Documentación asistida

La documentación es donde más se atascan los programas de cumplimiento. No porque sea difícil, sino porque es lento y porque la hoja en blanco paraliza. El resultado típico son dos extremos igual de malos: la política que nunca se escribe, o la plantilla bajada de internet que habla de una empresa que no es la tuya.

Cyber Concierge ataca justo ese punto: produce un primer borrador con tu contexto, para que tu trabajo sea revisar y decidir en vez de redactar desde cero.

Cómo funciona

Dices qué tienes que cumplir

El asistente parte por el requisito, no por el documento. Eso importa: un documento escrito contra un requisito concreto queda enfocado, mientras que “una política de seguridad” en abstracto termina cubriendo todo y nada.
Toma el contexto de tu empresa

Usa lo que capturó el asistente de Contexto de la organización. Si nunca lo corriste, el borrador saldrá genérico — es la razón principal por la que conviene ejecutarlo primero.
Genera el borrador

El texto llega adaptado a tu empresa, tu sector y el requisito que estás cubriendo.
Revisas y ajustas

Este paso no es opcional ni decorativo. El borrador es materia prima buena, no un documento aprobado.
Se guarda como documento

Queda en el repositorio documental, versionado, listo para adjuntarse como evidencia del requisito que lo motivó.

Cómo revisar un borrador

Un borrador generado se lee distinto que uno escrito por una persona: los errores no son de redacción, son de ajuste a tu realidad. Cuatro preguntas que conviene hacerle a cada uno:

¿Describe lo que realmente hacemos? Es el riesgo principal. Una política que promete revisiones trimestrales que nadie hace es peor que no tenerla: se convierte en evidencia de incumplimiento, escrita y firmada por ti.

¿Los roles existen? Si el documento asigna responsabilidades a un “comité de seguridad de la información” que no existe, hay dos salidas legítimas: crear el comité o cambiar el documento. La que no vale es dejarlo escrito y esperar que nadie pregunte.

¿Es ejecutable? Cada obligación debería tener a alguien capaz de cumplirla. Los verbos sin sujeto — “se deberá revisar periódicamente” — son deuda disfrazada de cumplimiento.

¿Cubre el requisito? Vuelve al requisito que lo originó y verifica que el documento responde lo que pedía.

Qué documentos vale la pena generar así

Los que son largos, estructurados y bastante estándar en su forma, pero que deben hablar de tu empresa en su contenido:

Política de seguridad de la información
Política de protección de datos personales
Procedimiento de gestión de incidentes
Procedimiento de reporte al CSIRT Nacional
Procedimiento de gestión de vulneraciones de datos personales
Procedimiento de atención de derechos de titulares
Política de control de accesos
Procedimiento de respaldo y recuperación

Los que no conviene generar así son los que dependen enteramente de decisiones propias: el acta que designa a un delegado, la declaración de aplicabilidad, la aceptación formal de un riesgo. Ahí el documento es la decisión, y la decisión es humana.

En Generadora Cordillera

Marco genera el procedimiento de reporte al CSIRT Nacional a partir del requisito del deber de reportar. El borrador llega con los plazos correctos y la estructura completa, pero asigna la calificación del incidente a un “responsable de seguridad de la información” que en Cordillera no existe con ese nombre.

Marco lo ajusta: la calificación queda en Carolina, con él como suplente, y agrega algo que ningún borrador podía saber — que el jefe de turno del centro de control es quien da la alerta inicial fuera del horario hábil. Media hora de revisión sobre un texto que le habría tomado dos días escribir.

Después de aprobarlo

Un documento aprobado no termina el trabajo. Faltan tres cosas que casi siempre se olvidan:

Adjuntarlo como evidencia del requisito que lo motivó. Es lo que hace que el diagnóstico refleje el avance real.

Comunicarlo. Una política que nadie leyó no cumple su función, y varios marcos exigen expresamente que se comunique a la organización. Deja registro de esa comunicación: también es evidencia.

Programar su revisión. Los documentos envejecen. Una tarea recurrente anual —o la que exija tu marco— evita que el fiscalizador encuentre una política firmada hace cuatro años describiendo una empresa que ya no existe.

Sigue por acá

Para sacarle partido sin llevarte sorpresas: Buenas prácticas y límites.