01
Alcance firmado
Autorización y reglas de compromiso, firmadas antes de empezar.
Demostradocontinuamente.
Los reguladores quieren evidencia de que pruebas. Cantic ataca de forma continua y firma cada paso, así que la evidencia se escribe sola.
Qué recibetu auditor.
Seis artefactos, producidos como efecto lateral de ser atacado.
02
Evidencia reproducible
Cada hallazgo llega con un exploit funcional y una repetición paso a paso.
03
Prueba de corrección
La corrección como pull request revisado, enlazado al hallazgo que cierra.
04
Prueba de retest
Volvemos a atacar y registramos que aguantó.
05
Un registro firmado
Cada acción con hash y sello de tiempo. A prueba de manipulación por diseño.
06
Dos audiencias
Un informe para el consejo y otro técnico, de la misma evidencia.
Todo demostrado.Todo firmado.
Cada sonda, exploit, corrección y retest queda en un registro a prueba de manipulación que tu auditor puede leer tal cual.
Registro firmado · eng-0427
En vivo
09:14:02scope.signedreglas v3 · 1 dominio · solo lectura9f2c…41ad
09:31:47finding.provenSQLi · /api/v1c07e…9b12
09:32:10triage.pagedresponsable de guardia1d5b…aa03
10:02:13fix.mergedPR #21452aa…e0f3
10:40:55retest.held/api/v1e1d9…77c0
Un registro firmado de cada acción.
Con hash y sello de tiempo, según ocurre.
DORA
ART. 24–25
Pruebas continuas entre tus ciclos de TLPT.
PCI DSS v4.0
REQ. 11.4
Un pentest tras cada cambio significativo.
ISO/IEC 27001
A.8.8 · A.8.29
Gestión de vulnerabilidades, con evidencia.
SOC 2
CC4.1 · CC7.1
Trazas de detección y corrección.
NIST CSF 2.0
ID.RA · DE.CM
Riesgo y monitorización, mapeados por hallazgo.
Ver el mapeo
Los mapeos son orientativos. Tu auditor decide qué satisface un control.
Hecho para los sistemasque mueven dinero.
Probados como trabajan las bandas de fraude, reportados como leen los reguladores.
Mapeado a lo quetienes que responder.
Dónde encajan las pruebas continuas demostradas en los marcos que revisan los reguladores.
DORA
UE 2022/2554 · Art. 24–26Lo que pide
Un programa de pruebas de resiliencia: evaluaciones de vulnerabilidades, escaneos y pruebas de penetración, más pruebas guiadas por amenazas para entidades significativas.
Lo que Cantic te da
Pruebas continuas y documentadas entre ciclos de TLPT, con evidencia firmada y seguimiento de correcciones.
PCI DSS v4.0
Req. 11.3 · 11.4Lo que pide
Pruebas de penetración externas e internas al menos cada 12 meses y tras cambios significativos; hallazgos explotables corregidos y retestados.
Lo que Cantic te da
Pruebas tras cada cambio, hallazgos demostrados, correcciones como pull requests y evidencia de retest por hallazgo.
ISO/IEC 27001
2022 · A.8.8 · A.8.29Lo que pide
Identificación y tratamiento oportunos de vulnerabilidades técnicas; pruebas de seguridad en desarrollo y aceptación.
Lo que Cantic te da
Un registro continuo de descubrimiento, tratamiento y verificación, listo para tu SGSI.
SOC 2
TSC · CC4.1 · CC7.1Lo que pide
Evaluación continua de controles y procedimientos para detectar vulnerabilidades y anomalías.
Lo que Cantic te da
Evaluaciones semanales o diarias con evidencia fechada y trazas de corrección.
NIST CSF 2.0
ID.RA · DE.CMLo que pide
Identificar y evaluar vulnerabilidades; monitorizar activos continuamente ante eventos adversos.
Lo que Cantic te da
Descubrimiento de activos, riesgo demostrado y monitorización contra NVD + KEV en tiempo real.
Los mapeos son orientativos y no sustituyen el criterio de tu auditor. Cantic apoya estos requisitos; no certifica el cumplimiento ni sustituye las pruebas guiadas por amenazas que exigen los reguladores.
Hecho para la formaen que te atacan.
Donde se mueve el dinero y dónde están las puertas.
Sistemas críticos y pagos
Límites, permisos y flujos de liquidación, donde la lógica de negocio es dinero.
APIs e integraciones
Cada integración con un socio es una puerta. Probada en cada release.
Canales digitales
Web y móvil, login, MFA y sesiones, probados como trabaja el fraude.
Proveedores y nube
El proveedor más pequeño es la puerta más grande. Avisos antes de que te llegue.
Asistentes y agentes de IA
El guardián evita que tu propia IA se convierta en la vulneración.
Listo para el regulador
Informes para el consejo y técnicos, de un único registro firmado.
Listo paracompras.
Lo que te preguntarán primero seguridad y legal.
NDA y autorización
Firmados antes de enviar una sola petición.
Solo lectura por diseño
Sin cambios en tus sistemas ni datos.
Cifrado en reposo
Hallazgos tratados bajo NDA.
Un responsable de triaje con nombre
En cada hallazgo crítico.
Respuesta a incidentes en 10 horas
Incluida con Fortify.
Informes listos para el consejo
Escritos para tu consejo y tu regulador.
Supera la auditoría.Supera el ataque.
Empieza con una sonda gratuita, bajo reglas firmadas.