Seguridad que se diseña, se mide y se sostiene.

Evaluación del estado actual frente a marcos de referencia reconocidos, contrastada con el nivel esperado para una organización del mismo tamaño, sector y perfil de riesgo. Es la línea base sobre la que se construye todo lo demás.

No requiere pruebas intrusivas. El foco está en cómo opera la organización: procesos, responsabilidades, controles existentes y evidencia disponible.

• Nivel de madurez actual y objetivo alcanzable a 12 meses
• Brechas identificadas y clasificadas por riesgo
• Cartera de iniciativas priorizadas con esfuerzo estimado
• Material ejecutivo para presentación a directorio o comité

Es el eje que da nombre a la marca. Definimos cómo debe quedar la seguridad: qué controles deben existir, dónde se ubican dentro de la red y los sistemas, quién los opera y cómo se verifica que funcionan. Aplica tanto al diseño de una plataforma nueva como al rediseño de una que ya está en producción.

El enfoque es práctico. Se trabaja sobre la infraestructura que la organización realmente tiene —la red, los sistemas y los procesos existentes— y no sobre un modelo de referencia que después nadie puede implementar.

• Arquitectura objetivo y modelo de controles por dominio
• Segmentación de red y diseño de zonas de seguridad
• Lineamientos y estándares técnicos internos
• Arquitectura de integración y exposición de servicios
• Revisión de seguridad de proyectos e iniciativas nuevas
• Ciclo de vida tecnológico: obsolescencia y deuda técnica
• Requisitos de seguridad para integración con terceros

Revisión estructurada de cada obligación establecida por la ley y por las instrucciones de la ANCI, con determinación del estado de cumplimiento y la evidencia que lo respalda. Si la organización puede ser calificada como Operador de Importancia Vital, se evalúa además el estándar reforzado aplicable a ese grupo.

• Gobierno, roles y asignación formal de responsabilidades
• Inventario de activos y proceso de gestión de riesgos
• Control de accesos, segmentación y gestión de vulnerabilidades
• Monitoreo, detección y manejo de incidentes
• Respaldos, continuidad operacional y gestión de proveedores
• Procedimiento de notificación de incidentes a la ANCI

El alcance excede largamente la política de privacidad. El trabajo parte por levantar qué datos personales trata la organización, dónde residen, con qué finalidad se utilizan y bajo qué base legal. Ese registro suele ser la primera brecha, porque en la mayoría de los casos no existe.

A continuación se aborda lo operativo: que el consentimiento sea demostrable y que exista un flujo real, con responsables y plazos, para atender las solicitudes de los titulares.

• Inventario de datos personales y registro de actividades de tratamiento
• Finalidad y base de licitud de cada tratamiento
• Consentimiento demostrable, cookies y plataforma de gestión (CMP)
• Derechos ARSOP: flujos, responsables y control de plazos
• Retención, encargados de tratamiento y transferencias internacionales
• Evaluación de impacto (DPIA) cuando corresponde

La preparación define qué debe cumplirse. Esta línea entrega el dónde queda registrado: una plataforma propia, personalizable para cada organización, que sostiene la operación diaria de la Ley 21.719 y deja evidencia fechada de cada decisión.

El punto no es tener un banner de cookies. Es que, ante un requerimiento de la autoridad, de un cliente o de una auditoría, exista el registro de qué aceptó cada titular, cuándo, sobre qué texto, y qué se hizo con cada solicitud recibida.

• Gestión de cookies y centro de preferencias: escaneo del sitio y clasificación por finalidad, tipo, vigencia y proveedor
• Registro de consentimientos: qué se aceptó, cuándo y sobre qué versión del texto, con historial de cambios
• Derechos ARSOP: recepción de solicitudes, asignación de responsable, control de plazos y trazabilidad del caso
• Registro de actividades de tratamiento (RAT) mantenido como inventario vivo, no como planilla suelta
• Evaluación de impacto (DPIA) con flujo guiado y evidencia asociada al tratamiento evaluado
• Exportación de evidencia y reportes para auditoría o requerimiento de la autoridad

Se adapta a la identidad visual de la organización, a sus finalidades reales de tratamiento y a su estructura de responsables. Puede quedar operada por el equipo interno tras la puesta en marcha o mantenerse como servicio administrado, incluido el seguimiento de plazos de las solicitudes.

Una plataforma no reemplaza el levantamiento previo. Si las finalidades, las bases de licitud y los responsables no están definidos, la herramienta solo automatiza un registro incompleto. Por eso se implementa sobre el trabajo de la línea 04, o sobre uno equivalente ya realizado.

La mayoría de las organizaciones ya invirtió en herramientas de seguridad. El problema rara vez es que falten: es que quedaron mal configuradas, desactualizadas, con reglas heredadas que nadie volvió a revisar o sin una persona responsable de administrarlas de forma continua.

Esta línea cubre los dos frentes: la revisión técnica de cada plataforma y, cuando se requiere, la administración permanente de las consolas. El objetivo es que las herramientas entreguen efectivamente el nivel de protección por el que se está pagando.

• Firewall perimetral e interno: reglas, políticas y depuración
• WAF y protección de aplicaciones publicadas
• IPS/IDS y detección de amenazas en red
• Filtrado de navegación y control de contenido web
• Seguridad de correo electrónico y antiphishing
• Antivirus y protección de estaciones y servidores
• VPN, accesos remotos y control de accesos privilegiados
• Administración continua de consolas y gestión de cambios de reglas

Sobre esa base se puede montar un SOC virtual dimensionado a cada negocio: monitoreo de los eventos que importan, revisión periódica de alertas y respuesta acordada, sin el costo ni la estructura de un centro de operaciones propio. El alcance, el horario y las prioridades los define la organización.

Pruebas ofensivas controladas, ejecutadas bajo autorización expresa y reglas de enfrentamiento documentadas. El objetivo es reproducir el camino que seguiría un atacante real y dejar registrada la cadena completa de explotación.

La diferencia está en el informe. No se entrega la salida cruda de la herramienta: cada hallazgo pasa por triaje de falsos positivos, se ordena por impacto de negocio y se acompaña de la remediación concreta. El informe tiene dos niveles de lectura, uno ejecutivo y uno técnico.

• Superficie expuesta a internet
• Aplicaciones web
• APIs e integraciones
• Red interna
• Infraestructura y servicios internos

La seguridad de una organización no termina en el firewall. El acceso físico a instalaciones, salas de equipos y bodegas es un vector de riesgo tan real como el digital, y las dos normativas vigentes lo consideran parte de las medidas de protección exigibles.

Esta línea integra el diseño y la evaluación de la seguridad electrónica con el resto de la arquitectura: mismos criterios de riesgo, mismo formato de entregable y controles que conversan entre sí en lugar de operar como sistemas aislados.

• CCTV con analítica de video: detección de personas y vehículos
• Cámaras lectoras de patente y reconocimiento facial
• Control de acceso a edificios, pisos y áreas restringidas
• Barreras vehiculares, citofonía y videoportero
• Sistemas de detección de incendio análogos e inteligentes
• Convergencia con identidad digital y evaluación de riesgo del perímetro físico

La implementación e instalación de los sistemas electrónicos se ejecuta junto a partners especializados y certificados. PIMX ArcSec asume el diseño, los requisitos de seguridad, la integración con la arquitectura y la validación del resultado.