Question 1

¿Qué hace DM11?

Accepted Answer

Somos una consultora de AI Trust e IT Risk Protection. Estructuramos gobernanza de IA, programas de cumplimiento (ISO 27001, PCI DSS, SOC 2, LGPD, BACEN), ciberseguridad ofensiva y defensiva, Security Office bajo demanda y continuidad de negocio. Todo con metodología propia y especialistas certificados.

Question 2

¿Desde cuándo opera DM11 en el mercado?

Accepted Answer

La empresa nació en 2009, heredando casi 30 años de experiencia del socio ejecutivo en proyectos de ciberseguridad. Desde entonces hemos entregado más de 5.300 proyectos, protegido más de 2 millones de activos y detectado más de 900 mil vulnerabilidades solo en 2025.

Question 3

¿Qué diferencia a DM11 de otras consultoras?

Accepted Answer

Tres cosas. No revendemos herramientas, así que la recomendación que recibes es técnica y no está comisionada. El equipo tiene las certificaciones internacionales que exige el mercado. Y llevamos quince años preparando clientes para las exigencias de bancos, Big Four y grandes actores del comercio digital.

Question 4

¿DM11 revende herramientas de seguridad?

Accepted Answer

No revendemos nada. Es una decisión de negocio deliberada. Cuando evaluamos tu entorno y recomendamos un camino, sabes que el análisis técnico es el único criterio detrás de esa recomendación.

Question 5

¿Qué certificaciones tiene el equipo de DM11?

Accepted Answer

Entre las principales están CISA y CGEIT (ISACA), CEH (EC-Council), ISO/IEC 27001 Lead Auditor por BSI, PCI QSA, DPO y PDPP por EXIN, COBIT 5, ITIL, PMP y PRINCE2 Foundation. Se suman credenciales en pentest, inteligencia de amenazas y peritaje forense digital.

Question 6

¿Cómo funciona la atención del día a día?

Accepted Answer

Cada proyecto tiene especialistas asignados y una rutina de seguimiento definida contigo desde el inicio. Recibes informes con un plan de acción priorizado y reuniones de presentación de resultados, no un documento suelto en la bandeja de entrada.

Question 7

¿DM11 atiende a empresas de cualquier tamaño?

Accepted Answer

Atendemos desde el agronegocio hasta el sector financiero, en tamaños variados. La estrategia se personaliza según el tamaño y el sector, precisamente porque lo que tiene sentido para una institución financiera regulada no es lo que tiene sentido para una empresa en crecimiento acelerado. El alcance correcto sale del diagnóstico inicial.

Question 8

¿Atienden empresas fuera de São Paulo?

Accepted Answer

Sí. Nuestra sede está en la región de Berrini, en Brooklin, São Paulo, pero los proyectos se llevan a cabo de forma remota o presencial según la necesidad. La ubicación de tu operación no limita la atención.

Question 9

¿Cómo empieza un proyecto con DM11?

Accepted Answer

Empieza con una conversación para entender tu contexto, tu momento y qué te está presionando: una auditoría, un cliente exigente, un regulador, una adopción de IA. Después proponemos un diagnóstico que dimensiona el alcance real. Solo entonces hablamos de plan de trabajo.

Question 10

¿Quién ejecuta los proyectos: equipo propio o subcontratado?

Accepted Answer

Equipo propio. Los pentesters son internos y certificados, sin ninguna subcontratación, y contamos con un Centro de Inteligencia Cibernética (CIC) propio. Esto importa porque quien entra en tu entorno responde directamente por confidencialidad y método.

Question 11

¿Cómo trata DM11 la confidencialidad de la información?

Accepted Answer

La confidencialidad es condición de existencia de nuestro trabajo. En peritaje forense digital, por ejemplo, entregamos informes aptos para respaldar procesos judiciales, con confidencialidad absoluta sobre el material analizado. La misma disciplina se aplica a cualquier proyecto: acceso restringido a lo necesario y evidencias tratadas con trazabilidad.

Question 12

¿En qué idiomas trabaja DM11?

Accepted Answer

Atendemos en portugués y producimos documentación en portugués e inglés para los contextos internacionales en los que nuestros clientes necesitan responder, como SOC 2, ISAE 3402, GDPR, TISAX y la Ley de IA de la UE. Si tu matriz o tu auditor exigen material en otro idioma, lo alineamos en el alcance.

Question 13

¿Qué es AI Trust?

Accepted Answer

Es la confianza necesaria para que tu empresa crezca usando IA (inteligencia artificial). En la práctica, significa unir gobernanza, gestión de riesgos, cumplimiento regulatorio y seguridad de las aplicaciones de IA en un programa único. Fue el paso natural para quien ya hacía IT GRC, ciberseguridad y continuidad de negocio.

Question 14

¿Por qué gobernar el uso de IA en mi empresa?

Accepted Answer

Porque tu empresa ya usa IA, con o sin política definida. Sin gobernanza, modelos con sesgo y alucinaciones en procesos críticos deciden y se equivocan a escala, y agentes autónomos operan sin límites claros. O lo estructuras tú ahora, o lo estructuran por ti el regulador, el cliente o un incidente.

Question 15

¿Qué es la ISO/IEC 42001?

Accepted Answer

Es la primera norma internacional certificable de gobernanza de inteligencia artificial. Define el Sistema de Gestión de IA (AIMS, por sus siglas en inglés): roles, políticas, flujos de aprobación de casos de uso y supervisión humana, todo documentado y auditable. Estructuramos tu adecuación desde el diagnóstico hasta la preparación para la certificación.

Question 16

¿La Ley de IA de la UE se aplica a mi empresa brasileña?

Accepted Answer

Depende de dónde operas y a quién le vendes. Las empresas que actúan en Europa o proveen sistemas de IA al mercado europeo entran en el alcance. Hacemos el gap assessment (análisis de brechas) frente a la Ley de IA de la UE y clasificamos tus sistemas por categoría de riesgo regulatorio para responder esta pregunta con precisión en tu caso.

Question 17

¿Cómo está la regulación de IA en Brasil?

Accepted Answer

El marco legal de IA avanza en el Congreso mediante el proyecto de ley PL 2338/2023, y la ANPD (autoridad de protección de datos de Brasil) amplió el alcance de fiscalización sobre decisiones automatizadas y datos personales en IA. Quien se estructura ahora evita la adecuación de última hora, que siempre cuesta más y sale peor.

Question 18

¿Qué es un AI Risk Assessment?

Accepted Answer

Inventariamos todos los usos de IA de la empresa, oficiales y no oficiales, y clasificamos cada uno por riesgo regulatorio, de seguridad, de privacidad y de reputación. Recibes un mapa priorizado con plan de tratamiento e indicadores para llevar al consejo. Usamos el estándar de método que consagró oitenta20®.

Question 19

¿Qué es shadow AI y por qué debería preocuparme?

Accepted Answer

Es el uso de herramientas de IA generativa por parte de colaboradores, con datos internos, sin ninguna supervisión. Cada prompt puede llevar datos personales, secretos comerciales o propiedad intelectual fuera de la empresa. El inventario del AI Risk Assessment incluye precisamente esos usos no oficiales.

Question 20

¿Qué es prompt injection?

Accepted Answer

Es un ataque en el que se insertan instrucciones maliciosas en la entrada del modelo para desviar el comportamiento de la aplicación, burlar restricciones o extraer información que debería estar protegida. Lo probamos en el pentest de aplicaciones de IA y LLM (modelos de lenguaje grandes), junto con técnicas de jailbreak.

Question 21

¿Qué otros riesgos de seguridad traen las aplicaciones con LLM?

Accepted Answer

Los sistemas de IA crean superficies de ataque inéditas: envenenamiento de datos de entrenamiento, extracción de modelos y filtración de información sensible a través de las respuestas. Cubrimos estos vectores con pentest, MLSecOps en los pipelines de aprendizaje automático y análisis de la cadena de suministro de modelos (AI/ML BOM).

Question 22

¿Qué es data poisoning?

Accepted Answer

Es la contaminación deliberada de los datos usados para entrenar o alimentar un modelo, de forma que distorsiona sus decisiones más adelante. El daño aparece en producción, cuando el modelo ya está decidiendo. Hacemos detección de data poisoning y model extraction dentro del área de ciberseguridad para IA.

Question 23

¿Qué es AI Red Teaming?

Accepted Answer

Son pruebas adversariales realizadas sobre tus modelos, pipelines y aplicaciones generativas, siguiendo referencias como MITRE ATLAS y el OWASP Top 10 for LLM. Aplicamos metodología ofensiva y defensiva a lo largo de todo el ciclo de vida, no solo en el momento del lanzamiento.

Question 24

¿Cómo auditar el sesgo y la explicabilidad de un modelo?

Accepted Answer

Los modelos que deciden sobre personas deben responder por sus decisiones. Evaluamos el sesgo y la equidad (fairness) en los modelos y en los datos de entrenamiento, verificamos la explicabilidad de las decisiones automatizadas conforme al artículo 20 de la LGPD (ley de protección de datos de Brasil) y nos alineamos a referencias como los Principios de IA de la OCDE y la Ética de IA de la UNESCO. El resultado son informes de auditoría para reguladores y partes interesadas.

Question 25

¿Necesito una política de uso responsable de IA?

Accepted Answer

Sí la necesitas, y solo funciona si se comunica y se entrena. Escribimos la política junto con la matriz de responsabilidades, estructuramos el comité de IA y los flujos de aprobación de casos de uso, y después llevamos esto a las áreas en rutas de sensibilización por perfil: legal, TI y negocio.

Question 26

¿Cuándo es el momento de empezar a gobernar la IA?

Accepted Answer

Antes de que la pregunta llegue desde fuera. Reguladores, clientes y consejos ya exigen respuestas sobre el uso de IA, y un AI Risk Assessment revela en semanas lo que un incidente revelaría de la peor forma posible. Si todavía no sabes cuántos sistemas de IA operan en tu empresa, esa es la señal.

Question 27

¿Qué es IT GRC?

Accepted Answer

Es la disciplina que une gobernanza, gestión de riesgos y cumplimiento de tecnología en un solo sistema. En lugar de atender cada norma por separado, estructuras controles que sirven a varias exigencias al mismo tiempo. Menos esfuerzo interno, evidencias reutilizadas, auditoría previsible.

Question 28

¿Qué es la ISO 27001 y qué hace DM11 en ese proyecto?

Accepted Answer

Es la norma internacional de Sistema de Gestión de Seguridad de la Información, y en la práctica es la credencial que más abre puertas con clientes corporativos en Brasil. Te acompañamos desde el diagnóstico hasta la certificación: análisis de brechas, plan de adecuación, implementación de controles, gestión de riesgos y preparación para la auditoría. Después seguimos con el mantenimiento y la mejora continua del SGSI (sistema de gestión de seguridad de la información), con Lead Auditors certificados por BSI en el equipo.

Question 29

¿Cuánto tiempo lleva certificar la ISO 27001?

Accepted Answer

Depende del tamaño del alcance, de la madurez actual de tus controles y de la disponibilidad de tu equipo para producir evidencias. El análisis de brechas es lo que convierte esta pregunta en un cronograma real. Sin él, cualquier plazo prometido es una suposición.

Question 30

¿Qué es la ISO 27701?

Accepted Answer

Es la extensión de privacidad de la familia ISO 2700x. Añade a tu sistema de gestión los controles específicos de tratamiento de datos personales, lo que se relaciona directamente con las exigencias de la LGPD y del GDPR. Tiene sentido cuando la privacidad ya forma parte de tu propuesta comercial.

Question 31

¿Cómo funciona un proyecto de PCI DSS y cuál es el papel del QSA?

Accepted Answer

Evaluamos el alcance de tu entorno de pago, hacemos el gap assessment, implementamos los controles y el cifrado de datos de tarjeta, redactamos políticas y procedimientos, capacitamos a los equipos y acompañamos la certificación. Quien lo dirige son profesionales con credencial PCI QSA (Qualified Security Assessor), calificados para evaluar el cumplimiento según el estándar del PCI Security Standards Council. Es decir, la preparación la hace quien conoce el criterio de evaluación por dentro.

Question 32

¿Cuál es la diferencia entre SOC 2 Tipo I y Tipo II?

Accepted Answer

El Tipo I certifica el diseño de los controles en un momento específico. El Tipo II evalúa la operación efectiva de esos controles a lo largo de un período de observación, lo que es bastante más exigente y es lo que suelen pedir los grandes clientes. Damos soporte durante el período de observación del Tipo II.

Question 33

¿Qué es el ISAE 3402?

Accepted Answer

Es un informe internacional de aseguramiento sobre los controles de una organización proveedora de servicios, muy solicitado cuando tus clientes necesitan confiar en tus procesos para cerrar sus propias auditorías. Preparamos el alcance, el diseño de controles y la recopilación de evidencias para que llegues al auditor sin sorpresas.

Question 34

¿Qué exigen las resoluciones CMN 4.893 y BCB 85 del BACEN?

Accepted Answer

Las instituciones financieras y de pago necesitan una política de ciberseguridad formal, un plan de respuesta a incidentes con comunicación al regulador y controles sobre la contratación de procesamiento y almacenamiento en la nube. Empezamos mapeando qué requisitos se aplican específicamente a tu institución, implementamos los frentes necesarios y mantenemos el monitoreo continuo de cumplimiento.

Question 35

¿Cómo es un proyecto de adecuación a la LGPD?

Accepted Answer

Va desde el mapeo de los flujos de datos y la definición de bases legales hasta las políticas de privacidad y gobernanza, mecanismos para atender los derechos de los titulares y la capacitación de los equipos. Integramos esto a tu programa de seguridad en lugar de tratar la privacidad como un proyecto paralelo.

Question 36

¿Necesito tener un DPO? ¿Puedo subcontratarlo?

Accepted Answer

Puedes subcontratarlo, pero no siempre es el mejor camino. Con el DPO Backoffice®, tu Encargado (DPO, o responsable de protección de datos) permanece interno, conociendo el negocio, y gana a su lado un equipo de Derecho Digital, ciberseguridad y GRC. Sale más económico que contratar y mantener a un especialista sénior, y el conocimiento se queda dentro de casa.

Question 37

¿Cómo responder a las solicitudes de los titulares de datos?

Accepted Answer

Necesitas un proceso definido, no improvisación caso por caso. Implementamos los mecanismos para atender los derechos de los titulares y nos encargamos de la rutina de privacidad: consentimiento, solicitudes recibidas, incidentes y riesgos de operadores y terceros.

Question 38

¿Por qué evaluar la seguridad de mis proveedores?

Accepted Answer

Porque tus proveedores forman parte de tu superficie de riesgo, y el cliente que te audita te preguntará sobre ellos. Evaluamos a los proveedores críticos, revisamos contratos y cláusulas de seguridad, estandarizamos cuestionarios y evidencias, y monitoreamos el ecosistema periódicamente.

Question 39

Un cliente me envió un cuestionario de seguridad enorme. ¿Cómo lo respondo?

Accepted Answer

Ese cuestionario es donde se traba buena parte de las ventas. Un dosier de seguridad bien armado responde a la mayoría de las preguntas antes de que lleguen, con controles en su lugar y evidencias listas. Organizamos esa base para que la due diligence deje de ser un obstáculo y pase a ser un argumento.

Question 40

¿Cómo me preparo para una auditoría?

Accepted Answer

La auditoría se convierte en crisis cuando las evidencias se producen la semana anterior. Trabajamos el diseño de los controles, la recopilación continua de evidencias y la disposición para el auditor, con metodología propia y especialistas que ya han estado en ambos lados de la mesa.

Question 41

¿Estar en cumplimiento es lo mismo que estar seguro?

Accepted Answer

No lo es. El cumplimiento demuestra que atiendes un conjunto de requisitos dentro de un alcance definido. La seguridad es la capacidad real de resistir a un atacante, que solo se mide probando: pentest, simulación de phishing, ejercicios de crisis. Un programa maduro hace las dos cosas y usa una para sostener a la otra.

Question 42

¿Se puede atender varias normas con un único programa?

Accepted Answer

Se puede, y es exactamente así como baja el costo del cumplimiento. Atender cada norma por separado consume a los equipos internos en ciclos infinitos de evidencias. Con NosConformes®, mapeamos todos los requisitos de auditoría y regulatorios en un solo punto de gestión y aprovechamos las sinergias entre ellos.

Question 43

¿Cuál es la diferencia entre certificación y adecuación?

Accepted Answer

Adecuación es implementar los controles y procesos que exige la norma. Certificación es el certificado emitido por un organismo certificador independiente después de auditar tu adecuación. Muchas empresas solo necesitan estar adecuadas para responder a los clientes; otras necesitan el sello para participar en licitaciones. Definimos esto en el diagnóstico.

Question 44

¿Para qué sirve un roadmap de seguridad?

Accepted Answer

Sirve para que dejes de decidir la inversión por urgencia. El Cybersecurity Strategy & Roadmap muestra dónde estás, adónde necesitas llegar y la secuencia de inversiones que tiene sentido para tu tamaño y sector, con indicadores de evolución para la dirección. La estrategia va antes que la herramienta.

Question 45

¿Qué es un pentest (prueba de intrusión) y para qué sirve?

Accepted Answer

El pentest es un ataque controlado a tu entorno, realizado por especialistas, para descubrir hasta dónde podría llegar un atacante real. Nuestro equipo usa las mismas técnicas que los atacantes, pero dentro de un alcance acordado y con registro de todo. Al final no recibes una lista de teorías, sino la prueba de lo que es explotable y el camino para cerrar cada puerta.

Question 46

¿Cuál es la diferencia entre pentest y escaneo de vulnerabilidades?

Accepted Answer

El escaneo es automatizado y señala indicios. El pentest valida esos indicios y va más allá: fallos de lógica de negocio, desvíos de autenticación y cadenas de explotación solo aparecen cuando un profesional piensa como un atacante. Son precisamente esos los fallos que prefieren los intrusos, porque ninguna herramienta los detecta sola. En la práctica, usamos los dos: automatización para cobertura, humano para profundidad.

Question 47

¿Qué son los pentest black box, grey box y white box?

Accepted Answer

Black box simula al atacante externo que no sabe nada de ti. Grey box parte de un acceso limitado, como el de un usuario común o el de un socio. White box entrega documentación, código y credenciales al equipo de prueba, lo que da la cobertura más profunda por hora invertida. La elección depende de lo que quieras responder, y lo definimos junto contigo antes de empezar.

Question 48

¿Con qué frecuencia mi empresa debe hacer un pentest?

Accepted Answer

Si tu última prueba tiene más de doce meses, estás decidiendo a oscuras. Además del ciclo anual, vale la pena probar siempre que haya un cambio relevante: nueva aplicación en producción, migración a la nube, integración con terceros o cambio de arquitectura. Las empresas con despliegues frecuentes suelen preferir el modelo por suscripción, con pruebas recurrentes a lo largo del año.

Question 49

¿Cómo es el pentest de aplicación web?

Accepted Answer

Seguimos la metodología OWASP y vamos a fondo en autenticación, autorización, lógica de negocio y filtración de datos. Probamos lo que la aplicación hace y también lo que permite hacer cuando alguien usa el flujo fuera del orden esperado. El resultado sale con evidencia de explotación y recomendación de corrección para el equipo de desarrollo.

Question 50

¿Prueban las APIs?

Accepted Answer

Probamos APIs REST y GraphQL. El foco está en autenticación, control de acceso, exposición de datos más allá de lo necesario y abuso de lógica, que son los puntos donde las APIs suelen fallar sin que nadie se dé cuenta. Muchas empresas protegen bien la interfaz y olvidan que la API detrás de ella le responde a cualquiera que sepa llamarla.

Question 51

¿Y las aplicaciones móviles, entran en el alcance?

Accepted Answer

Sí, para Android e iOS. Analizamos el almacenamiento local, la comunicación con el servidor, la resistencia a la ingeniería inversa y la integración con las APIs de backend. Una aplicación es un binario en manos de cualquier persona, así que todo lo que esté embebido en ella debe tratarse como público.

Question 52

¿Prueban red externa, red interna y wireless?

Accepted Answer

Los tres frentes forman parte de nuestro alcance. En la red externa evaluamos toda la superficie expuesta a internet. En la interna simulamos lo que sucede después de que alguien entra, incluyendo movimiento lateral y escalamiento de privilegios. En wireless observamos redes corporativas y de invitados, con especial atención a la segmentación y la autenticación.

Question 53

¿Cómo funciona la evaluación de seguridad en la nube?

Accepted Answer

Probamos configuración y explotación en AWS, Azure y Google Cloud, siguiendo los benchmarks de CIS y las prácticas de la Cloud Security Alliance. Una configuración incorrecta en la nube está entre las principales causas de filtración de datos, y lo que era seguro en el centro de datos puede quedar expuesto en cuanto cambia de lugar. También revisamos identidad, cifrado y monitoreo, porque en la nube el perímetro es el permiso.

Question 54

¿Qué es el retest y está incluido?

Accepted Answer

El retest es la validación de que las correcciones realmente funcionaron. Después de que tu equipo trata los fallos, volvemos a los mismos puntos y confirmamos el cierre. En nuestros proyectos de pentest y en todos los planes de Ethical Hacker as a Service, el retest viene incluido. Un informe sin retest es un diagnóstico sin alta médica.

Question 55

¿Qué incluye el informe de pentest?

Accepted Answer

Recibes las vulnerabilidades encontradas con evidencia técnica, la criticidad de cada una y un plan de acción priorizado, no una lista bruta ordenada por severidad genérica. Hay una lectura ejecutiva para llevar a la dirección y el detalle técnico que el equipo de TI necesita para corregir. Cerramos con una reunión de presentación de resultados, para que las dudas se resuelvan con quien hizo la prueba.

Question 56

¿Qué son SAST y DAST y cuál es la diferencia?

Accepted Answer

SAST analiza el código fuente en reposo, buscando fallos en la forma en que se escribió la aplicación. DAST prueba la aplicación en ejecución, desde afuera, como lo haría un atacante. Uno ve lo que el otro no alcanza, por eso aplicamos los dos. Tu equipo de desarrollo recibe orientación de remediación y podemos integrar los análisis al ciclo de desarrollo.

Question 57

¿Cómo funciona la simulación de phishing y expone al empleado?

Accepted Answer

Diseñamos campañas realistas por área, cargo y nivel de exposición, y medimos quién abrió, quién hizo clic y quién reportó. Nadie queda expuesto ni es sancionado: trabajamos con influencia y empatía, nunca con manipulación o miedo. Cada clic se convierte en capacitación inmediata para esa persona, y el informe para la gestión habla de grupos y tendencias. El seguimiento se hace de forma no intrusiva y con respeto a la privacidad.

Question 58

¿Qué es la gestión de vulnerabilidades?

Accepted Answer

Es el proceso continuo de identificar, priorizar y hacer seguimiento a la corrección de los fallos de tu entorno. La diferencia está en la priorización: mapeamos tus activos, los vinculamos a los procesos de negocio que sostienen y los ordenamos según el riesgo real para ti. Un fallo medio en un sistema crítico puede importar más que uno crítico en un servidor aislado.

Question 59

¿Trabajan en respuesta a incidentes y peritaje forense digital?

Accepted Answer

Trabajamos en la investigación de incidentes con recolección, preservación y análisis de evidencias digitales, bajo confidencialidad absoluta. Reconstruimos la línea de eventos, analizamos dispositivos, recuperamos datos y buscamos identificar autoría. Cuando el caso pasa a lo legal, entregamos un informe pericial apto para respaldar un proceso judicial.

Question 60

¿Qué es Cyber Threat Intelligence y para qué sirve en la práctica?

Accepted Answer

Es inteligencia de amenazas aplicada a tu contexto, no un feed genérico de indicadores. Monitoreamos actores, campañas y exposiciones relevantes para tu sector, incluyendo la filtración de credenciales y el uso indebido de tu marca. Estas señales externas se convierten en decisiones de defensa antes del ataque, y ayudan a priorizar qué tratar primero. Tenemos un Centro de Inteligencia Cibernética propio para esto.

Question 61

¿El pentest puede interrumpir o afectar mi operación?

Accepted Answer

El riesgo existe en cualquier prueba real, y es justamente por eso que se planifica. Acordamos ventana de ejecución, alcance, activos sensibles y canal de contacto directo antes de cualquier actividad. Los riesgos críticos generan alerta inmediata, sin esperar el informe final. Si algún entorno no puede sufrir indisponibilidad, ajustamos el enfoque para ese objetivo.

Question 62

Encontramos fallos en la prueba. ¿Y ahora, qué hacemos?

Accepted Answer

Empieza por el plan de acción priorizado del informe, que ya ordena lo que reduce más riesgo con menos esfuerzo. Nuestro equipo apoya al tuyo en la interpretación técnica de cada hallazgo y en la definición de la corrección, y coordinamos el seguimiento cuando contratas gestión de vulnerabilidades. Una vez corregido, hacemos el retest y tienes la evidencia de cierre para la auditoría y para el cliente que pregunte.

Question 63

¿Qué significa contratar seguridad en el modelo as a Service?

Accepted Answer

Contratas exactamente la competencia que necesitas, con la intensidad correcta, sin los costos fijos de armar un equipo interno. En lugar de abrir una vacante, esperar el proceso de selección y cruzar los dedos para retener al profesional, cuentas con especialistas sénior ya formados. Armar un equipo completo de seguridad lleva años, y el riesgo no espera al headcount.

Question 64

¿Qué es CISO as a Service y cuándo tiene más sentido que contratar un CISO interno?

Accepted Answer

Un ejecutivo sénior de seguridad dirige tu estrategia, la gestión de riesgos, las políticas corporativas y el reporte a la dirección y al consejo. Tiene más sentido cuando necesitas la decisión sénior pero no tienes volumen de trabajo para un profesional dedicado de tiempo completo, o cuando el mercado pide más de lo que el cargo permite hoy. También funciona bien como puente: el CISO as a Service estructura el programa mientras preparas la contratación interna.

Las preguntas que harías en una primera conversación

DM11

IA y gobernanza

Gobernanza, riesgos y cumplimiento

Ciberseguridad

Security Office as a Service

Continuidad de negocio

Productos DM11

Contratación y propuesta

¿Te quedó alguna duda que no está aquí?

Las preguntas que harías en una primera conversación

DM11

IA y gobernanza

Gobernanza, riesgos y cumplimiento

Ciberseguridad

Security Office as a Service

Continuidad de negocio

Productos DM11

Contratación y propuesta

¿Te quedó alguna duda que no está aquí?

Las preguntas que harías en una primera conversación

DM11

¿Qué hace DM11?

¿Desde cuándo opera DM11 en el mercado?

¿Qué diferencia a DM11 de otras consultoras?

¿DM11 revende herramientas de seguridad?

¿Qué certificaciones tiene el equipo de DM11?

¿Cómo funciona la atención del día a día?

¿DM11 atiende a empresas de cualquier tamaño?

¿Atienden empresas fuera de São Paulo?

¿Cómo empieza un proyecto con DM11?

¿Quién ejecuta los proyectos: equipo propio o subcontratado?

¿Cómo trata DM11 la confidencialidad de la información?

¿En qué idiomas trabaja DM11?

IA y gobernanza

¿Qué es AI Trust?

¿Por qué gobernar el uso de IA en mi empresa?

¿Qué es la ISO/IEC 42001?

¿La Ley de IA de la UE se aplica a mi empresa brasileña?

¿Cómo está la regulación de IA en Brasil?

¿Qué es un AI Risk Assessment?

¿Qué es shadow AI y por qué debería preocuparme?

¿Qué es prompt injection?

¿Qué otros riesgos de seguridad traen las aplicaciones con LLM?

¿Qué es data poisoning?

¿Qué es AI Red Teaming?

¿Cómo auditar el sesgo y la explicabilidad de un modelo?

¿Necesito una política de uso responsable de IA?

¿Cuándo es el momento de empezar a gobernar la IA?

Gobernanza, riesgos y cumplimiento

¿Qué es IT GRC?

¿Qué es la ISO 27001 y qué hace DM11 en ese proyecto?

¿Cuánto tiempo lleva certificar la ISO 27001?

¿Qué es la ISO 27701?

¿Cómo funciona un proyecto de PCI DSS y cuál es el papel del QSA?

¿Cuál es la diferencia entre SOC 2 Tipo I y Tipo II?

¿Qué es el ISAE 3402?

¿Qué exigen las resoluciones CMN 4.893 y BCB 85 del BACEN?

¿Cómo es un proyecto de adecuación a la LGPD?

¿Necesito tener un DPO? ¿Puedo subcontratarlo?

¿Cómo responder a las solicitudes de los titulares de datos?

¿Por qué evaluar la seguridad de mis proveedores?

Un cliente me envió un cuestionario de seguridad enorme. ¿Cómo lo respondo?

¿Cómo me preparo para una auditoría?

¿Estar en cumplimiento es lo mismo que estar seguro?

¿Se puede atender varias normas con un único programa?

¿Cuál es la diferencia entre certificación y adecuación?

¿Para qué sirve un roadmap de seguridad?

Ciberseguridad

¿Qué es un pentest (prueba de intrusión) y para qué sirve?

¿Cuál es la diferencia entre pentest y escaneo de vulnerabilidades?

¿Qué son los pentest black box, grey box y white box?

¿Con qué frecuencia mi empresa debe hacer un pentest?

¿Cómo es el pentest de aplicación web?

¿Prueban las APIs?

¿Y las aplicaciones móviles, entran en el alcance?

¿Prueban red externa, red interna y wireless?

¿Cómo funciona la evaluación de seguridad en la nube?

¿Qué es el retest y está incluido?

¿Qué incluye el informe de pentest?

¿Qué son SAST y DAST y cuál es la diferencia?

¿Cómo funciona la simulación de phishing y expone al empleado?

¿Qué es la gestión de vulnerabilidades?

¿Trabajan en respuesta a incidentes y peritaje forense digital?

¿Qué es Cyber Threat Intelligence y para qué sirve en la práctica?

¿El pentest puede interrumpir o afectar mi operación?

Encontramos fallos en la prueba. ¿Y ahora, qué hacemos?

Security Office as a Service

¿Qué significa contratar seguridad en el modelo as a Service?

¿Qué es CISO as a Service y cuándo tiene más sentido que contratar un CISO interno?

¿Ofrecen DPO as a Service?

¿Qué es Ethical Hacker as a Service?

¿Cómo funciona el DevSecOps as a Service?

¿Y el Business Continuity as a Service, qué entrega?

¿Cuántas horas al mes están incluidas?

Si más adelante quiero internalizar el equipo, ¿cómo funciona la transición?

¿Funciona para una empresa que ya tiene equipo de seguridad?

¿Quién responde ante el regulador: DM11 o mi empresa?

¿Cómo se mide el resultado?

¿Cómo tratan la confidencialidad y el acceso a nuestros sistemas?