Cómo funcionan las integraciones
La parte más ingrata del cumplimiento es demostrar lo que ya haces. Tienes doble factor activado, los respaldos corren, los equipos están cifrados — y aun así, cada auditoría empieza con alguien pidiendo capturas de pantalla por correo. Un mes después esas capturas ya no prueban nada, porque describen un estado que pudo cambiar.
Las integraciones existen para romper ese ciclo. Conectas un sistema una vez y la plataforma consulta su estado real de forma periódica, deja el resultado fechado como evidencia y lo asocia al control que corresponde. La próxima auditoría empieza con la evidencia ya puesta.
Las tres piezas
Sección titulada «Las tres piezas»La integración es el conector a un sistema — Microsoft 365, Cloudflare, CrowdStrike. Preceptix trae 73 en el catálogo, y cada una sabe qué preguntarle a ese sistema.
La conexión es tu instancia de esa integración: las credenciales que entregaste, el dominio donde aterriza lo que produce y cada cuánto se ejecuta. Puedes tener varias conexiones de la misma integración — por ejemplo, un Microsoft 365 por filial.
Las verificaciones son las preguntas concretas que corren en cada ejecución. “¿Todas las cuentas tienen doble factor?” “¿El modo SSL/TLS está en estricto?” Cada una entrega un resultado, una severidad si falla y un apunte de qué control alimenta. En total hay 194 verificaciones en el catálogo.
Qué pasa en una ejecución
Sección titulada «Qué pasa en una ejecución»Cuando una verificación no se cumple, no queda solo en rojo: se registra con su severidad y con una indicación de cómo remediarla. Eso es lo que después alimenta tu plan de acción.
Cuando una integración además sincroniza activos, las cuentas, dispositivos o repositorios que descubre aparecen en tu inventario sin que nadie los cargue a mano. Y si sincroniza accesos, sabrás quién tiene acceso a qué y con qué rol — la base para revisar accesos periódicamente, que es una exigencia recurrente en todos los marcos.
Solo lectura, siempre
Sección titulada «Solo lectura, siempre»Las integraciones nunca modifican nada en tus sistemas. Piden credenciales de solo lectura y, en la ficha de cada una, el manual detalla el permiso mínimo exacto que necesitan y qué deja de funcionar si falta alguno.
Esto es importante cuando negocies el acceso con el administrador de cada sistema: no le estás pidiendo que confíe en una herramienta que va a tocar su configuración, sino permiso para leer un puñado de valores.
Cada cuánto corren
Sección titulada «Cada cuánto corren»Cada conexión tiene su propia Frecuencia, que eliges al crearla y puedes cambiar cuando quieras:
| Frecuencia | Cuándo usarla |
|---|---|
| Cada hora | Sistemas críticos donde un cambio de configuración importa de inmediato |
| Cada 6 horas | Un punto medio razonable para seguridad de endpoints o identidad |
| Diaria | El valor por omisión, y el correcto para la mayoría |
| Semanal | Sistemas que cambian poco, o APIs con cuota ajustada |
| Manual | Solo cuando tú lo pides, con Ejecutar ahora |
Algunas integraciones imponen un piso por límites del proveedor: si el catálogo dice que la frecuencia máxima es diaria, no podrás elegir cada hora. Está indicado en la ficha de cada integración.
Qué aterriza y dónde
Sección titulada «Qué aterriza y dónde»Todo lo que produce una conexión — evidencia, activos, controles, hallazgos — aterriza en el dominio que elegiste al crearla. No es un detalle menor: define quién lo va a ver, porque la visibilidad se hereda por dominio.
Carolina conecta el Microsoft 365 corporativo al dominio Corporativo, y el firewall de la Central Cordillera Norte al dominio Generación. Así el equipo de planta ve lo suyo sin quedar expuesto a la administración de identidades de toda la empresa, y viceversa.
Lo que las integraciones no reemplazan
Sección titulada «Lo que las integraciones no reemplazan»La evidencia automática cubre lo que un sistema puede responder por API: una configuración, un estado, una lista. No cubre lo que vive en el mundo real — un acta de comité, la política firmada por la gerencia, la evidencia de una capacitación presencial, el contrato con un proveedor.
Esa parte sigue siendo manual, y está bien que así sea. La vista de cobertura te dice exactamente qué controles puede sostener una integración y cuáles siempre van a requerir evidencia tuya, para que no pierdas tiempo buscando un conector que no existe.
Sigue por acá
Sección titulada «Sigue por acá»Cuando tengas claro el modelo, conecta la primera: Conecta tu primera integración.