Criterio y alcance
Marco, política, objetivo o control set que se utilizará como referencia.
WHA // GRC & CONTROL ASSURANCE
Auditoría, GRC y aseguramiento de controles
Haz visible qué control existe, qué evidencia lo sostiene y qué decisión sigue.
Servicio de auditoría y GRC para revisar controles, evidencia, riesgo, brechas y planes de mejora con referencia a marcos y criterios acordados.
ALCANCE DEFINIDO EVIDENCIA TRAZABLE DECISIÓN EXPLICABLE
WHA // SERVICE NODEFRAME → VERIFYAUTHORIZED · CONTROLLED · TRACEABLE
T8 // CONTROL ASSURANCE MATRIX
El control debe poder explicarse, evidenciarse y revisarse.
Matriz demostrativa para visualizar cómo un ejercicio de auditoría/GRC puede separar requisito, diseño, evidencia, responsable, estado y siguiente acción. Los datos son ficticios.
CONTROLOBJECTIVEEVIDENCEOWNERSTATUSNEXT
CTRL-01Access governanceDefine authorization and review.Policy + review logIAMEFFECTIVEMONITOR
CTRL-07Evidence retentionPreserve traceable records.Procedure onlyGRCPARTIALCOMPLETE EVIDENCE
CTRL-12Cloud review cadencePeriodic configuration review.Not providedCLOUDGAPDESIGN CONTROL
CTRL-18Incident escalationRoles and escalation defined.Playbook + testSOCEFFECTIVERETEST
01 / WHEN IT FITS
Señales que justifican una conversación de alcance.
No se presupone que tu organización tenga estas condiciones. Son situaciones típicas que ayudan a identificar si esta capacidad puede aportar valor.
OPERATIONAL SIGNALS
- Controles documentados pero evidencia dispersa
- Preparación para auditoría o revisión interna
- Necesidad de priorizar brechas
- Múltiples marcos o requisitos aplicables
- Dificultad para demostrar operación de controles
- Roadmap de cumplimiento sin responsables claros
02 / SCOPE MODEL
Qué revisamos depende de qué necesitas decidir.
Estas dimensiones sirven para construir el alcance. No todas aplican a todos los engagements y ninguna se considera incluida hasta quedar documentada.
Diseño del control
Qué busca prevenir, detectar o corregir y quién lo opera.
Evidencia objetiva
Registros, configuraciones, documentos o resultados que sustentan operación.
Brecha
Diferencia entre criterio acordado y evidencia disponible.
Riesgo
Contexto, impacto, dependencia y exposición asociados a la brecha.
Tratamiento
Acción, responsable, prioridad y evidencia de cierre esperada.
03 / DELIVERY PIPELINE
Un flujo diseñado para terminar en evidencia y decisión.
Selecciona una etapa para ver cómo progresa el engagement. La metodología final se adapta a restricciones, riesgo operativo y acuerdos contractuales.
01 / FRAME
Definir criterio
Acordar marco, alcance, unidades y objetivos de revisión.
El avance representa el modelo de trabajo, no el estado de un cliente real.
04 / DECISION BUILDER
Configura una conversación inicial sin enviar información sensible.
Elige la dimensión que más te interesa revisar. Se generará un perfil inicial para llevar al formulario de alcance.
FOCUSOUTCOME
05 / WHAT YOU RECEIVE
Salidas pensadas para operar, priorizar y demostrar.
Los entregables exactos dependen del servicio contratado. Estos componentes muestran la arquitectura de salida que puede formar parte de una propuesta.
Control matrix
Matriz de requisitos, controles, propietarios, estado y evidencia.
Evidence register
Índice de evidencias y referencia a fuente o repositorio definido.
Gap register
Brechas con contexto, criterio y nivel de prioridad.
Remediation roadmap
Plan por responsables, dependencias y ventanas.
Executive view
Estado agregado y decisiones que requieren patrocinio.
Assurance brief
Resumen de alcance, limitaciones, observaciones y siguiente ciclo.
INCLUSION RULE // Un componente solo se considera entregable cuando está explícitamente incluido en propuesta, alcance o acuerdo.
06 / CLARITY
Preguntas que conviene resolver antes de contratar.
La claridad reduce expectativas incorrectas y protege tanto la operación como la evidencia.
¿Wolf Hack certifica el cumplimiento?
No se presume ni se emite una certificación salvo que exista un esquema y atribución formal que lo permita. El servicio revisa controles y evidencia dentro del alcance acordado.
¿Se puede trabajar contra distintos marcos?
Sí, cuando el criterio aplicable esté definido en el alcance. La revisión debe distinguir requisitos normativos, políticas internas y buenas prácticas.
¿La ausencia de evidencia significa ausencia de control?
No necesariamente. Se documenta lo que pudo demostrarse durante la revisión y se evita inferir más allá de la evidencia disponible.
WHA // NEXT CONTROLLED MOVE
Haz visible qué control existe, qué evidencia lo sostiene y qué decisión sigue.
Comparte objetivo, contexto general y resultado esperado. No envíes credenciales, llaves, tokens, dumps ni datos sensibles en el primer contacto.