Metodología
Un ciclo, no un proyecto de una sola vez
El cumplimiento normativo y la seguridad de la información no se resuelven con una entrega única. MOSAÏQUE trabaja con un ciclo de once pasos que se repite con la frecuencia que el riesgo y el marco normativo exigen.
- Paso 01
DIAGNOSTICAR
Entender el contexto de la organización: a qué se dedica, con quién contrata, qué datos e información maneja.
- Paso 02
INVENTARIAR
Levantar el inventario real de datos, información, sistemas y procesos relevantes para privacidad, seguridad y cumplimiento.
- Paso 03
DETERMINAR APLICABILIDAD
Establecer, con criterio documentado, qué marcos son obligatorios, contractuales, adoptados voluntariamente o mejores prácticas para esa organización.
- Paso 04
EVALUAR
Medir qué tan lejos o cerca está la organización de cumplir cada marco aplicable.
- Paso 05
ANALIZAR RIESGO
Traducir las brechas encontradas en riesgo, considerando probabilidad e impacto por categoría de riesgo.
- Paso 06
IDENTIFICAR BRECHAS
Precisar, control por control, qué falta para cerrar la distancia entre el estado actual y el exigido.
- Paso 07
DISEÑAR CONTROLES
Definir los controles —técnicos, administrativos, contractuales— que cierran cada brecha identificada.
- Paso 08
IMPLEMENTAR
Poner en operación los controles diseñados, con responsables y plazos definidos.
- Paso 09
EVIDENCIAR
Documentar y resguardar la evidencia de que cada control se ejecutó y produjo el efecto esperado.
- Paso 10
MEDIR
Convertir la evidencia acumulada en indicadores de si el programa está mejorando en el tiempo.
- Paso 11
REEVALUAR
Repetir el ciclo con la frecuencia que el riesgo y el marco normativo exigen, en lugar de tratarlo como un proyecto de una sola vez.
Modelo operativo
Algunas fases del modelo operativo
El modelo operativo de MOSAÏQUE organiza el ciclo anterior en fases más detalladas. Publicamos aquí únicamente las fases que tienen una descripción documentada y verificable; el resto del modelo existe pero su documentación pública está pendiente de completarse.
- Fase 0 — modelo_maestro.md §5, citado en MOS-005 §1 y MOS-008 §2
Entrada
Un engagement puede iniciar por al menos tres vías: una solicitud directa del cliente, un hallazgo de VEILLE en una evaluación previa, o un requerimiento derivado de un incidente o de una autoridad.
- Fase 4 — modelo_maestro.md §9, citado en MOS-008 §3
Applicability
La aplicabilidad de un marco normativo se clasifica en cuatro categorías: obligatorio por ley (MANDATORY), exigido por contrato (CONTRACTUAL), adoptado voluntariamente por la organización (ADOPTED) o recomendado como mejor práctica (BEST_PRACTICE).
- Fase 6 — modelo_maestro.md §11, citado en MOS-008 §4
Risk
El análisis de riesgo se organiza en diez categorías de riesgo, evaluadas de forma consistente para cada hallazgo o brecha identificada.
- Fase 12 — modelo_maestro.md §17, citado en MOS-010 §1
Measure
La fase que responde la pregunta '¿estamos mejorando?' — corresponde, en el ecosistema tecnológico, al componente VITRAIL.
Cómo se contrata
Seis modelos comerciales
PROJECT
Un alcance acotado y con fecha de cierre: diagnóstico, evaluación o remediación puntual.
IMPLEMENTATION
Puesta en operación de controles, políticas o tecnología diseñados previamente.
MANAGED_SERVICE
Operación continua de un programa de cumplimiento o seguridad ya implementado, con responsabilidad recurrente de MOSAÏQUE.
TECHNOLOGY_ENABLED_SERVICE
Un servicio prestado por personas de MOSAÏQUE, apoyado en el ecosistema tecnológico propio (TESELA y, en el futuro, el resto de componentes).
SOFTWARE_LICENSING
Acceso licenciado a componentes tecnológicos del ecosistema, cuando su nivel de madurez lo permita.
TRAINING_IP_METHODOLOGY
Transferencia de metodología y capacitación al equipo interno del cliente.
VEILLE ASSESSMENT → REMEDIATION PROJECT → TESELA → SERTI → MANAGED SERVICE → VEILLE CONTINUOUS
Quién participa
Roles en cada engagement
- Account Owner (relación comercial)
- Engagement Lead (responsable integral del engagement)
- Subject Matter Expert (privacidad, ciberseguridad, IA o PLD/FT — puede haber varios por engagement)
- Technology Owner (responsable de TESELA, VEILLE o SERTI, cuando el engagement los involucre)
- Quality/Legal Review (control final: quien revisa y firma antes de entregar al cliente)