Generacion automatica de tareas de remediacion a partir de hallazgos
Cada pregunta donde el proveedor no alcanzo la puntuacion maxima genera un hallazgo. El sistema registra la pregunta, la respuesta obtenida, el puntaje esperado y el dominio NIST CSF al que pertenece.
Cada hallazgo se transforma en una tarea concreta que el proveedor debe resolver. La tarea incluye una descripcion clara de lo que se espera, el dominio afectado y el espacio para justificacion y evidencia.
Cuando una tarea es validada por el analista, la respuesta original de la evaluacion se actualiza automaticamente a "Cumple", recalculando el puntaje del proveedor en tiempo real. Esto permite medir el progreso real de la remediacion.
Dashboard de seguimiento y gestion de tareas de remediacion
Escriba observaciones o instrucciones para el proveedor dentro de cada tarea. Los comentarios quedan registrados en el hilo de conversacion.
Pida al proveedor que adjunte documentacion de soporte. El proveedor recibe un email notificandole la solicitud de evidencia.
Valida que el proveedor cumplio con la remediacion. El puntaje se recalcula automaticamente al aprobar la tarea.
Marca la tarea como no cumplida. La tarea permanece en el plan de remediacion para seguimiento futuro.
Acceso al portal mediante token y gestion de tareas asignadas
Ver el detalle completo de la tarea: que control falta, a que dominio NIST pertenece y que se espera del proveedor para remediarlo.
Redactar una explicacion de como se abordo el hallazgo, que acciones se tomaron y que controles se implementaron para remediarlo.
Adjuntar un archivo de soporte por envio (capturas de pantalla, politicas, certificados, reportes). El archivo se almacena de forma segura y queda visible en el hilo de conversacion.
Una vez completada la justificacion y cargada la evidencia, el proveedor marca la tarea como resuelta. Esto la envia al analista para su validacion.
Desde la evaluacion hasta el cierre del plan de mejora
Al finalizar la evaluacion del proveedor, el sistema detecta automaticamente todas las preguntas donde no se alcanzo el puntaje maximo o la respuesta fue negativa.
Se crea automaticamente un plan de mejora con una tarea por cada hallazgo encontrado. El plan queda en estado borrador para que el analista lo revise.
El analista puede editar descripciones, agregar fechas limite, eliminar tareas no relevantes o ajustar prioridades antes de enviar el plan al proveedor.
El analista envia el plan y el proveedor recibe un email con el enlace de acceso al portal de remediacion. El plan pasa a enviado_proveedor.
El proveedor accede al portal, redacta justificaciones, sube evidencias y marca las tareas como resueltas. El plan pasa a en_progreso.
Para cada tarea resuelta, el analista tiene tres opciones:
La tarea pasa a validada_analista. El scoring se recalcula automaticamente y la respuesta original se actualiza a "Cumple".
La tarea se reabre y el proveedor recibe un email solicitando informacion adicional. La tarea vuelve al estado pendiente del proveedor.
La tarea se marca como incumplida y permanece en el plan de remediacion sin afectar el scoring.
Cuando todas las tareas del plan estan validadas por el analista, el plan pasa automaticamente a estado completado. El proveedor muestra su postura de seguridad mejorada.
Sistema de conversacion bidireccional dentro de cada tarea
El proveedor recibe un email cuando el analista solicita evidencia o agrega un comentario en alguna de sus tareas. El email incluye el enlace directo al portal de remediacion.
El analista recibe una notificacion in-app cuando el proveedor sube evidencia, escribe un comentario o marca una tarea como resuelta. Visible desde el panel de notificaciones.
Cuando el analista solicita evidencia para multiples tareas a la vez, el sistema consolida todo en un unico email al proveedor. El correo lista todas las tareas que requieren atencion, evitando multiples notificaciones separadas y facilitando el seguimiento.
Como la validacion de tareas impacta el puntaje del proveedor
Recomendaciones para analistas y proveedores
Establezca fechas limite alcanzables para cada tarea. Considere la complejidad del control a implementar y los recursos disponibles del proveedor. Un plazo demasiado ajustado genera respuestas incompletas.
Redacte descripciones de tareas que sean especificas y accionables. Indique exactamente que evidencia espera recibir y que criterios de aceptacion utilizara para validar.
Utilice las solicitudes de evidencia en bloque cuando necesite pedir documentacion para multiples tareas. Esto ahorra tiempo y consolida las notificaciones al proveedor en un solo email.
Revise y valide las tareas resueltas de forma oportuna. Un retraso en la validacion desmotiva al proveedor y alarga innecesariamente el ciclo de remediacion.
Explique con detalle que acciones tomo, que controles implemento y como se aborda el hallazgo. Una justificacion pobre genera solicitudes adicionales de evidencia y retrasa el cierre.
Adjunte capturas de pantalla con contexto visible, documentos de politica vigentes, certificaciones actualizadas o reportes de auditoria. La evidencia debe demostrar claramente el cumplimiento.
Cuando el analista solicita informacion adicional o rechaza una tarea, lea los comentarios con atencion y responda abordando cada punto mencionado. No reitere la misma evidencia sin mejoras.
Las tareas marcadas como "Requieren atencion" (en rojo) indican que el analista espera una respuesta. Priorice estas tareas para mantener el flujo de remediacion activo.
El analista rechazara tareas que no incluyan justificacion ni documentacion de soporte. Siempre adjunte evidencia antes de marcar como resuelta.
Cuando el analista solicita mas evidencia, la tarea se reabre. No responder deja la tarea indefinidamente en estado pendiente y retrasa todo el plan.
La evidencia debe ser especifica al hallazgo y reflejar el estado actual de los controles. Documentos antiguos o genericos seran rechazados.
Tablas de estado, ciclo de vida y diferencias entre vistas