El documento que entregas al otro lado de la mesa.
El cumplimiento termina en papel: el informe que sostiene un regulador, un cliente o un auditor. En OTRISK esos documentos se generan bajo demanda a partir de los datos actuales de la evaluación. La Initial Risk Assessment y la Cybersecurity Requirements Specification salen del flujo de trabajo de IEC 62443-3-2, cada evaluación de requisitos exporta su propio informe y los datos de auditoría se exportan a XLSX o PDF.
Cuatro artefactos, generados bajo demanda
Ninguno de estos documentos se escribe en un editor de texto. Cada uno se produce a partir del trabajo ya registrado en la plataforma: puntuaciones, objetivos, veredictos, aprobaciones. Pídelo hoy y describe el estado de hoy.
Initial Risk Assessment (IRA)
El panorama de riesgos que firma tu dirección: resumen ejecutivo, la matriz de riesgos trazada, el registro de riesgos ordenado, y las escalas y el método que hay detrás. Se genera a partir del paso de riesgo inicial del flujo de trabajo de IEC 62443-3-2. Hasta que la evaluación esté aprobada, cada copia lleva una marca de agua de borrador. El documento nunca se atribuye un estado que el trabajo no tiene.
Cybersecurity Requirements Specification (CRS)
El producto de trabajo que exige IEC 62443-3-2 y la especificación sobre la que construyen tus integradores: zonas, conduits y objetivos de nivel de seguridad, cada uno con su justificación. Se compone del trabajo ya realizado, tras un control de completitud: ningún activo sin asignar, ninguna zona sin objetivo. La portada muestra el estado de aprobación, directamente del flujo de trabajo: quién aprobó y cuándo.
Informe de evaluación
Cada evaluación de requisitos exporta su propio informe de la misma manera: en qué punto está la evaluación, requisito por requisito, con cada veredicto trazable hasta una persona y una fecha. El mismo mecanismo sirve para IEC 62443-3-3, 2-4, 4-1, 4-2 y 2-1, ISO/IEC 27001 y NIST SP 800-82.
Exportación de auditoría
Los registros formales de auditoría se exportan a XLSX o PDF: los mismos hechos registrados, en el formato con el que trabaja quien los recibe. Una hoja de cálculo para el analista, un documento para el expediente.
Recreaciones ilustrativas de los documentos · datos de demostración, sin contenido de clientes.
Tres hechos, sin rodeos
Cada documento generado está en inglés. Los informes en neerlandés y español están en la hoja de ruta; cuente con ellos cuando existan, no antes.
La marca de agua de borrador existe solo en la IRA y desaparece con la aprobación. La CRS, en cambio, indica su estado de aprobación en la portada. En ambos casos, el lector ve el estado real del trabajo.
Lo que sale del sistema hoy: informes en PDF, datos de auditoría en XLSX o PDF. Una exportación estructurada general de los datos de evaluación no existe todavía, y no vamos a fingir lo contrario.
Tu evaluación envejece. Los documentos no.
Un informe de consultoría caduca el día de su entrega. Un documento generado no puede: se produce cada vez a partir de la evaluación tal como está. Cambia una puntuación de riesgo el martes, regenera la IRA el miércoles, y el resumen ejecutivo, el gráfico de la matriz y el registro ordenado ya son coherentes. Nadie concilia versiones, porque solo hay una fuente.
Lo mismo vale para la reevaluación. En OTRISK la segunda evaluación es una revisión de los datos actuales, no una reconstrucción, y en cuanto termina, los nuevos documentos están a un clic.
Escritos para las personas que los reciben
Un documento solo funciona si quien lo recibe confía en él. Estos están hechos para tres lectores.
Auditores y organismos de certificación
La IRA y la CRS siguen la estructura que prescribe IEC 62443-3-2, y cada veredicto se remonta a una persona y una fecha. Los auditores también pueden recibir su propio acceso basado en roles en lugar de una exportación; la página de Seguridad y arquitectura describe cómo se protegen el acceso y las descargas de evidencia.
Reguladores y supervisores
Las leyes de la era NIS2 piden una gestión de riesgos demostrable por instalación. Cuando un supervisor pregunta cómo decidiste qué medidas son adecuadas, la IRA muestra el análisis que hay detrás de esa respuesta: tus riesgos, en tu propia matriz, con la aprobación de la dirección registrada.
Clientes
Las auditorías de clientes y las RFP citan IEC 62443. Un informe de evaluación responde en los términos de la propia norma, requisito por requisito, en lugar de con un cuestionario que nadie puede verificar.
Mira los documentos con tus propios ojos.
Piensa en una instalación concreta. En treinta minutos te enseñamos qué partes de OTRISK encajan con tu situación y cómo se trabaja en el día a día. Te vas con próximos pasos concretos y una orientación de precio.