la decisión final en manos humanas.
Leer artículo →Un KRI solo sirve si tiene umbral, disparador y responsable. Vea cómo elegir los primeros indicadores, calibrar las franjas de alerta y vincular cada alerta roja a una respuesta.
Leer artículo →Un piloto acotado, un inventario único de controles y la aprobación en manos del equipo: la hoja de ruta para automatizar evidencias y monitoreo sin crear riesgos nuevos.
Leer artículo →La 4.658 fue derogada por la CMN 4.893 en 2021, y la 5.274/2025 detalló los controles mínimos. Línea de tiempo, quién sigue la BCB 85, plazos y lista de revisión.
Leer artículo →Qué resoluciones del Consejo Directivo de la ANPD generan obligaciones para las empresas en Brasil, qué exige cada una en la práctica, los plazos que importan y cómo organizar la evidencia para una fiscalización.
Leer artículo →Qué exige la Circular SUSEP n.º 638/2021 a aseguradoras, entidades abiertas de previsión complementaria, sociedades de capitalización y reaseguradores locales en Brasil, qué cambió la Resolución SUSEP n.º 90/2026 en la tercerización y cómo convive con la LGPD y la CMN 4.893.
Leer artículo →Pruebas que se ejecutan sobre poblaciones completas, excepciones con responsable e IA para priorizar lo que revisa el auditor: una hoja de ruta más allá del muestreo trimestral.
Leer artículo →Una IA montada sobre hojas de cálculo aisladas solo resume el problema. Lo que distingue a una plataforma empresarial es un modelo de datos único, la decisión humana registrada y un retorno medido con sus propios números.
Leer artículo →Qué llevar a la sala del directorio: exposición en dinero, pocos indicadores en tendencia, un ritmo trimestral con alerta inmediata ante incidentes y cada cifra trazable hasta la evidencia.
Leer artículo →Cómo conectar riesgo, controles, activos y proveedores en una única vista y usar IA, con validación humana, para priorizar exposiciones y llevar al consejo decisiones con evidencia.
Leer artículo →Del alcance del SGSI a la auditoría de Etapa 2: qué hacer en cada fase de la certificación ISO 27001, qué verifica el auditor y cómo sostener el certificado en los tres años siguientes.
Leer artículo →Sanciones, reputación, documentos y monitoreo continuo: dónde la IA acorta la due diligence de terceros y por qué la decisión final debe seguir siendo humana y trazable.
Leer artículo →Las etapas de un programa de riesgo de terceros, del inventario al cierre del contrato, con lo que piden la ISO 27001, el NIST CSF 2.0 y la LGPD y dónde ayuda la automatización.
Leer artículo →Dónde ayuda la IA al compliance bancario (monitoreo, PLD/FT, KYC y evidencias), qué exigen la CMN 4.893 y la 5.274 y seis criterios para comparar proveedores.
Leer artículo →¿Hoja de cálculo, herramienta puntual o plataforma integrada? Una hoja de ruta práctica para que CISOs, responsables de GRC y CROs comparen opciones con criterios verificables y no con promesas de demo.
Leer artículo →Qué añadir a la evaluación cuando la plataforma de GRC va a operar bajo la regulación brasileña: CMN, BCB, SUSEP, ANEEL, Anatel, LGPD, Ley Anticorrupción y transferencia internacional de datos.
Leer artículo →Criterios escritos de probabilidad e impacto, franjas de severidad ligadas al apetito de riesgo y los cinco errores que convierten la matriz en un documento decorativo.
Leer artículo →Por qué una cola de CVE ordenada por severidad no reduce el riesgo, cómo la IA cruza activo, amenaza y control para priorizar la remediación y qué métricas de exposición llevar al directorio.
Leer artículo →Los criterios para comparar plataformas de gestión de riesgos en Brasil: cobertura regulatoria, inventario único de controles, trazabilidad y una visión del riesgo que el directorio entienda.
Leer artículo →Del mapeo de datos a la notificación de incidentes en 3 días hábiles: la ley brasileña de protección de datos traducida en pasos concretos.
Leer artículo →Qué debe hacer un software de gobernanza de IA, qué riesgos de modelos aborda y cómo elegirlo sin crear otro silo fuera del GRC.
Leer artículo →Cómo elegir una herramienta de compliance con IA en Brasil: criterios de evaluación, automatización de evidencias y beneficios para equipos reducidos.
Leer artículo →La declaración aprobada en acta no le dice al analista qué hacer. Cómo convertir el apetito en límite, y el límite en criterio de aceptación.
Leer artículo →Plazo de adecuación vencido en marzo de 2026. Los 14 controles mínimos obligatorios, las exigencias para Pix y lo que la ISO 27001 ya cubría.
Leer artículo →Quien contrata procesamiento de datos o nube sigue respondiendo por el servicio. Qué exige la norma, artículo por artículo.
Leer artículo →La versión 2.0 añadió Govern y dejó de ser solo para infraestructura crítica. Qué cambia y cómo convive con la ISO 27001.
Leer artículo →El mapa de calor empata riesgos que difieren en dos órdenes de magnitud. Cuando la decisión es de presupuesto, un color no basta.
Leer artículo →Los 93 controles en cuatro temas, los once nuevos de la versión 2022 y lo que el auditor acepta como evidencia.
Leer artículo →Nadie corrige 48 mil vulnerabilidades al año. La pregunta no es cuántas cierras, sino cuáles — y el CVSS solo responde eso mal.
Leer artículo →Los números se parecen y los papeles no. Qué hace cada norma de la familia 27k y cuál necesitas de verdad.
Leer artículo →La norma contra la que te auditan exige un análisis de riesgo y no dice cómo hacerlo. La 27005 responde eso — y cambió en 2022.
Leer artículo →No es una lista de controles de TI. Qué exige realmente la norma, qué cambió en 2022 y cuándo compensa certificarse.
Leer artículo →Las empresas tienen datos de seguridad de sobra. Lo que falta es convertirlos en decisiones de riesgo. El CROC es la capa que construye ese puente — sin reemplazar al SOC.
Leer artículo →Un score de riesgo es útil cuando muestra tendencia y señala dónde actuar. Es peligroso cuando se vuelve un promedio que oculta el peor activo.
Leer artículo →Cuantificar es cambiar el color del mapa de calor por un rango de pérdida con probabilidad. Así funciona el modelo por dentro y así suele fallar.
Leer artículo →La misma falla puede valer 9.3, 8.1 o 6.5 en el CVSS 4.0. La diferencia está en los grupos de métricas que casi nadie completa.
Leer artículo →