Te acompañamos de punta a punta. Con la dirección, para decidir qué proteger y por qué. Con tu equipo, para que funcione en el día a día. O justo en el punto donde nos necesites.
La seguridad no se construye acumulando controles. Se razona desde el negocio, se decide con la dirección y se sostiene con el equipo. Podemos recorrer toda la cadena con vos, o entrar en el eslabón que necesites.
Con la alta dirección
Con tu equipo
Negocio
Qué quiere lograr la organización, y qué procesos y qué activos lo sostienen.
Riesgo
Qué podría impedirlo, contado en escenarios que todos entienden.
Objetivos
Qué tiene que lograr la seguridad, según cuánto riesgo está dispuesta a aceptar la dirección.
Capacidades
Qué tiene que poder hacer la organización de forma repetible, sin improvisar.
Estrategia
Cómo y en qué orden se cierran las brechas.
Programa
Iniciativas, responsables y gobierno para ejecutarla.
Controles
Políticas, procesos y medidas técnicas en el día a día.
Medición
Señales de que funciona, y de cuándo ajustar.
Mejora
Qué se corrige y qué se ajusta a partir de lo que se mide.
Y cuando cambia el negocio, volvemos a empezar.
¿En qué punto está tu organización hoy?
No hay un único punto de partida. Elegí el que más se parece al tuyo.
Un campo verde es una ventaja
Empezamos por entender tu negocio y qué información, procesos y proveedores lo sostienen. Con eso definimos prioridades y construimos lo esencial, con responsables claros, políticas que se aplican y controles proporcionales al riesgo.
Definimos el alcance, que puede ser tu organización, tus plataformas o tus productos. Te ayudamos con cuestionarios y reuniones, fortalecemos lo que haga falta y, si necesitás un respaldo formal, hacemos una evaluación con evidencia.
Asumimos la dirección de seguridad de forma recurrente. Llevamos la agenda, los riesgos y las políticas, apoyamos a la dirección y respondemos ante clientes y auditores, sin que tengas que incorporar una gerencia de tiempo completo.
Partimos del negocio y del riesgo para definir objetivos, capacidades y prioridades. Lo dejamos documentado en una estrategia que la dirección puede aprobar, defender y revisar cuando cambia el contexto.
Te preparamos para ISO/IEC 27001 o para un informe SOC 2, con análisis de brechas, políticas, controles, evidencias y auditoría interna. Tenemos experiencia acompañando organizaciones hasta la certificación ISO/IEC 27001. La certificación la otorga un organismo acreditado.
Primero identificamos tus activos críticos, lo que hay que proteger y recuperar antes que nada. Sobre esa base diseñamos el plan de respuesta, con roles claros, mecanismos de análisis y contención, comunicación interna y externa, y registro de cada etapa. Después lo mantenemos vigente y lo ponemos a prueba.
Te ayudamos a alinear el SOC con tu plan de respuesta a incidentes y con los riesgos que más importan, para que cada alerta relevante llegue a quien tiene que decidir y se convierta en una acción clara.
Atacamos tus sitios, aplicaciones, APIs, redes y entornos en la nube como lo haría un atacante real, con autorización. Cada hallazgo llega con evidencia, prioridad por riesgo de negocio y un re-test que confirma que la corrección funciona.
Cada uno se contrata por separado. Cuando hace falta, los combinamos.
Servicio recurrente
vCISO
Una dirección de seguridad externa para tu organización. Ordenamos los riesgos, sostenemos una agenda de seguridad y te ayudamos a decidir con criterio de negocio, sin que tengas que incorporar una gerencia de tiempo completo.
No reemplaza la operación técnica. El monitoreo 24/7, la administración de sistemas, el análisis forense o las pruebas de intrusión se coordinan con un alcance propio. Tu organización conserva las decisiones y la aceptación de riesgos.
Con la dirección
Prioridades, riesgos que se aceptan y se tratan, y apoyo en decisiones relevantes.
Con tu equipo
Políticas, procedimientos, accesos, proveedores, desarrollo seguro y continuidad.
Ante clientes y auditores
Cuestionarios de seguridad, evidencias, reuniones y requisitos contractuales.
Ante un incidente
Orientación inicial, coordinación, apoyo en decisiones y comunicación. Después, revisamos lo ocurrido e incorporamos mejoras a partir de las lecciones aprendidas.
Estrategia de seguridad
Con la dirección, pasamos del negocio y sus riesgos a objetivos estratégicos de seguridad, las capacidades necesarias y las prioridades para desarrollarlas. Queda documentada en una estrategia que se aprueba, se defiende y se revisa. Es el método que explica nuestro libro.
Evaluación con el Modelo de Madurez TSM
Un diagnóstico de qué tan gestionada está tu seguridad, en las diez áreas del modelo o en las que más te importan. Podés elegir un diagnóstico declarativo o una evaluación con evidencia. Ver las dos formas de evaluar.
Certificación y cumplimiento
Preparación para ISO/IEC 27001 o para un informe SOC 2, con análisis de brechas, políticas aplicables, controles, evidencias y auditoría interna. Sin modelos rígidos. Lo que construimos se adapta a tu organización y sirve para futuras exigencias de clientes. Tenemos experiencia acompañando organizaciones hasta la certificación ISO/IEC 27001.
Auditorías internas
Comparamos lo definido con lo que realmente se aplica, del análisis técnico al documental. Trabajamos como auditores independientes, como parte de tu equipo o junto a auditores externos, aportando soporte técnico, análisis de evidencias y traducción de los riesgos a términos operativos.
Respuesta a incidentes y continuidad
Partimos de identificar los activos críticos del negocio. Sobre esa base armamos planes de respuesta con roles claros, mecanismos de análisis y contención, protocolos de comunicación interna y externa, y registro de cada etapa para la recuperación y las lecciones aprendidas. Los tratamos como herramientas operativas, que se mantienen vigentes y se ponen a prueba.
Acompañamiento en la implementación de un SOC
Te ayudamos a alinear el centro de operaciones de seguridad con tu plan de respuesta a incidentes y con los riesgos que más importan, para que lo que detecta llegue a quien tiene que decidir y se convierta en acciones claras.
Pruebas de intrusión y fortalecimiento
Emulamos técnicas de atacantes reales contra sitios web, aplicaciones, APIs, redes, servicios de directorio y entornos en la nube, en caja negra, gris o blanca. También revisamos la segmentación, los accesos, las identidades y los secretos, el registro y monitoreo, y la exposición en la nube.
Resumen ejecutivo en lenguaje claro, para decidir y presupuestar.
Informe técnico con evidencia, pruebas de concepto y pasos de reproducción.
Matriz de riesgos con severidad, impacto y esfuerzo estimado de corrección.
Sesión de cierre y re-test para verificar que las correcciones funcionan.
Tu operación sigue normal. Trabajamos en ventanas acordadas y avisamos de inmediato si encontramos algo crítico.
Desarrollo de software seguro
Seguridad desde el diseño, como atributo de calidad y no como un agregado. Incluye requisitos tempranos, asesoramiento en arquitectura y tecnologías, y seguridad integrada en todo el ciclo de vida, alineada con ISO/IEC 27034 y las guías de OWASP.
Concientización
Una cultura consciente del riesgo, adaptada al nivel y al perfil de cada equipo. Trabajamos phishing, uso de credenciales y exposición de información, con dinámicas participativas y ejemplos de tu propio contexto. Comprender y prevenir, no asustar.
Modelo de Madurez TSM
No es un checklist. Es un diagnóstico.
Sabés que la seguridad importa. Lo que no siempre está claro es qué tan bien gestionada está, qué riesgos quedan expuestos y qué conviene priorizar. El modelo lo convierte en una lectura operativa que muestra qué está pasando, qué tan gestionado está y qué hacer después.
10
áreas de evaluación
4
niveles de madurez
279
criterios observables
Observable y verificable
Cada criterio se confirma con evidencia real, como procedimientos, registros, configuraciones y entrevistas. Un control que existe pero nadie revisa no cuenta igual que uno consistente y trazable.
Proporcional a tu contexto
Una pyme y una corporación no necesitan el mismo nivel. Lo exigido es proporcional al tamaño, al riesgo y a los recursos disponibles.
Accionable
El resultado no es solo un número. Es una lectura por área, con hallazgos priorizados y recomendaciones concretas para avanzar al siguiente nivel.
Nivel 3
Gestionado
El área se gestiona de forma consistente y repetible, con responsables definidos, criterios claros y evidencia suficiente.
Los niveles son acumulativos. Para estar en el nivel 3, todo lo del nivel 2 tiene que estar cumplido. No hay saltos.
Diez áreas de seguridad de la información
DGS
Dirección y gestión de seguridad
Gobierno, responsabilidades, política, gestión de riesgos y reporte a la dirección.
GA
Gestión de accesos
Altas, bajas y cambios de accesos, revisiones periódicas, MFA y privilegios.
AT
Protección de equipos y activos
Inventario, configuración, ciclo de vida, baja segura y renovación planificada.
PR
Protección de redes
Segmentación, firewall, acceso remoto seguro, wifi y exposición a internet.
INF
Protección de información
Clasificación, cifrado, respaldo, pruebas de restauración e intercambio externo.
GP
Proveedores y terceros
Proveedores críticos, contratos, garantías de seguridad y acceso de terceros.
GC
Gestión de cambios
Aprobación, pruebas, planes de reversa y control de cambios urgentes.
GV
Gestión de vulnerabilidades
Parches, escaneos, evaluaciones técnicas y tratamiento de la exposición.
DRI
Detección y respuesta a incidentes
Canales de reporte, respuesta, contención, cierre y lecciones aprendidas.
CN
Continuidad de negocio
Análisis de impacto, planes de continuidad, RTO y RPO definidos, y simulacros.
TSM Snapshot
¿Querés tener una idea de dónde estás parado?
Un autodiagnóstico de hasta 40 preguntas, en unos 15 minutos. Al terminar ves un semáforo por cada una de las diez áreas y un perfil que describe el patrón general. Es automático, no pide registro y tus respuestas no salen de tu navegador.
Se abre en una pestaña nueva. Es orientativo, no una evaluación.
Dos formas de evaluar, según para qué lo necesites
Diagnóstico declarativo
Para saber dónde está parada tu organización
Es un diagnóstico de uso interno. Alguien que conozca bien la operación responde un cuestionario sobre las áreas del modelo, sin preparar documentación, y nosotros interpretamos las respuestas con los criterios del modelo.
Una lectura rápida del estado actual.
Útil para decidir prioridades internas.
Todas las áreas o solo las que más te interesan.
Recibís un informe diagnóstico con nivel por área, hallazgos y recomendaciones.
Evaluación con evidencia
Para demostrarlo ante un tercero
Cuando un cliente, un socio o un auditor necesita un respaldo, evaluamos cada criterio con entrevistas en profundidad y revisión de documentos, registros, configuraciones y evidencia concreta, en la casa central y en las sedes si corresponde.
Un resultado verificado y defendible ante terceros.
Entrevistas con el personal y revisión de evidencia real.
Informe con escenarios de impacto.
Recibís un informe técnico completo y una carta firmada que podés presentar a terceros.
Transparencia sobre nuestro rol. Si participamos en tu preparación, lo informamos y lo tenemos en cuenta al definir las condiciones de independencia de la evaluación.
Sin promesas imposibles. La evaluación no es una certificación acreditada ni garantiza la ausencia de riesgos. Lo decimos desde el primer día.
Evaluá lo que necesitás
El modelo se aplica sobre las diez áreas o solo sobre las que más importan hoy. Por ejemplo, proveedores y continuidad antes de la auditoría de un cliente clave, o accesos y vulnerabilidades después de un incidente.
El nivel global se declara solo cuando se evalúan las diez áreas. Si no, el resultado se presenta como una evaluación parcial e indica siempre el alcance.
Ejemplo de alcance parcial
Gestión de accesos
Gestión de vulnerabilidades
Proveedores y terceros
Continuidad de negocio
Protección de redes
Detección y respuesta a incidentes
El resultado se presenta como «Evaluación parcial TSM, nivel N en las áreas evaluadas».
El libro, gratis
Marco para la definición de una Estrategia de Seguridad
Una guía para pasar del negocio y sus riesgos a una estrategia, y de la estrategia a un programa de seguridad que se sostiene en el tiempo. Se enfoca en cómo razonar, no en qué implementar, y cierra con un caso de estudio completo.
Gonzalo Méndez, primera edición, 2026. Licencia Creative Commons BY-ND 4.0.
Una reunión de Discovery de unos 90 minutos, sin costo. No es una auditoría. Es una conversación para entender tu situación y definir juntos si tiene sentido seguir, y cómo.
Tu negocio y sus objetivos
Tecnología, información y exposición al riesgo
Prácticas actuales de seguridad
Qué necesitás resolver o demostrar
Alternativas y próximos pasos
Coordinar una reunión de Discovery
Escribinos contando brevemente qué te gustaría resolver. Te respondemos para coordinar la reunión.
