← Agentes

Criterio CISO

La seguridad de la información

La evidencia antes de la decisión

Cada control, cada vulnerabilidad y cada incidente, al lado de su evidencia y de su plazo

Alexis pone cada control al lado de la evidencia de que operó. Guillermo pone cada vulnerabilidad al lado del plazo de su política y del catálogo KEV. Amparo pone cada incidente al lado de los plazos que se comprometieron, y cada prueba de continuidad al lado de su calendario. Procesan exportaciones y documentos, nunca sistemas. No aceptan riesgos, no declaran cumplido un control y no califican la madurez.

Lo que cuesta, medido por terceros

Cifras de terceros, cada una con su fuente, su año y su muestra, verificadas contra el texto de quien la publica. Las de los agentes están más abajo, en la evidencia de pruebas.

InstalarApoyar el trabajoRepositorio ↗

Criterio es código abierto. Si te genera valor, ayuda a financiar pruebas, documentación y las próximas capacidades.

Alexis, Guillermo y Amparo son la familia CISO de Criterio, una plataforma abierta de familias de agentes. De laboratorio: construida, con su primera ronda con los agentes. Ver las familias

Industrias

Dónde está probada la familia y qué viene

El motor y los agentes están probados en las 6 entidades del material, en 4 países: 4 de industria —4 industrias— y 2 de control. El motor, además, con cada cambio del repositorio. En el mapa, cada país con su evolución.

4 países probados, en el orden en que entraron · señales y datos de la corrida más reciente de cada entidad

Ronda 1ColombiaBanca, Entidad de controlRonda 125 de 25 señales · 16 de 16 datos
Ronda 1PerúSaludRonda 125 de 25 señales · 8 de 8 datos
Ronda 1ChileTecnologíaRonda 125 de 25 señales · 8 de 8 datos
Ronda 1MéxicoRetail, Entidad de controlRonda 125 de 25 señales · 16 de 16 datos

El mapa de avance

4 países probados

Mapa de América Latina. Probados: Colombia, Perú, Chile, México. Siguientes: . Los demás países todavía están fuera.

Fronteras: Natural Earth, dominio público.

Méxicoprobado desde la ronda 1

Lo que se probó aquí

Identificación

RFC de la entidad: es lo único que pone el país

La familia se apoya en estándares internacionales —el NIST CSF 2.0, el NIST SP 800-61 Rev. 3, el CVSS v4.0 y el catálogo KEV de CISA—, no en la ley del país. Los plazos de corrección, de contención y de notificación los fija la política de cada entidad de prueba, distintos en cada una.

Ver las 16 situaciones que se sembraron en sus entidades

Alexis · 6

  • Un control aplicable de la declaración figura implementado y no tiene ninguna evidencia de que operó
  • La evidencia más reciente de un control periódico es anterior a su periodicidad
  • Un control aplicable no tiene responsable
  • La revisión de accesos de un sistema pasó su fecha, o no hay ninguna
  • La evaluación de seguridad de un tercero crítico pasó su fecha, o no hay ninguna
  • Una aceptación de riesgo pasó su fecha de revisión

Guillermo · 5

  • Una vulnerabilidad sigue abierta después del plazo de su severidad en la política, sin una excepción vigente
  • Una vulnerabilidad del catálogo KEV sigue abierta después de su fecha de corrección
  • Una vulnerabilidad figura cerrada y ningún escaneo posterior la da por corregida
  • Una excepción a la corrección pasó su vencimiento y la vulnerabilidad sigue abierta
  • Un activo del inventario no aparece en ningún escaneo de la ventana configurada

Amparo · 5

  • Un incidente se contuvo después del plazo de su severidad en la política, o sigue sin contener pasado ese plazo
  • Una notificación que pide la matriz —al supervisor, a la autoridad de datos, a los clientes— se hizo tarde o no se hizo
  • Un incidente cerrado no tiene su revisión posterior dentro del plazo
  • La prueba del plan de continuidad o de recuperación pasó su fecha, o no hay ninguna
  • La prueba de restauración de un respaldo crítico pasó su fecha, o no hay ninguna

Última ronda: la 1

  • Retail25 de 25 señales · 8 de 8 datos

    60 documentos · 25 defectos sembrados a propósito

  • Entidad de controlninguna señal, como debe ser · 8 de 8 datos

    49 documentos y ningún defecto: cualquier señal sería una falla

Evolución

  1. Ronda 1 · primera vez · Retail, Entidad de control · 25 de 25 señalessin defectos
Ver la evidencia, ronda por ronda →

Las entidades y sus defectos se escriben en el repositorio, en tests/criterio-ciso/generar.py.

Criterio · Familia CISO

Tres agentes para la seguridad de la información

Procesan la declaración de aplicabilidad, las exportaciones del escáner y los informes de incidentes y de pruebas, y dicen qué control no tiene evidencia, qué vulnerabilidad pasó su plazo y qué notificación no se hizo a tiempo.

CRITERIO · CISOLISTO
ALEXIS
Los controles
GUILLERMO
Las vulnerabilidades
AMPARO
La respuesta
ROSTRUM
El portal
LAS FICHAS DE LA ENTIDADEl único contrato. Alexis, Guillermo y Amparo no se hablan entre sí: comparten la carpeta y la referencia, y cada uno escribe solo su ficha.
IMPRESORA · CRITERIOHOJA 1

CRITERIO · FAMILIA CISO

Estado de la familia: en construcción, en su versión 0.1.0. El motor, con su prueba determinista sobre material sintético de banca, retail, salud y tecnología, con dos entidades de control; la ronda con los tres agentes es el siguiente paso.

De dónde viene cada nombre

Alexis
· del griego Aléxios, «el que defiende»: cada control contra la evidencia de que operó
Guillermo
· del germánico Wilhelm, «protector decidido»: cada vulnerabilidad contra el plazo para corregirla
Amparo
· del latín ante parare, «prevenir, proteger»: cada incidente contra los plazos que se comprometieron
Rostrum
· del latín rostrum, la tribuna del foro romano: sostiene lo que ya está escrito, donde otros puedan leerlo

Los tres, uno por uno

Qué hace cada uno, qué nunca hace y cómo se ve su trabajo

Cada pestaña se lee sola: alguien puede instalar un agente sin los otros dos. Esta familia todavía no tiene capturas de Rostrum; lo que dejó cada agente en su primera ronda, con su calificación, está en el repositorio.

criterio-security

Del griego Aléxios, «el que defiende»: cada control contra la evidencia de que operó.

Procesa la declaración de aplicabilidad, la evidencia de cada control, las revisiones de acceso, las evaluaciones de terceros y el registro de riesgos: cada control contra la evidencia de que operó. Tú aceptas el riesgo y respondes ante la auditoría.

Lo que solo él hace

Revisa todos los controles aplicables, no una muestra, contra la evidencia de que operaron en su periodicidad, antes de que lo pregunte la auditoría. Toma cada control de la declaración de la organización, con el número y el nombre que ella le da.

Lo que responde

  • Qué control aplicable figura implementado y no tiene ninguna evidencia de que operó
  • Qué control tiene su evidencia más reciente vencida para su periodicidad
  • Qué control aplicable no tiene responsable
  • Qué sistema tiene vencida su revisión de accesos, o no tiene ninguna
  • Qué tercero crítico tiene vencida su evaluación de seguridad, o no tiene ninguna
  • Qué aceptación de riesgo pasó su fecha de revisión

Nunca

Acepta un riesgo, declara cumplido un control, califica la madurez de la organización, la certifica contra la ISO/IEC 27001 o abre credenciales, llaves o respaldos.

Extiende a
Quien responde por la seguridad de la información y prepara el comité o la auditoría
Instancias
Una por entidad
Configuración
15 min, en la conversación
Cadencia
Cuando llega evidencia nueva, cuando vence una revisión o una evaluación, y una vez por semana; si no toca nada, se calla
Necesita de ti
Que la declaración de aplicabilidad tenga un responsable por control y que cada control deje su evidencia
Se configura con/criterio-security:security-setup

Sus comandos, por grupo

Arranque y ritmo3 comandos+
security-setupsecurity-wakeshare-findings
Los controles3 comandos+
security-scansoa-statuscontrol-evidence
Accesos, terceros y riesgos3 comandos+
access-reviewsthird-partiesrisk-register

9 comandos · 3 skills

En Rostrum

Rostrum publica lo que Alexis y Amparo ya escribieron, con la fecha en que lo escribieron. Los reportes y las señales de Guillermo no salen ahí salvo que su configuración lo diga (vulnerability.publish): un informe de vulnerabilidades abiertas es un mapa para un atacante.

Cómo entra al portal

  1. Alexis corre /criterio-security:security-setup, deja su configuración en .criterio/seguridad/<entidad>/ y marca su carpeta raíz con _CRITERIO_SEGURIDAD.txt.
  2. Guillermo corre /criterio-vulnerability:vuln-setup, deja su configuración en .criterio/vulnerabilidades/<entidad>/ y marca su carpeta raíz con _CRITERIO_SEGURIDAD.txt.
  3. Amparo corre /criterio-resilience:resilience-setup, deja su configuración en .criterio/resiliencia/<entidad>/ y marca su carpeta raíz con _CRITERIO_SEGURIDAD.txt.

Rostrum la suma al mapa y levanta el portal; lo de Guillermo queda fuera salvo que su configuración diga que se publica:

/plugin install criterio-server@criterio
/criterio-server:server-setup
/criterio-server:server-start

Lo que tiene en Rostrum

Inicio
La tarjeta Criterio CISO, con sus agentes y sus señales abiertas; las de Guillermo, solo si su configuración lo dice.
La familia
Lo último de su motor, sus señales en palabras y sus reportes tal como los dejaron.
Lo que vence
La evidencia de los controles, las revisiones de acceso y las pruebas de continuidad que vencen en los próximos 30 días, junto a los plazos de las otras familias.
Dónde trabaja
La ruta completa de la carpeta de seguridad con su marca, del estado y de la configuración.
Preguntar
Una pregunta escrita para Alexis, Guillermo o Amparo, que la atiende en su siguiente corrida.
Rostrum: instalación, configuración y uso con todas las familias →

Lo que te cuesta hoy

El trabajo que preparan Alexis, Guillermo y Amparo, costeado con tus números

Alexis extiende a quien responde por los controles; Guillermo, a quien responde por las vulnerabilidades; Amparo, a quien responde por los incidentes y la continuidad. Pon cuántas personas hacen cada trabajo, lo que cuestan y cuántas horas a la semana se les van en cada tarea. Nada de lo que escribas sale de tu navegador.

Trabajo en

Escribe los costos en la moneda que elijas. No hay conversión: al cambiar la moneda los costos se borran, porque una tasa de cambio escrita en una página está equivocada en dos semanas.

Las personas

Quien responde por los controles
Costo mensual cargado por personaCargado completo: salario, prestaciones y overhead.
USD

Horas por semana en cada tarea

Buscar la evidencia de que cada control aplicable operó en su periodicidad/control-evidence
h
Perseguir la revisión de accesos de cada sistema/access-reviews
h
Seguir la evaluación de cada tercero crítico/third-parties
h
Revisar las aceptaciones de riesgo contra su fecha/risk-register
h

Las horas son por persona y por semana. Las personas y las horas iniciales son de ejemplo: reemplázalas por las tuyas. El costo lo escribes tú: no ponemos uno que no podamos sustentar.

Tus números · al año

Alexis

Quien responde por los controles · 11 h por semana cada uno (28% de la semana)

1.012 hal año

—al año

Guillermo

Quien responde por las vulnerabilidades · 10 h por semana cada uno (25% de la semana)

920 hal año

—al año

Amparo

Quien responde por los incidentes y la continuidad · 7 h por semana cada uno (18% de la semana)

322 hal año

—al año

Costo anual del trabajo que preparan Alexis, Guillermo y Amparo—
Horas al año2.254 h
Costo anual de las personas incluidas—
Proporción de ese costo—

Escribe el costo mensual de cada grupo para ver lo que cuesta.

Rostrum, el servidor, no suma horas aquí. Si la configuración lo dice, Rostrum deja sus reportes donde el comité de seguridad los ve; los de Guillermo no salen ahí salvo que su configuración lo diga, porque un informe de vulnerabilidades abiertas es un mapa para un atacante. Su efecto es menos «¿dónde está la evidencia de este control?» antes de la auditoría; eso no lo medimos todavía.

Lo que este número es y lo que no es

Es el costo de las horas que el equipo de seguridad dedica hoy a tareas que Alexis, Guillermo y Amparo preparan: buscar la evidencia de cada control, perseguir las revisiones de acceso y las evaluaciones de terceros, cruzar cada escaneo con los plazos de la política y con el catálogo KEV, y reconstruir la línea de tiempo de cada incidente. No es un ahorro. La persona sigue revisando y decidiendo: aceptar un riesgo, aprobar una excepción y notificar son suyos.

Cuántas de esas horas se recuperan lo vamos a publicar en la sección de evidencias, con las pruebas de cada ronda. Hasta tener esa cifra medida, no la ponemos aquí.

Evidencia de pruebas · se actualiza con cada ronda

Esto es lo que ya está medido, con qué muestra y con qué margen.

Cada cifra sale de una corrida real del repositorio, con su conteo y su margen de confianza del 95 %. El motor se prueba con cada cambio del repositorio; los agentes, en rondas sobre el material de una entidad.

Cómo se prueba

4 industrias y 2 controles

El motor, en todas. Los agentes, hasta hoy en las 6 entidades del material, en 4 países. En las entidades de control no hay ningún defecto: cualquier señal es una falla.

6 comandos por entidad

Alexis, Guillermo y Amparo corren el setup y el procesamiento de cada agente —los comandos que procesan los documentos y escriben las fichas—, con un tope de tokens fijado antes de empezar. Los demás calculan sobre esas fichas con el motor, que se prueba con cada cambio del repositorio.

338 documentos

Lo que tiene el material de las entidades medidas, en PDF, Word, CSV, texto, Excel, pem y zip. La clave no se cuenta: los agentes no la tienen.

31,9 millones de tokens

El trabajo del modelo de lenguaje (LLM) en la ronda 1, con sus verificaciones. Ningún comando se repitió.

Una clave que no ven

Lo esperado se escribe en la clave de cada entidad antes de correr: cada señal sembrada y cada dato que traen los documentos escritos.

Margen del 95 %

Cada cifra va con su margen de confianza: dice cuánto sostiene la muestra, que un porcentaje solo no dice.

Alexis, Guillermo y Amparo procesan la documentación de la entidad

Ronda 1 · 6 entidades

Lo que escribieron se califica contra la clave que no vieron: cada señal por su nombre y su clave, y cada dato de las fichas contra lo que traen los documentos escritos. Cuenta la corrida más reciente de cada entidad, sea de la ronda que sea; si se corrigió un defecto, la que lo verificó. Las primeras corridas, con lo que fallaron, están en la gráfica y en el detalle.

Datos de las fichas

92,5 % o más

Lo medido: 100 %. El titular es el piso del margen de confianza del 95 %: lo que la prueba sostiene.

48 de 48 datos extraídos de los documentos escritos coinciden con la clave.

Medido

Margen de confianza del 95% (Wilson): 92,5–100%

Señales encontradas

96,3 % o más

Lo medido: 100 %. El titular es el piso del margen de confianza del 95 %: lo que la prueba sostiene.

100 de 100 señales que la clave esperaba.

Medido

Margen de confianza del 95% (Wilson): 96,3–100%

Señales correctas

96,3 % o más

Lo medido: 100 %. El titular es el piso del margen de confianza del 95 %: lo que la prueba sostiene.

100 de 100 señales que levantaron eran correctas.

Medido

Margen de confianza del 95% (Wilson): 96,3–100%

Controles sin falsas alarmas

2 de 2

2 de 2 entidades de control sin una señal de más.

Medido

Con un defecto en un control de esta ronda: CISO-3. Su fila, en los defectos.

36 comandos corridos en 6 entidades, cada uno con su salida, su costo y su calificación publicados.

Cómo avanza la familia de una ronda a otra

Cada punto es una entidad en su primera corrida de la ronda; la línea es su margen de confianza del 95 %. Las verificaciones van aparte: repiten lo que se corrigió. El eje empieza en el valor más bajo publicado.

salud · Perúbanca · Colombiaretail · Méxicotecnología · Chileentidad de control · Colombiaentidad de control · México

Ronda 11

  1. 1 · Ronda 1: Alexis, Guillermo y Amparo sobre banca · Colombia, entidad de control · Colombia, entidad de control · México, retail · México, salud · Perú y tecnología · Chile.

Resultados por país · la corrida más reciente de cada país

Cada país con sus entidades en su corrida más reciente con el agente. El margen es el intervalo de Wilson al 95 %.

PaísEntidadesRondaDatos de las fichasSeñales encontradasSeñales correctasControles sin falsas alarmas
Colombia2116 de 16 · 100%IC 95% 80,6–100%25 de 25 · 100%IC 95% 86,6–100%25 de 25 · 100%IC 95% 86,6–100%1 de 1
Perú118 de 8 · 100%IC 95% 67,5–100%25 de 25 · 100%IC 95% 86,6–100%25 de 25 · 100%IC 95% 86,6–100%—
Chile118 de 8 · 100%IC 95% 67,5–100%25 de 25 · 100%IC 95% 86,6–100%25 de 25 · 100%IC 95% 86,6–100%—
México2116 de 16 · 100%IC 95% 80,6–100%25 de 25 · 100%IC 95% 86,6–100%25 de 25 · 100%IC 95% 86,6–100%1 de 1

Defectos encontrados por las rondas · 4

Cada error se registra con su origen y el commit que lo corrige. Se da por verificado solo cuando una corrida posterior a la corrección da lo esperado.

  • 4 Corregido y verificado
  • 0 Corregido, por verificar
  • 0 Abierto

De dónde vinieron

  • el código2
  • el arnés de prueba1
  • las instrucciones del agente1
El análisis estadístico completo: márgenes, evolución, industrias y cada falla con su origen →Cada salida, su costo y su calificación, en GitHub ↗

Para auditar

El detalle completo de cada corrida. Se abre cada bloque por separado.

Cada corrida de la ronda6 corridas

Alexis, Guillermo y Amparo corren su instalación y su revisión completa sobre el material de cada entidad, con un tope de tokens fijado antes de empezar. Lo que escriben se califica contra la clave que no ven: cada señal por su nombre, y cada dato de las fichas contra lo que traen la evidencia de los controles, los informes de incidentes y sus constancias.

Material de pruebaAgente · comandosSeñalesDatos de las fichasTokens
bancaRonda 1 · ColombiaAlexis, Amparo, Guillermo · 625 / 258 / 85,3 M
entidad de controlRonda 1 · ColombiaAlexis, Amparo, Guillermo · 60 / 08 / 85,3 M
entidad de controlRonda 1 · MéxicoAlexis, Amparo, Guillermo · 60 / 08 / 85,2 M
retailRonda 1 · MéxicoAlexis, Amparo, Guillermo · 625 / 258 / 85,1 M
saludRonda 1 · PerúAlexis, Amparo, Guillermo · 625 / 258 / 86 M
tecnologíaRonda 1 · ChileAlexis, Amparo, Guillermo · 625 / 258 / 85 M
Los defectos, uno por uno4 defectos

  • CISO-1Corregido y verificado

    La clave esperaba en la ficha de Amparo la lista de lo revisado vacía, y Amparo no escribió el campo porque no revisó nada que descartar. El arnés lo calificó como mal, aunque las dos formas dicen lo mismo.

    El arnés da por buena una lista que la clave espera vacía cuando la ficha no la trae. Se volvió a calificar la corrida de banca de Colombia, sin repetir comandos: 8 de 8 datos.

    el arnés de prueba · banca · Colombia · 2777ad04

  • CISO-2Corregido y verificado

    Las corridas de Alexis, Guillermo y Amparo no dejaban su página ni su registro en `.criterio/corridas/`: el hook se disparaba, pero el rastro no sabía cuál era el área de los plugins de la CISO, ni de los de la CCO. No cambiaba ninguna señal ni ningún dato; Rostrum no tenía qué mostrar de esas corridas.

    El rastro conoce el área y el nombre de los cinco plugins, con su prueba, y la sincronización falla si un plugin con el hook no está en el rastro. La entidad de control de Colombia, armada después de la corrección, dejó sus corridas.

    el código · banca · Colombia · 2777ad04

  • CISO-3Corregido y verificado

    En las dos entidades de control, Alexis anotó en la lista de lo revisado las credenciales, la llave y el respaldo que el motor excluye. No los abrió —su motivo dice «no se abre»—, pero la lista dejó de ser lo que se miró y se descartó, y el dato se calificó como mal.

    El skill de la ficha de Alexis, y el de la de Amparo, dicen que lo que el motor excluye no va a esa lista: ya lo lista `seguridad.py excluidos`, que es lo que cita el reporte. Se repitieron la instalación y el barrido de Alexis en los dos controles: 8 de 8 datos en cada uno.

    las instrucciones del agente · entidad de control · Colombia · 3bd3af0e

  • CISO-4Corregido y verificado

    Guillermo lo reportó en su instalación: `convertir` dejó en el caché una copia en texto de un archivo de credenciales que el motor ya había excluido. El agente no la abrió, pero la exclusión de credenciales, llaves y respaldos tiene que valer también para la conversión.

    `convertir` recibe del motor de la CISO la lista de excluidos y no abre ni copia ninguno: van al manifiesto como no convertidos, con su motivo. La prueba del motor lo exige. Se verificó con el motor instalado después de la corrección, sobre el control de Colombia: la credencial quedó en el manifiesto como excluida y sin copia.

    el código · banca · Colombia · 21363181

Cómo se probó el motor6 entidades

Material sintético de banca (Colombia), retail (México), salud (Perú), tecnología (Chile), más 2 entidades de control sin ningún defecto: 6 entidades con su declaración de aplicabilidad y la evidencia de sus controles, tres exportaciones del escáner y el catálogo KEV, sus incidentes con sus notificaciones y su calendario de continuidad, y una clave que el motor no ve.

100

señales sembradas a propósito, cada una con su clave

16 de 16

señales de la familia sembradas al menos una vez

2

entidades de control, en las que cualquier señal es una falla

El motor levanta cada señal esperada y ninguna de más, y la puerta que lo comprueba corre con cada cambio del repositorio. El material prueba además las reglas de la operación real: cuatro formas de exportación del escáner —un CSV con cabeceras en inglés, un Excel con cabeceras en español, un CSV cuyas cabeceras piden su mapeo y uno con el puntaje del CVSS y sin la severidad—, y que en cada entidad una llave privada, un archivo de credenciales y un respaldo queden fuera sin que ningún resultado guarde su contenido. Los CVE del material llevan el año 2099: ninguno es una vulnerabilidad real.

Lo que sigue

  • La ronda 2 con el agente, sobre todo el material otra vez.
  • El primer uso sobre la documentación de una organización concreta.
  • Cuántas horas recuperan los agentes no está medido todavía. Hasta medirlo, no lo publicamos.

Una página de resultados que solo dice lo que pasó es publicidad. Lo que la vuelve auditable es lo que dice que todavía no se sabe.

Hoja de ruta

La familia crece por incrementos, cada uno con su prueba completa

Cada incremento es una versión con su prueba completa y su análisis estadístico publicados, con las mismas métricas, para que la evolución se pueda comparar. Las versiones se suman: la última liberada trae todo lo anterior y las correcciones de lo que encontraron sus pruebas.

LaboratorioLo dice su evidencia, no su número: está probada sobre material sintético y se puede usar, pero todavía no llega al piso del 95 % en señales o en datos, o un control levantó una señal. Cada versión siguiente trae todo lo anterior. Cada número entero tiene diez versiones, de x.0 a x.9; después viene la x+1.0.

  1. 0.1.0

    Liberada

    Liberada el 2026-10-30

    Alexis, Guillermo y Amparo, construidos, con el motor probado

    • Los comandos, sus siete skills y el motor, con las dieciséis señales: los controles, los accesos, los terceros y los riesgos de Alexis; las vulnerabilidades, el catálogo KEV y la cobertura de Guillermo; los incidentes, las notificaciones y las pruebas de Amparo
    • Cualquier exportación de escáner en CSV o Excel con su mapeo de columnas, la severidad desde el CVSS v4.0 y el catálogo KEV de CISA
    • Lo que nunca se abre: credenciales, llaves y respaldos, excluidos por omisión
    • Material de banca, retail, salud y tecnología, con dos entidades de control

    Prueba

    El motor contra la clave de todo el material: seis entidades de cuatro industrias, con sus controles

  2. Último liberado

    0.2.0

    Liberada

    Liberada el 2026-10-30

    Trae todo lo anterior y sus correcciones

    La ronda de los tres agentes

    • La ronda con Alexis, Guillermo y Amparo sobre todo el material, con la clave que no ven
    • Los defectos que encuentre, con su corrección y su verificación

    Prueba

    La ronda completa, con el piso del margen del 95 % en señales y en datos (decisión 0020)

  3. 0.3.0

    En curso

    Los escáneres, cada uno desde su fuente

    • El formato de exportación de Tenable, Qualys, Rapid7 y Microsoft Defender, cada uno desde su fuente verificada, como entraron Dynamics y Zoho en la CCO

    Prueba

    Su material y su ronda, con las mismas métricas

La misma hoja de ruta vive en el repositorio, en families/criterio-ciso/hoja-de-ruta.json.

Cómo trabajan

Cinco pasos y una frontera. El modelo de lenguaje (LLM) extrae lo que solo trae un documento escrito; el código calcula todo lo demás. Es IA generativa más un motor determinista, aplicada a la seguridad de la información.

  1. 01

    Tus documentos y exportaciones

    La declaración de aplicabilidad, la evidencia de cada control, las revisiones de acceso, las evaluaciones de terceros, el registro de riesgos, las exportaciones del escáner con el catálogo KEV, los informes de incidentes con sus constancias y los de cada prueba de continuidad. Como estén, donde estén.

    No corre un escaneo ni se conecta a ningún sistema.

    El modelo extrae
  2. 02

    El inventario

    El motor recorre la carpeta y deja fuera, por omisión, credenciales, llaves y respaldos. Procesa cada tabla y cada exportación del escáner desde su formato, en CSV o Excel. Lo que no puede procesar lo declara, con la razón.

    Una columna que no reconoce se pregunta, no se adivina.

    El modelo extrae
  3. 03

    La ficha

    Una por entidad y periodo para cada agente: la evidencia de cada control con la fecha que cubre, cada revisión de accesos y cada evaluación de un tercero; cada incidente con su línea de tiempo y sus notificaciones, cada revisión posterior y cada prueba, cada dato con su cita.

    «No encontrado» es una respuesta válida.

    El modelo extrae
  4. 04

    El motor

    Cada control contra su evidencia y su periodicidad, cada revisión y cada evaluación contra su frecuencia, cada vulnerabilidad contra el plazo de su severidad y la fecha del catálogo KEV, cada cierre contra el escaneo que lo prueba, cada incidente contra sus plazos de contención, de notificación y de revisión, y cada prueba contra su calendario.

    Determinista y probado.

    El código calcula
  5. 05

    Señales

    Solo lo que cruzó un umbral: el control sin evidencia, la vulnerabilidad fuera de plazo, la notificación tardía, la prueba vencida. Si nada lo cruzó, no dice nada.

    El silencio es la característica.

    El código calcula

Ningún plazo, día, hora o conteo de un reporte sale de una estimación. Y lo que no está dicho en ninguna parte se declara, no se completa.

Por qué importa esta frontera →

Siete invariantes que los sostienen

01

Los agentes no se hablan entre sí

Comparten la carpeta y la referencia de la entidad, y cada uno escribe solo su ficha.

02

Rostrum no escribe

Sirve lo que el motor ya escribió, con su fecha, y no recalcula nada. Lo de Guillermo no sale ahí salvo que la configuración lo diga.

03

Documentos, nunca sistemas

Ningún agente corre un escaneo, ni se conecta a una consola o a internet.

04

Lo que nunca se abre, no se abre

Credenciales, llaves y respaldos quedan fuera por omisión, y cada reporte dice cuáles excluyó.

05

El modelo extrae, el código calcula

Todo plazo, día, hora o conteo de un reporte sale del motor. Si el motor no lo da, no se escribe.

06

Los plazos son de la organización

Salen de su política, su matriz y sus registros, con su cita. Lo único externo es la fecha de corrección que trae el catálogo KEV y la escala del CVSS cuando el escáner da el puntaje y no la severidad.

07

Ningún agente decide

Aceptar un riesgo, aprobar una excepción, notificar y declarar cumplido un control son de una persona.

El detalle

Para quien quiere revisarlo todo

Los comandos con su entrada, su proceso y su reporte; las señales que calcula el código; la estructura de carpetas; las fuentes, y los enlaces al repositorio.

Los comandos de Alexis9 comandos

En orden de importancia. El primero deja la configuración que los demás necesitan.

  1. 0security-setup

    La configuración, el inventario y lo que se excluyó

    Entrada
    La carpeta raíz. Preguntas: entidad y su identificación fiscal, país, el periodo, dónde está la declaración de aplicabilidad de 00-referencia/ y qué columna trae el control, si aplica, su estado, su responsable y su periodicidad, la tabla de sistemas con la frecuencia de su revisión de accesos, el registro de terceros con los críticos y la frecuencia de su evaluación, y el registro de riesgos de 40-riesgos/
    Proceso (lo calcula el código)
    Inventario de lo que hay; lista lo que excluye por ser una credencial, una llave o un respaldo; reconoce las columnas de cada tabla; compara la carpeta con la estructura recomendada; no crea, mueve ni renombra nada
    Reporte
    Configuración guardada; inventario por carpeta; lo excluido y por qué; las columnas que faltan; la primera ficha del periodo
  2. 1security-scan

    La ficha del periodo al día, con la evidencia nueva y las señales nuevas

    Entrada
    10-controles/, 20-accesos/ y 30-terceros/ completos
    Proceso (lo calcula el código)
    El agente lleva a la ficha del periodo cada evidencia de 10-controles/ con su control y la fecha que cubre, cada revisión de 20-accesos/ con su sistema, su fecha y quién revisó, y cada evaluación de 30-terceros/ con su tercero, su fecha y su resultado, cada dato con su cita; el motor valida la ficha y dice qué documento no está en ella
    Reporte
    Lo que entró a la ficha; los documentos que todavía no están en ella; las señales nuevas; lo que no se pudo procesar y por qué
  3. 2soa-status

    Cada control aplicable con su responsable

    Entrada
    La declaración de aplicabilidad de 00-referencia/
    Proceso (lo calcula el código)
    Cada control de la declaración con si aplica, su estado, su responsable y su periodicidad; el motor no califica la madurez ni declara cumplido un control
    Reporte
    Los controles aplicables sin responsable, con su fila; la declaración completa
  4. 3control-evidence

    Cada control contra la evidencia de que operó

    Entrada
    La declaración de aplicabilidad y la ficha del periodo
    Proceso (lo calcula el código)
    Cada control aplicable que figura implementado contra la evidencia de la ficha: si tiene alguna, y si la más reciente cae dentro de su periodicidad
    Reporte
    Los controles sin evidencia y los que tienen la evidencia vencida, cada uno con su cita y su responsable
  5. 4access-reviews

    Cada sistema con su revisión de accesos al día o vencida

    Entrada
    La tabla de sistemas de 00-referencia/ y la ficha del periodo
    Proceso (lo calcula el código)
    Cada sistema contra la frecuencia de su revisión de accesos: la última revisión de la ficha y cuándo tocaba la siguiente
    Reporte
    Los sistemas con la revisión vencida o sin ninguna, con su cita
  6. 5third-parties

    Cada tercero crítico con su evaluación al día o vencida

    Entrada
    El registro de terceros de 00-referencia/ y la ficha del periodo
    Proceso (lo calcula el código)
    Cada tercero crítico contra la frecuencia de su evaluación de seguridad: la última de la ficha, su resultado y cuándo tocaba la siguiente
    Reporte
    Los terceros críticos con la evaluación vencida o sin ninguna, con su cita
  7. 6risk-register

    Cada aceptación de riesgo contra su fecha de revisión

    Entrada
    El registro de riesgos de 40-riesgos/
    Proceso (lo calcula el código)
    Cada riesgo con su decisión; los aceptados contra su fecha de revisión. El agente no acepta ni cierra un riesgo
    Reporte
    Las aceptaciones que pasaron su fecha de revisión, con quién las aceptó y su fila
  8. 7security-wake

    Lo que tocaba hoy, corrido

    Entrada
    El estado y los documentos nuevos
    Proceso (lo calcula el código)
    Si hay documentos nuevos o pasó una semana, la revisión completa; si hay señales abiertas, el reporte de su grupo; una pregunta que alguien dejó en Rostrum
    Reporte
    Qué corrió y por qué, o que no tocaba nada
  9. 8share-findings

    Un resumen sin datos para compartir, solo si dices que sí

    Entrada
    El rastro local de las corridas de este agente, en .criterio/corridas/
    Proceso (lo calcula el código)
    El código arma un resumen sin datos —el plugin y su versión, cada comando con cuántas veces corrió y su duración mediana, cada señal por su código con cuántas veces salió— y pregunta siempre si se quiere compartir; nada se envía (decisión 0025)
    Reporte
    El resumen tal cual y, con un sí, el enlace a la plantilla de hallazgo del repositorio, que abre la persona
Los comandos de Guillermo7 comandos

En orden de importancia. El primero deja la configuración que los demás necesitan.

  1. 0vuln-setup

    La configuración, con los plazos de la política, y el formato de cada exportación

    Entrada
    La carpeta raíz. Preguntas: entidad y su identificación fiscal, país, el periodo, los plazos de corrección de cada severidad que da la política de gestión de vulnerabilidades de 00-referencia/, de qué escáner salen las exportaciones de 50-escaneos/ y, si sus columnas no se reconocen, qué columna trae el activo, la vulnerabilidad, la severidad o el puntaje CVSS y la primera detección, cuántos días sin escaneo dejan un activo sin cobertura y si sus reportes se publican en Rostrum
    Proceso (lo calcula el código)
    Inventario de lo que hay; lista lo que excluye; reconoce las columnas de cada exportación del escáner y del catálogo KEV (F-06); el agente extrae de la política los plazos de cada severidad, con su cita; no crea, mueve ni renombra nada
    Reporte
    Configuración guardada, con los plazos y su cita; inventario por carpeta; cada exportación con su fecha, sus activos y sus hallazgos; las columnas que faltan
  2. 1vuln-scan

    Lo abierto al día, con las señales nuevas

    Entrada
    50-escaneos/ y 60-remediacion/ completos
    Proceso (lo calcula el código)
    El código procesa cada exportación con su fecha: lo abierto es lo que encontró el último escaneo de cada activo, con la fecha de su primera detección; la severidad es la del escáner o, si solo trae el puntaje, la de la escala del CVSS (F-05); cruza el catálogo KEV (F-06), el seguimiento y las excepciones
    Reporte
    Los escaneos con sus activos y sus hallazgos; lo abierto; el catálogo KEV que se usó; las señales nuevas; lo que no se pudo procesar y por qué
  3. 2vuln-sla

    Cada vulnerabilidad abierta contra el plazo de la política

    Entrada
    Las exportaciones de 50-escaneos/, las excepciones de 60-remediacion/ y los plazos de la configuración
    Proceso (lo calcula el código)
    Cada vulnerabilidad abierta contra el plazo de su severidad, contado desde su primera detección; una excepción vigente la suspende; una excepción vencida sobre algo que sigue abierto es una señal
    Reporte
    Las vulnerabilidades fuera de plazo y las excepciones vencidas, cada una con su activo, su severidad, sus días y su cita
  4. 3kev-check

    Cada vulnerabilidad explotada que sigue abierta

    Entrada
    Las exportaciones de 50-escaneos/ y el catálogo KEV de CISA (F-06)
    Proceso (lo calcula el código)
    Cada vulnerabilidad abierta cuyo CVE está en el catálogo, contra la fecha de corrección que trae el catálogo; dice si se conoce su uso en ransomware
    Reporte
    Las vulnerabilidades del catálogo que siguen abiertas después de su fecha, con su activo y su cita
  5. 4scan-coverage

    Cada activo con su escaneo, y cada cierre con el escaneo que lo prueba

    Entrada
    El inventario de activos de 00-referencia/, las exportaciones de 50-escaneos/ y el seguimiento de 60-remediacion/
    Proceso (lo calcula el código)
    Cada activo del inventario en alcance contra el último escaneo que lo incluye y la ventana configurada; cada vulnerabilidad cerrada en el seguimiento contra los escaneos posteriores a su cierre
    Reporte
    Los activos sin escaneo en la ventana; los cierres que ningún escaneo posterior prueba o que el escaneo sigue encontrando; lo escaneado fuera del inventario
  6. 5vuln-wake

    Lo que tocaba hoy, corrido

    Entrada
    El estado y los documentos nuevos
    Proceso (lo calcula el código)
    Si llegó una exportación, un catálogo o un seguimiento nuevo, o pasó una semana, la revisión completa; si hay señales abiertas, el reporte de su grupo; una pregunta que alguien dejó en Rostrum
    Reporte
    Qué corrió y por qué, o que no tocaba nada
  7. 6share-findings

    Un resumen sin datos para compartir, solo si dices que sí

    Entrada
    El rastro local de las corridas de este agente, en .criterio/corridas/
    Proceso (lo calcula el código)
    El código arma un resumen sin datos —el plugin y su versión, cada comando con cuántas veces corrió y su duración mediana, cada señal por su código con cuántas veces salió— y pregunta siempre si se quiere compartir; nada se envía (decisión 0025)
    Reporte
    El resumen tal cual y, con un sí, el enlace a la plantilla de hallazgo del repositorio, que abre la persona
Los comandos de Amparo7 comandos

En orden de importancia. El primero deja la configuración que los demás necesitan.

  1. 0resilience-setup

    La configuración, con los plazos de la política

    Entrada
    La carpeta raíz. Preguntas: entidad y su identificación fiscal, país, el periodo, los plazos de contención de cada severidad y los días para la revisión posterior que da la política de respuesta a incidentes de 00-referencia/, la matriz de notificaciones con cada destinatario, cuándo aplica y su plazo, y el calendario de continuidad con cada prueba, su tipo y su frecuencia
    Proceso (lo calcula el código)
    Inventario de lo que hay; lista lo que excluye; el agente extrae de la política los plazos de cada severidad y el de la revisión posterior, con su cita; reconoce las columnas de la matriz y del calendario; no crea, mueve ni renombra nada
    Reporte
    Configuración guardada, con los plazos y su cita; inventario por carpeta; las columnas que faltan; la primera ficha del periodo
  2. 1resilience-scan

    La ficha del periodo al día, con los incidentes, las revisiones y las pruebas nuevas

    Entrada
    70-incidentes/, 80-revisiones/ y 90-continuidad/ completos
    Proceso (lo calcula el código)
    El agente lleva a la ficha del periodo cada incidente de 70-incidentes/ con su severidad, la detección, la contención y el cierre con su hora, si hubo datos personales o clientes afectados, y cada notificación con su destinatario, su hora y su constancia; cada revisión de 80-revisiones/ y cada prueba de 90-continuidad/ con su fecha y su resultado; cada dato con su cita (F-04); el motor valida la ficha
    Reporte
    Lo que entró a la ficha; los documentos que todavía no están en ella; las señales nuevas; lo que no se pudo procesar y por qué
  3. 2incident-timeline

    Cada incidente contra el plazo de su severidad y su revisión

    Entrada
    La ficha del periodo y los plazos de la configuración
    Proceso (lo calcula el código)
    Cada incidente: las horas de la detección a la contención contra el plazo de su severidad, y su revisión posterior contra los días de la política desde el cierre
    Reporte
    Los incidentes contenidos fuera de plazo o sin contener, y los cerrados sin revisión o revisados tarde, con su cita
  4. 3notifications

    Cada notificación que pide la matriz, a tiempo, tarde o sin hacer

    Entrada
    La matriz de notificaciones de 00-referencia/ y la ficha del periodo
    Proceso (lo calcula el código)
    Cada incidente contra cada fila de la matriz que le aplica —por su severidad, por los datos personales o por los clientes afectados—: la notificación registrada y su hora contra el plazo desde la detección. El agente no notifica a nadie
    Reporte
    Las notificaciones tardías y las que no se hicieron, con su destinatario, su norma y su cita
  5. 4continuity-tests

    Cada prueba contra su calendario

    Entrada
    El calendario de continuidad de 00-referencia/ y la ficha del periodo
    Proceso (lo calcula el código)
    Cada prueba del calendario —el plan de continuidad, el de recuperación, la restauración de cada respaldo crítico— contra su frecuencia: la última de la ficha, su resultado y cuándo tocaba la siguiente
    Reporte
    Las pruebas vencidas o sin ninguna, separadas las de restauración, con su cita
  6. 5resilience-wake

    Lo que tocaba hoy, corrido

    Entrada
    El estado y los documentos nuevos
    Proceso (lo calcula el código)
    Si llegó un incidente, una revisión o una prueba nueva, o pasó una semana, la revisión completa; si hay señales abiertas, el reporte de su grupo; una pregunta que alguien dejó en Rostrum
    Reporte
    Qué corrió y por qué, o que no tocaba nada
  7. 6share-findings

    Un resumen sin datos para compartir, solo si dices que sí

    Entrada
    El rastro local de las corridas de este agente, en .criterio/corridas/
    Proceso (lo calcula el código)
    El código arma un resumen sin datos —el plugin y su versión, cada comando con cuántas veces corrió y su duración mediana, cada señal por su código con cuántas veces salió— y pregunta siempre si se quiere compartir; nada se envía (decisión 0025)
    Reporte
    El resumen tal cual y, con un sí, el enlace a la plantilla de hallazgo del repositorio, que abre la persona
Lo que calcula el código16 señales

16 señales. Cada una se levanta con el control, el sistema, el tercero, la vulnerabilidad, el activo, el incidente o la prueba que la causa, y la cita del documento; los plazos salen de la política, la matriz y los registros de cada entidad, con su cita.

Alexis · 6

  • control_without_evidence

    Un control aplicable de la declaración figura implementado y no tiene ninguna evidencia de que operó

  • control_evidence_stale

    La evidencia más reciente de un control periódico es anterior a su periodicidad

  • soa_control_unassigned

    Un control aplicable no tiene responsable

  • access_review_overdue

    La revisión de accesos de un sistema pasó su fecha, o no hay ninguna

  • third_party_assessment_overdue

    La evaluación de seguridad de un tercero crítico pasó su fecha, o no hay ninguna

  • risk_acceptance_expired

    Una aceptación de riesgo pasó su fecha de revisión

Guillermo · 5

  • vuln_past_sla

    Una vulnerabilidad sigue abierta después del plazo de su severidad en la política, sin una excepción vigente

  • kev_past_due

    Una vulnerabilidad del catálogo KEV sigue abierta después de su fecha de corrección

  • vuln_closed_without_rescan

    Una vulnerabilidad figura cerrada y ningún escaneo posterior la da por corregida

  • vuln_exception_expired

    Una excepción a la corrección pasó su vencimiento y la vulnerabilidad sigue abierta

  • asset_not_scanned

    Un activo del inventario no aparece en ningún escaneo de la ventana configurada

Amparo · 5

  • incident_response_late

    Un incidente se contuvo después del plazo de su severidad en la política, o sigue sin contener pasado ese plazo

  • incident_notification_late

    Una notificación que pide la matriz —al supervisor, a la autoridad de datos, a los clientes— se hizo tarde o no se hizo

  • incident_without_review

    Un incidente cerrado no tiene su revisión posterior dentro del plazo

  • continuity_test_overdue

    La prueba del plan de continuidad o de recuperación pasó su fecha, o no hay ninguna

  • restore_test_overdue

    La prueba de restauración de un respaldo crítico pasó su fecha, o no hay ninguna

La estructura de carpetasseguridad/

Recomendada, no obligatoria: los agentes procesan la carpeta como esté. El setup dice qué archivo está fuera de su lugar y dónde iría, sin crear, mover ni renombrar nada. Busca la carpeta de seguridad de la entidad, la propone con la razón y, si dices que sí, la marca con un archivo visible, _CRITERIO_SEGURIDAD.txt. Credenciales, llaves y respaldos se excluyen por omisión y nunca se abren; cada reporte dice cuáles excluyó. Entre tus documentos no escriben nada más: lo que encuentran va en su estado, aparte.

Una carpeta por entidad, con su identificación fiscal al inicio del nombre. Dentro, las políticas y los registros de referencia, la evidencia de cada control, las revisiones de acceso, las evaluaciones de terceros, el registro de riesgos, las exportaciones del escáner, la remediación, los incidentes, sus revisiones y las pruebas de continuidad. Nunca credenciales, llaves ni respaldos: el motor los excluye.

seguridad/
└── <entidad>/
    ├── 00-referencia/
    ├── 10-controles/
    ├── 20-accesos/
    ├── 30-terceros/
    ├── 40-riesgos/
    ├── 50-escaneos/
    ├── 60-remediacion/
    ├── 70-incidentes/
    ├── 80-revisiones/
    └── 90-continuidad/
estado-seguridad/

<entidad>/ · Lo que la organización lleva para toda la seguridad de la información

CarpetaQué vaAgente
00-referencia/Las políticas —de seguridad, de gestión de vulnerabilidades y de respuesta a incidentes—, la declaración de aplicabilidad, la tabla de sistemas, el registro de terceros, el inventario de activos, la matriz de notificaciones y el calendario de continuidadAlexis, Guillermo, Amparo
10-controles/La evidencia de cada control, con el número del control al inicio del nombre y el periodo que cubre: el informe, el registro, la captura o el acta que dice que el control operóAlexis
20-accesos/Las revisiones de acceso de cada sistema, con el sistema y la fecha en el nombreAlexis
30-terceros/Las evaluaciones de seguridad de cada tercero: el cuestionario, el informe o la certificación que entregó, con su fechaAlexis
40-riesgos/El registro de riesgos, con la decisión sobre cada uno, quién aceptó y hasta cuándo, y el documento de cada aceptaciónAlexis
50-escaneos/Las exportaciones del escáner de vulnerabilidades, en CSV o Excel, con la fecha del escaneo en el nombre, y el catálogo KEV de CISA tal como se descargaGuillermo
60-remediacion/El seguimiento de la remediación —cada vulnerabilidad con su estado y su fecha de cierre— y el registro de excepciones con su aprobación y su vencimientoGuillermo
70-incidentes/El informe de cada incidente, con su línea de tiempo —la detección, la contención y el cierre— y cada notificación que se hizo, con su constanciaAmparo
80-revisiones/La revisión posterior de cada incidente: las lecciones aprendidas y las acciones que salen de ellasAmparo
90-continuidad/El informe de cada prueba del plan de continuidad, del de recuperación y de cada restauración de un respaldo, con su fecha y su resultadoAmparo

estado-seguridad/ · Lo que escriben Alexis, Guillermo y Amparo: la configuración, la ficha de cada periodo, los informes y los índices. Ninguna persona lo edita, y ningún agente escribe fuera de aquí.

Las fuentes5 de 7 verificadas

El rol, desde O*NET; el orden de la familia, desde el NIST CSF 2.0; la respuesta a incidentes, desde el NIST SP 800-61 Rev. 3; la severidad, desde la escala del CVSS v4.0, y el catálogo KEV, desde el archivo que publica CISA, campo por campo. Ninguna ley de un país entra al cálculo. La ISO/IEC 27001 y la BOD 26-04 siguen por verificar, y el motor no se apoya en ninguna de las dos.

  • F-01

    O*NET · 15-1212.00 Information Security Analysts

    Datos de 2026 (O*NET OnLine) · onetonline.org ↗

    Verificada
  • F-02

    NIST · The NIST Cybersecurity Framework (CSF) 2.0 · NIST CSWP 29

    Publicado el 26 de febrero de 2024 · nist.gov ↗ · nvlpubs.nist.gov ↗

    Verificada
  • F-03

    ISO/IEC 27001:2022 · Anexo A

    La edición de 2022, con sus 93 controles en cuatro grupos (5 a 8) · iso.org ↗

    Por verificar
  • F-04

    NIST · SP 800-61 Rev. 3 · Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile

    Publicada el 3 de abril de 2025; reemplaza la Rev. 2 · nist.gov ↗ · nvlpubs.nist.gov ↗

    Verificada
  • F-05

    FIRST · Common Vulnerability Scoring System v4.0 · Specification Document

    CVSS 4.0, publicado el 1 de noviembre de 2023; documento versión 1.2 · first.org ↗

    Verificada
  • F-06

    CISA · Known Exploited Vulnerabilities Catalog · el archivo CSV

    El archivo publicado al 28 de octubre de 2026, con doce columnas · github.com/cisagov/kev-data ↗

    Verificada
  • F-07

    CISA · Binding Operational Directive 26-04 · Prioritizing Security Updates Based on Risk

    Emitida el 10 de junio de 2026; revoca y reemplaza la BOD 22-01 · fedramp.gov ↗

    Por verificar
En el repositorio9 enlaces

Instalación, configuración y términos

Se instala en minutos. Antes del primer análisis, aceptas los términos.

Tres pasos y ninguno exige editar un archivo. Se instala solo el agente del rol que tienes: Alexis, Guillermo y Amparo funcionan cada uno sin los otros. Si instalas los tres, se encuentran solos por el estado de la entidad y comparten la referencia de 00-referencia/: no hay nada que conectar.

Paso 1

Instalar

  1. 01Personalizar → Explorar plugins → Personal.
  2. 02Pulsa + → Agregar marketplace desde GitHub.
  3. 03Escribe josenanez/criterio.
  4. 04Instala el agente de tu rol: Alexis (El gobierno y los controles), Guillermo (Las vulnerabilidades) o Amparo (La respuesta y la recuperación).

Para recibir cada versión nueva, activa una vez la actualización automática: en /plugin, Marketplaces → criterio → Enable auto-update. Sin eso, la versión instalada no cambia sola.

Qué necesita de ti

  • Una carpeta con la documentación, como esté. Una carpeta desordenada es el caso normal.
  • Un plan pago de Claude, y la aplicación de escritorio si los documentos viven en tu equipo.
  • Quince minutos para cada uno.
Paso 2

Configurar

Cada agente trae su comando de configuración. Mira tus carpetas, hace pocas preguntas y te muestra un primer resultado sobre tus propios documentos.

/criterio-security:security-setup

  1. 1Cuál de las carpetas que encuentra es la de seguridad de la entidad
  2. 2La entidad, su identificación fiscal, su país y el periodo
  3. 3Dónde está la declaración de aplicabilidad y qué columna trae el control, si aplica, su estado, su responsable y su periodicidad
  4. 4La tabla de sistemas, con la frecuencia de su revisión de accesos
  5. 5El registro de terceros, con los críticos y la frecuencia de su evaluación
  6. 6Los términos

Cómo pregunta

  • Una pregunta a la vez. Nunca un formulario.
  • Cada pregunta trae una respuesta sugerida, y «no sé» es una respuesta válida.
  • No pregunta lo que puede averiguar mirando la carpeta.
  • No te pide escribir una ruta: busca la carpeta, te la propone con la razón y, si dices que sí, la marca con un archivo visible para que la reconozcas a primera vista.
  • Nadie edita la configuración a mano: si quieres cambiar algo, lo dices en la conversación.

Ninguno se programa solo. Cada uno trae el comando que un reloj invoca (security-wake, vuln-wake, resilience-wake), y alguien lo pone una vez en una tarea programada. Si tu organización no quiere corridas desatendidas, se corren a mano.

/criterio-vulnerability:vuln-setupAsí se ve la configuración de Guillermo
GuillermoSoy Guillermo, las vulnerabilidades de Criterio. Pongo cada vulnerabilidad al lado de su plazo; no corro escaneos ni me conecto a ninguna consola. Encontré una carpeta que parece la de seguridad de una entidad: seguridad/901555123-banco-cordillera-sintetico, con tres exportaciones del escáner, del 20 de agosto, el 20 de septiembre y el 10 de octubre, y el catálogo KEV. ¿Es esa?
Recorrido ilustrativo sobre el material de prueba de la familia, como lo hizo el setup de Guillermo en su primera ronda: un banco de prueba en Colombia, con tres exportaciones del escáner, el catálogo KEV y su política de gestión de vulnerabilidades. No sale nada de tu navegador.
Paso 3

Los términos

Un descargo en un repositorio no lo lee nadie. Por eso la advertencia llega a quien corre el agente y a quien recibe después el documento, en cuatro capas que implementa cada agente.

  1. 1

    Una aceptación por versión

    Cada versión de la familia se acepta de nuevo y deja en tu equipo un comprobante en Markdown y PDF, con la huella SHA-256 de los términos y la del propio comprobante. Hasta que la de la versión instalada quede registrada, el agente responde preguntas pero no produce análisis. Nunca la asume ni la infiere de que sigas hablando.

  2. 2

    En cada informe

    Todo informe lleva al pie que es un borrador, según qué documentos, cuántos campos quedaron sin dato y cuántas contradicciones siguen abiertas. El documento circula por correo y llega a un comité: la advertencia viaja con él.

  3. 3

    Al inicio de cada corrida

    Antes del primer hallazgo dice qué fichas cargó, cuándo se actualizaron y si alguna está vieja o falta.

  4. 4

    En la nota legal

    Los términos completos, la nota legal y el registro de versiones —qué cambió en cada una, qué términos la rigen y su huella— se publican en este portal, y cada comprobante remite a ellos.

Lo que acuerdas, en llano

  • Recibes borradores de trabajo listos para revisar, y cada versión llega probada: su evidencia es pública.
  • Cada dato trae su cita: quien decide lo comprueba en el documento original en segundos.
  • Trabaja con lo que está escrito; lo que se acordó fuera de los documentos lo aporta tu equipo.
  • Tus documentos se procesan en la plataforma de IA donde lo ejecutas; tu organización decide qué carpetas entran.
  • Garantía y responsabilidad: las de la licencia Apache 2.0.
  • Cada versión se acepta de nuevo y deja un comprobante en Markdown y PDF. Si alguien lo modifica, su huella SHA-256 deja de coincidir y pierde validez.

Términos versión 1.3, del 2026-10-28, para la versión 0.2.0 de la familia. Cada versión nueva de la familia pide aceptar de nuevo.

Nota legal y registro de versiones →
Términos de uso ↗Descargo de responsabilidad ↗

Apache 2.0

El método, el esquema de la ficha, el código que calcula y los criterios de aceptación, completos y sin condiciones. Úsalo dentro de tu organización sin pedir permiso, adáptalo, y construye la capacidad que te falta: el agente de una función lo debe escribir quien conoce el trabajo.

Qué no hace

  • Produce borradores de trabajo, no decisiones.
  • Sabe lo que se escribió, no lo que se habló fuera de los documentos.
  • Los tres se probaron con el motor y con los agentes en 6 entidades de Colombia, México, Perú y Chile; la última ronda es la 1. Su primer uso sobre la documentación de una organización concreta es el paso siguiente.
Ver el repositorio ↗

Preguntas frecuentes

Lo que suele preguntar quien llega a la familia

Qué es

¿Qué hacen Alexis, Guillermo y Amparo?

Alexis pone cada control de la declaración de aplicabilidad al lado de la evidencia de que operó, y dice qué revisión de accesos, qué evaluación de un tercero crítico y qué aceptación de riesgo venció. Guillermo pone cada vulnerabilidad del escáner al lado del plazo de su severidad, del catálogo KEV de lo que se explota y del escaneo que prueba su cierre. Amparo pone cada incidente al lado del plazo de contención de su severidad y de cada notificación que pide la matriz, y cada prueba de continuidad al lado de su calendario.

¿Reemplazan al responsable de seguridad?

No. Procesan y contrastan. Aceptar un riesgo, aprobar una excepción, notificar a un supervisor y declarar cumplido un control lo decide siempre una persona.

¿Certifican a mi organización contra la ISO/IEC 27001?

No. No califican la madurez ni certifican contra ninguna norma. Toman los controles de la declaración de aplicabilidad de la organización, con el número y el nombre que ella les da, y dicen cuál no tiene la evidencia de que operó.

¿Qué no hacen nunca?

No corren un escaneo, no se conectan a un sistema, a una consola ni a internet, no aceptan un riesgo, no aprueban una excepción, no notifican a nadie, no ejecutan una prueba ni una restauración, y no abren credenciales, llaves ni respaldos.

Cómo se usa

¿Se conectan a mi escáner o a mi SIEM?

No. Procesan lo que la organización exporta y deja en la carpeta: las exportaciones del escáner en CSV o Excel, el catálogo KEV como lo descarga, los informes y los registros. Una conexión directa sería otra decisión, con su revisión de seguridad.

¿Qué escáner sirve?

Cualquiera que exporte en CSV o Excel. Guillermo reconoce las cabeceras de uso común —host, CVE, severity, CVSS— y, si no las reconoce, pregunta qué columna trae cada dato y lo deja en la configuración. Los formatos propios de Tenable, Qualys, Rapid7 y Microsoft Defender entran en un incremento posterior, cada uno desde su fuente.

¿De dónde salen los plazos?

De la política de la organización. En el setup, el agente la lee y propone los días de corrección de cada severidad o las horas de contención, con la página de donde salen, y la persona confirma. Si la política no los dice, se le preguntan. Ningún plazo lo pone el agente.

¿Qué es el catálogo KEV?

La lista de CISA de las vulnerabilidades que se están explotando, con su fecha de corrección. Guillermo la cruza con lo abierto. La fecha la fija una directiva para las agencias federales de los Estados Unidos: para la organización es una referencia, y su plazo sigue siendo el de su política.

¿Cómo sabe que una notificación se hizo tarde?

Por la hora de su constancia —el radicado, el correo enviado, el acuse— contra el plazo de la matriz de la organización, contado desde la hora de la detección que dice el informe del incidente.

¿Cuánto tarda el primer resultado?

Cada comando de instalación pide unos quince minutos: mira la carpeta, dice qué no va a abrir, hace las preguntas que ningún documento responde y muestra el primer reporte.

¿En qué países sirve?

La familia se define sobre estándares internacionales, no sobre la ley de cada país: sirve igual en cualquiera de los países del registro. La regulación de cada país —la circular del supervisor, la ley de datos— entra a la matriz de notificaciones de la organización.

Los datos

¿Abren mis credenciales o mis respaldos?

No. Un archivo de llaves, una bóveda de contraseñas, un volcado de base de datos, un archivo comprimido o uno cuyo nombre dice que es un secreto queda excluido por omisión. El reporte dice cuáles excluyó, para que la persona los saque de la carpeta.

¿Se publican las vulnerabilidades en Rostrum?

No, salvo que la configuración de Guillermo lo diga. Un informe de vulnerabilidades abiertas es un mapa para un atacante.

¿Dónde se procesan mis documentos?

En la infraestructura de la plataforma de IA sobre la que corre el agente, no solo en tu equipo. Confirma que sea admisible bajo tus políticas antes de apuntarla a material confidencial.

El estado

¿Está lista para usar?

Se puede instalar, y es de laboratorio, en su versión 0.1.0: el motor está probado sobre material sintético de banca, retail, salud y tecnología, con una clave que no ve y dos entidades de control. La ronda con los tres agentes es el siguiente paso.

¿Es estable?

No todavía. Una familia se declara estable cuando su ronda con los agentes pasa el piso del margen del 95 % en señales y en datos.

Las mismas respuestas viven en el repositorio, en families/criterio-ciso/PREGUNTAS.es.md.

Apoya el trabajo

Si Criterio te generó valor, ayúdanos a seguir construyéndolo.

Criterio seguirá siendo código abierto. Una contribución voluntaria ayuda a financiar pruebas, documentación y nuevas capacidades sin cambiar el acceso al software.

Es una contribución voluntaria. No desbloquea funciones, no compra consultoría y no crea una relación de asesoría.

Apoyar Criterio

Elige el monto y cómo quieres realizar tu contribución.

Elige un monto

Selecciona tu país para ver los métodos de pago disponibles.

dLocal Go cubre actualmente Latinoamérica, Indonesia, Malasia, Kenia y Nigeria. La cobertura global se incorporará por separado.

La idea

Lo que la política de seguridad compromete —revisar, corregir, notificar, probar— siempre quedó escrito. Nadie lo había puesto al lado de los documentos que muestran que se hizo.

Tres agentes que procesan la evidencia, los escaneos y los incidentes no te entregan un control que nunca construiste, ni certifican nada. Te muestran qué control no tiene evidencia, qué vulnerabilidad pasó su plazo y qué notificación no se hizo a tiempo, y dejan la decisión donde estaba: en una persona.

Principios

Enfoque
Documentos y exportaciones, nunca sistemas, sobre estándares internacionales y no sobre la ley de cada país.
Compromiso
Generar, difundir y conservar el conocimiento es una obligación profesional.
Qué no es
No reemplaza al responsable de seguridad ni a su equipo, y no decide por ellos: no acepta riesgos, no declara cumplido un control, no aprueba excepciones, no notifica a nadie, no califica la madurez y no certifica contra ninguna norma.
Licencia
Apache 2.0.
Qué viene
La ronda completa con los tres agentes, en la 0.2.0. Lo que sigue después está en su hoja de ruta.
Nota legal y registro de versiones →

José Ñáñez