Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
TPN · TRUSTED PARTNER NETWORK
El programa de seguridad de contenido de la Motion Picture Association cambió en septiembre de 2025, y casi todo el material en español todavía describe el modelo antiguo, de dos escudos. Conviene entender el nuevo antes de empezar, porque el estudio lee el informe completo y buena parte del proceso queda visible para él mientras ocurre.
DM11 prepara tu empresa y conduce la implantación. Quien evalúa es un evaluador acreditado por TPN, elegido y contratado por ti dentro de la plataforma TPN+, y el informe lo revisa y publica la propia TPN. DM11 no es evaluador acreditado y no vende membresía.
Quién conduce la preparación
ISO/IEC 27001 Lead Auditor certificado por BSI
CISA, auditoría de sistemas de información
Equipo propio de pentest para la evaluación de las aplicaciones
17 años de gobernanza, riesgos y cumplimiento
QUÉ ES, Y QUÉ ESCRIBE MAL EL MERCADO
TPN es el programa de seguridad de contenido de la Motion Picture Association. Mantiene las MPA Content Security Best Practices, hoy en la versión 5.3.1, y opera la plataforma TPN+, donde el prestador completa la evaluación y el dueño de contenido consulta el resultado. Son más de mil quinientos socios en más de sesenta países, y ahí es donde el estudio mira antes de buscarte.
Aquí conviene ajustar la expectativa con calma, porque cambia la forma de conducir el proyecto. La guía oficial explica que la evaluación y el escudo no funcionan como aprobación, certificación o pass/fail: cada dueño de contenido toma su propia decisión, basada en riesgo, usando el resultado de TPN como punto de partida. En la práctica eso favorece a quien se prepara bien, porque el estudio lee el contenido del informe y no solo el color del escudo.
Azul publica las respuestas que tú mismo diste al cuestionario. Plata significa que un evaluador acreditado contrastó evidencia con esas respuestas y el informe fue publicado, con plan de remediación tuyo. Oro significa que los ítems de remediación de las mejores prácticas fueron cerrados y revisados por TPN. Oro estrella suma las recomendaciones adicionales, también cerradas.
En las versiones anteriores de las mejores prácticas existían solo dos escudos, azul y oro, y aquel oro correspondía a lo que hoy es plata: informe del evaluador publicado con plan de remediación. En la versión actual, oro exige la remediación efectivamente cerrada. La vara subió, y por eso vale la pena confirmar sobre qué versión fue emitido el escudo que exhibe tu empresa o tu competidor.
La seguridad se mide por servicio, por sitio y por aplicación, y vista de forma aislada ninguna de esas partes cuenta la historia entera. Una empresa con tres instalaciones no recibe un solo escudo. Definir qué entra en el alcance es la primera decisión del proyecto, y la que más mueve el costo.
TPN recomienda incluir en el perfil las aplicaciones desarrolladas en casa y las licenciadas. Si la aplicación web almacena, procesa o transfiere activo de contenido, y el portal por donde el cliente sube el master casi siempre lo hace, la evaluación de aplicación es recomendada. Queda fuera del alcance de quien solo pensó en las instalaciones físicas.
La membresía es anual, definida por la franja de facturación bruta del año anterior, y es la que da visibilidad en el registro y el derecho de completar la evaluación en la plataforma. El costo de la evaluación es aparte y se acuerda con el evaluador, que define alcance y precio contigo. Es la sorpresa de presupuesto más común, y aparece después de la firma.
QUIÉN SUELE NECESITARLO
Quien trabaja con contenido de estudio y de plataformas de streaming rara vez elige el momento. La exigencia llega lista, dentro de un contrato que ya está sobre la mesa.
Doblaje, subtitulado, mezcla, postproducción, finalización, VFX y localización. El estudio incluyó TPN en la renovación y puso plazo. Es el caso más común y también el más ajustado, porque el plazo lo fijó alguien que no sabe qué hay dentro de tu operación.
El registro de TPN+ es donde el dueño de contenido busca proveedor. Estar visible ahí, con escudo, pone a tu empresa en una lista corta que hoy se arma sin ti. Es la única razón de esta página que no nace de una exigencia: nace de venta.
Muchas empresas responden el cuestionario, publican el escudo azul y dan el tema por resuelto. Cuando el cliente pide evidencia contrastada por un tercero, descubren que el azul es declaración propia, y que la respuesta optimista dada meses antes ahora es la vara contra la que el evaluador va a mirar.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón de los problemas se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Doblaje y subtitulado
La empresa completó el cuestionario sola, marcó como atendida casi toda pregunta y publicó el escudo azul. Meses después, un cliente pidió evaluación con evidencia. Al abrir esas respuestas para preparar al evaluador, buena parte no tenía documento detrás: existía la práctica, no existía el registro.
Rehicimos el cuestionario ítem por ítem, sin aceptar respuesta sin evidencia adjunta. Donde el control existía de hecho, organizamos la prueba. Donde no existía, se convirtió en plan con responsable y fecha. Y dejamos claro a la dirección qué respuestas tendrían que cambiar de sentido al republicar.
La evaluación se hizo sobre respuestas que se sostenían, sin la escena del evaluador descubriendo la diferencia. El trabajo mayor fue de archivo y no de tecnología: casi todo lo que faltaba era prueba de algo que ya se hacía.
Postproducción y finalización
El material del cliente circulaba por la misma red del correo y del sistema administrativo, y la estación de finalización tenía salida libre a internet. Había cámara en la puerta y control de visitantes en papel, así que la percepción interna era que la seguridad física estaba resuelta y el problema era otro.
Separamos la red de producción del resto, con regla explícita de qué puede salir y hacia dónde. Tratamos el medio removible, que era la vía real de salida de contenido, y revisamos el acceso a las salas por función en lugar de por persona. La parte física ganó registro, porque cámara sin retención y sin quien la revise no es evidencia.
El alcance quedó menor de lo que la empresa temía. Al aislar producción de lo administrativo, la mitad de los controles dejó de aplicarse al ambiente entero y pasó a valer solo donde el contenido realmente está.
Distribución y entrega de contenido
La empresa preparó las instalaciones con cuidado y olvidó la aplicación web por la que los clientes enviaban y descargaban material. Como el portal era un sistema interno antiguo, nadie lo trató como parte del ambiente de contenido, y nunca había pasado por una prueba.
Pusimos el portal en el alcance y ejecutamos una prueba de intrusión en la aplicación antes de cualquier evaluación. Encontramos control de acceso roto entre cuentas de clientes distintos, lo corregimos, y solo entonces incluimos la aplicación en el perfil de la plataforma.
La falla que más importaba no estaba en el edificio, estaba en el login. Corregida antes de que empezara la evaluación, nunca se volvió ítem de remediación público ni conversación con el estudio.
AUTODIAGNÓSTICO
Las tres primeras preguntas clasifican tu caso: qué pidió el cliente, qué prestas tú y dónde se trabaja el contenido. Las demás recorren los temas que cubren las mejores prácticas. El resultado aparece completo en pantalla, con la nota de cada tema y una lectura honesta de lo que todavía no se sostiene. No pedimos correo electrónico para mostrarlo.
La lectura de cada área, en las tres franjas de resultado. Es el mismo texto que llega por correo a quien se identifica, publicado aquí para quien quiere entender qué mide la nota antes de responder.
Menos de 50
Sin mapa del camino del contenido y sin alguien que responda por él, no hay forma de decir qué entra en la evaluación ni quién decide qué es aceptable. Es la brecha que traba todas las demás, porque cada tema de abajo depende de saber dónde está el material. El primer paso cuesta una tarde: sentarse con producción, TI y coordinación y dibujar en un pizarrón por dónde entra el contenido, dónde se trabaja, dónde queda guardado y por dónde sale, incluyendo la casa de quien trabaja desde afuera. El dibujo se convierte en la lista de instalaciones y aplicaciones candidatas al alcance, y es lo que la primera conversación con un evaluador va a pedir.
De 50 a 79
El mapa existe en la cabeza de las personas, lo que funciona hasta el día en que esa persona está de vacaciones o la nube entró después del último dibujo. En la práctica eso significa que la respuesta sobre dónde está el contenido cambia según quién responda, y es esa divergencia la que aparece en la entrevista del evaluador. Lo que suele faltar es la actualización después de cambios que nadie trató como cambio de seguridad: un portal nuevo, un cliente que pasó a mandar por otra vía, un equipo que pasó a trabajar desde casa. Fija un disparador simple, revisar el mapa siempre que entre cliente nuevo o herramienta nueva, y define por escrito quién tiene la última palabra cuando producción y seguridad no coincidan.
80 o más
El camino del contenido está mapeado y alguien responde por él con autoridad real, que es la posición de la que sale un alcance defendible. Lo que separa este rango de lo que el evaluador espera es la justificación de las exclusiones: para cada instalación o aplicación que quede fuera, hay que poder explicar por qué el contenido del cliente no pasa por ahí. El próximo paso concreto es escribir esa lista de fuera del alcance con una línea de motivo en cada ítem, antes de contratar evaluación. Es el documento que evita la peor sorpresa de este rango, que es el alcance creciendo después del presupuesto cerrado.
Menos de 50
Sin separación física entre producción y el resto de la empresa, prácticamente todo control digital que implantes convive con una puerta abierta al lado. En un estudio eso es concreto: alguien de administración atraviesa la sala de edición, un visitante espera sentado donde la pantalla está encendida, el elenco circula con el celular en la mano. Empieza por la demarcación, aunque sea simple: definir qué salas son área de contenido, quién está autorizado a entrar en cada una y cerrar con llave lo que todavía no se cierra. Después de eso, credencial individual y una lista de autorizados mantenida por alguien ya resuelven la mayor parte de lo que se pregunta aquí.
De 50 a 79
Hay puerta, llave y probablemente cámara, y lo que falta es la disciplina alrededor: la llave que circula, la excepción informal para el elenco y el cliente, la grabación que nadie revisa y cuyo plazo de retención nadie sabe. Es el hallazgo más frecuente en este rango, y el evaluador llega a él preguntando qué pasa cuando un actor famoso llega tarde y la sesión ya está montada. Trata la excepción de frente: escribe la regla con la excepción dentro, diciendo quién autoriza y dónde queda registrado, en vez de mantener una regla que todo el mundo sabe que se rompe. Define también el plazo de retención de las imágenes y quién revisa el registro de entrada, aunque sea por muestreo mensual.
80 o más
La parte física está entre tus fuerzas, y es la que más impresiona en una visita presencial del evaluador. En este rango el riesgo deja de ser el control y pasa a ser la prueba de que opera todos los días: lista de autorizados con la fecha de la última revisión, registro de visitantes que alguien firmó, evidencia de que la revisión de las imágenes ocurrió. Separa ahora una carpeta con tres meses de esos registros, porque es exactamente lo que se va a pedir y es lo que suele existir en papel suelto. Vale también confirmar si las áreas nuevas, sala de storage montada a las apuradas o sala extra alquilada para un pico de trabajo, entraron en la misma regla.
Menos de 50
Este es el tema en el que la operación del sector más se aleja de lo que asumen las mejores prácticas, porque la mitad del trabajo pasa por freelancers, elenco y estudios aliados sin vínculo laboral. Nota baja aquí significa que personas de afuera tocan el contenido sin nada firmado y que su acceso depende de que alguien se acuerde de cerrarlo. La ganancia más rápida es un acuerdo de confidencialidad corto, específico para contenido, firmado antes del primer acceso, con el archivo guardado en un lugar que se encuentre en treinta segundos. Después viene el checklist de salida, que es la prueba que el evaluador hace solo: pide la lista de quién trabajó en los últimos meses y confirma si los accesos siguen activos.
De 50 a 79
Las piezas existen para quien está en nómina y fallan justo donde está el volumen: en el freelancer, en el artista externo y en el aliado que recibió material para dar con el plazo. El síntoma clásico es el acceso que queda activo después del proyecto y el disco prestado que nadie reclamó de vuelta. Ata el cierre al fin del trabajo y no a la memoria de alguien, con responsable definido y registro del día en que se hizo. Del lado de los aliados, el paso siguiente es saber a dónde fue el material: una planilla simple de qué salió, para quién y cuándo ya responde la pregunta que hoy quedaría sin respuesta.
80 o más
El ciclo de personas está cubierto, incluso para quien no está en nómina, y eso es raro en el sector. Lo que suele faltar en este rango es la reevaluación de quien ya está dentro: aliado evaluado una vez a la entrada y nunca más, freelancer recurrente cuyo acuerdo es de hace dos años. Define una cadencia de reverificación para los aliados que reciben material con frecuencia y trata la subcontratación en cadena, que es cuando tu aliado pasa el trabajo a otro sin avisar. Una cláusula que prohíba el traspaso sin autorización escrita resuelve en el contrato lo que sería imposible descubrir después.
Menos de 50
Producción y administración en la misma red es el hallazgo que más asusta al dueño de contenido, porque significa que un clic en el correo equivocado alcanza la estación donde el master está abierto. Nota baja aquí suele venir junto con cuenta compartida en las salas, que es el otro ítem que aparece rápido en una revisión. El orden por retorno es conocido: separar la red de producción con regla explícita de qué puede salir y hacia dónde, después acabar con el login colectivo, después encender el segundo paso en el acceso remoto y en las cuentas administrativas. Ninguno de los tres depende de una compra grande, y los tres cambian la conversación con el evaluador más que cualquier documento.
De 50 a 79
Existe alguna separación y falta la regla que la vuelve útil: la VLAN está ahí, pero la estación de finalización navega libre, o el segundo paso existe en el correo y no en el acceso remoto. Conviene recordar que este tema tiene solo dos preguntas en el diagnóstico, así que tu nota dice menos que en los otros, y la lectura completa del ambiente exige mirar lo que quedó fuera del cuestionario: corrección de fallas, actualización de estaciones y lo que corre en la nube. El paso concreto es escribir la regla de salida de la red de producción, diciendo qué destinos están permitidos, y revisar quién tiene acceso a qué por función en vez de por persona. Un barrido del ambiente de producción muestra en orden de gravedad lo que este cuestionario no preguntó.
80 o más
La base digital está en su lugar, y en este rango lo que decide es la excepción: la estación antigua que no acepta la política, la cuenta de servicio del sistema de render, el proveedor con acceso permanente que entró una vez y se quedó. Excepción documentada con una compensación vale en una revisión; excepción que nadie mapeó es lo que se convierte en hallazgo. Lista tus excepciones ahora, con el motivo y lo que compensa cada una, mientras el asunto todavía es tuyo. Como el diagnóstico cubre poco de este tema, considera una prueba técnica en el ambiente de producción antes de la evaluación, porque es la que confirma si el diseño que existe en el papel es el que está corriendo.
Menos de 50
No saber cuántas copias de un título existen es la brecha más cara de este diagnóstico, porque es la que impide cualquier promesa al cliente sobre devolución y destrucción. En postproducción y finalización las copias se multiplican solas: el proxy, el render antiguo, la versión de backup, la carpeta personal del editor, el disco que se fue a casa un fin de semana. Empieza por un relevamiento de dónde hay contenido hoy, storage por storage y máquina por máquina, y borra lo que ya no debería existir antes de intentar controlar lo que queda. Solo después vale montar el registro de entrada y salida de medios y cerrar el armario con llave, porque controlar flujo nuevo con stock desconocido debajo no resuelve el problema.
De 50 a 79
Sabes dónde está el master y perderías la cuenta de las copias de trabajo, que es justamente lo que suele tratar el contrato del estudio. El otro síntoma de este rango es el descarte por espacio: se borra cuando el storage se llena, y no cuando venció el plazo acordado, sin registro alguno de lo que salió. Guardar después del plazo es incumplimiento de contrato aunque nadie reclame, y es una de las pocas cosas aquí que se resuelve con decisión en vez de inversión. Define el plazo por cliente o por proyecto, pon fecha de expiración junto al proyecto cuando se abre y registra la ejecución del descarte con lo que se borró y quién lo hizo.
80 o más
El control de copias y de medios está maduro, lo que es poco común y conviene mostrarle al evaluador de forma organizada, en vez de que lo descubra él. En este rango el punto de atención es el borde: el backup antiguo en cinta o en nube fría que no entra en la revisión periódica, y el material de proyecto cerrado que quedó como referencia interna sin que el cliente lo sepa. Revisa la política de retención contra lo que los contratos realmente exigen, cliente por cliente, porque la regla única suele ser más generosa de lo que permite el contrato más estricto. Guarda la evidencia de destrucción junto al cierre de cada proyecto, y no en una carpeta aparte, para que la prueba aparezca cuando el proyecto sea muestreado.
Menos de 50
Sin vía oficial de envío y recepción, el contenido sale por lo que esté más a mano en el apuro del plazo: enlace público, nube personal, aplicación de mensajería. Es la ruta de fuga más común del sector y la más difícil de reconstruir después, porque no queda registro de quién descargó. Elige una vía única, con control de acceso y registro de descarga, y trata la adopción como problema de producción, no de TI: si la vía oficial es más lenta que el atajo, gana el atajo. Mientras la vía no exista, evita publicar respuesta favorable en este tema, porque es el ítem que el evaluador prueba pidiendo ver el historial de un envío reciente.
De 50 a 79
La herramienta oficial existe y producción usa otra cuando el plazo aprieta, que es la respuesta honesta de la mayoría de los estudios y también el hallazgo que más aparece. Investiga los atajos antes de prohibirlos: casi siempre hay un motivo real, tamaño de archivo, cliente que exige su propio portal, revisor que no consigue instalar nada. El paso concreto es cerrar la lista de vías permitidas, incluidos los portales que imponen los clientes, y apagar lo que sobre. En paralelo, enciende la identificación por destinatario y la expiración en los envíos de copia de trabajo, que es lo que permite descubrir de dónde se filtró cuando un material aparece donde no debería.
80 o más
La entrega está controlada, y ese es el tema en el que la nota alta más protege la relación con el estudio, porque es donde el daño sería público. Lo que suele escaparse en este rango es la aplicación en sí: el portal por donde el cliente envía y descarga material es un elemento con evaluación propia, y casi nunca pasó por una prueba técnica. Una prueba de intrusión en esa aplicación antes de la evaluación es la inversión con mejor retorno desde tu posición, porque una falla de control de acceso entre cuentas de clientes distintos es el hallazgo grave más común y no aparece en ningún cuestionario. Corregida antes, no se convierte en ítem de remediación visible para quien te está evaluando.
Menos de 50
Sin plan escrito, la primera decisión después de una fuga se toma en el susto, por quien esté disponible, y suele ser la equivocada: borrar rastros, avisar tarde, o avisar al cliente antes de saber qué pasó. El plan no necesita ser largo. Necesita decir a quién se activa, quién decide, qué se preserva antes de tocar nada, y en cuánto tiempo se avisa al cliente. Ese plazo no lo eliges tú: ve a los contratos de tus clientes y lee la cláusula de notificación, porque es la que manda y suele ser más corta de lo que cualquier proceso interno soportaría. Dos páginas escritas esta semana valen más que un plan completo dentro de seis meses.
De 50 a 79
Existe plan de TI y trata de un sistema caído, no de contenido del cliente en internet, que es un incidente con reloj contractual corriendo y comunicación hacia afuera. Si el plan nunca se ensayó, todavía es una hipótesis: en el papel todo el mundo sabe qué hace, y en la práctica nadie sabe quién llama al estudio a las once de la noche de un viernes. El próximo paso es una mesa de dos horas con quien decide de verdad, dirección, producción y TI, sobre un escenario concreto de tu negocio: un episodio inédito aparece en un grupo de mensajes antes del estreno. Registra qué se trabó y ajusta el plan con lo que apareció, porque es ese registro el que convierte el plan en evidencia.
80 o más
Plan escrito y ensayado es el tema al que menos empresas del sector llegan como llegaste tú, y es lo que más tranquiliza al dueño de contenido, porque lo que teme no es que te equivoques, es que lo escondas. En este rango el valor está en mantener el ciclo vivo: cada incidente o casi incidente debería cambiar algo, un control, un guion o una capacitación. Guarda el registro del último ejercicio con la fecha y los ajustes aplicados después, porque es la pregunta que cierra la entrevista. Vale además alinear el plan con los plazos de notificación de cada contrato nuevo que entre, ya que cada estudio escribe el suyo a su manera.
CÓMO LO CONDUCIMOS
El orden importa aquí más que en cualquier otra norma de este sitio, por un motivo concreto: buena parte del proceso es visible para el dueño de contenido mientras ocurre. Cuestionario respondido, informe publicado y plan de remediación abierto aparecen para quien te está evaluando. Por eso la preparación viene antes de la publicación, y no después.
Relevamos por dónde circula realmente el contenido del cliente, que casi nunca es solo donde la empresa imagina. Definimos los sitios y las aplicaciones que entran en la evaluación, separamos el ambiente de producción del administrativo donde sea posible y traducimos las mejores prácticas al tipo de servicio que la empresa presta.
Mapa de por dónde el contenido entra, se trata, se guarda y sale
Sitios y aplicaciones definidos en el alcance, con cada exclusión justificada
Escudo objetivo definido, con lo que exige en cada caso
Lectura de las mejores prácticas aplicada a tu servicio
Hito de entregaAlcance aprobado por la dirección, con el costo de la evaluación ya dimensionado con el evaluador.
Respondemos el cuestionario internamente, ítem por ítem, sin aceptar respuesta sin evidencia adjunta. Es lo opuesto a completarlo rápido para publicar el azul: aquí la respuesta optimista es el problema, porque queda visible y se convierte en la vara contra la que el evaluador va a contrastar evidencia después.
Cuestionario respondido con evidencia adjunta en cada ítem
Lista de brechas en orden de riesgo para el contenido
Plan con responsable y fecha para cada brecha
Recomendación sobre qué publicar ahora y qué esperar
Hito de entregaNinguna respuesta marcada como atendida sin un documento que la sostenga.
Implantamos con tu equipo, y los dos frentes corren juntos. Del lado físico y organizativo: acceso, medios removibles, visitantes, registro y segregación de red. Del lado de la aplicación: prueba de intrusión en las aplicaciones del alcance, con corrección verificada antes de que entre el evaluador, y no después.
Segregación entre el ambiente de producción y el administrativo
Control de acceso, medios removibles y registro implantados
Prueba de intrusión en las aplicaciones del alcance, con reprueba
Repositorio de evidencias organizado en el formato que el evaluador espera
Hito de entregaBrechas de alto riesgo cerradas y verificadas, con evidencia archivada.
Eliges al evaluador acreditado en la plataforma y él define alcance y precio. Acompañamos la evaluación de tu lado, preparamos a quien será entrevistado y organizamos lo que se pida. Publicado el informe, conducimos el plan de remediación hasta el cierre de los ítems, que es lo que separa el plata del oro.
Equipo preparado para las entrevistas del evaluador
Acompañamiento durante toda la evaluación
Plan de remediación estructurado, con plazos realistas
Conducción del cierre de los ítems hasta la revisión de TPN
Hito de entregaInforme publicado e ítems de remediación cerrados y revisados.
CUÁNTO TIEMPO LLEVA
Es la referencia que da la guía oficial para el primer escudo de un sitio o de una aplicación, y es honesta como punto de partida. No publicamos plazo propio, porque plazo publicado se convierte en promesa, y aquí la variación es grande. Lo que sigue son los tres factores que más mueven el reloj, y la primera conversación ya muestra en cuál está tu empresa.
Un sitio y una aplicación es un proyecto. Cuatro instalaciones y un portal con integraciones es otro completamente distinto, y cada elemento tiene evaluación propia. El alcance es la variable que más pesa, y por eso es lo primero que cerramos.
El azul depende solo de responder con honestidad y tener la evidencia. El plata suma el tiempo del evaluador. El oro depende de cerrar de hecho cada ítem de remediación, y ese es el tramo que más se escapa de tu control, porque en algunas empresas implica inversión y obra.
Quien tiene ISO 27001 en operación llega con gestión de acceso, registro, terceros y respuesta a incidentes listos, y ahorra meses. Lo que no se aprovecha es la parte específica de contenido, que es donde la mayoría de los proyectos gasta el tiempo.
LOS PAPELES ESTÁN SEPARADOS
Aquí la separación viene de la estructura del propio programa, no de una elección nuestra. La evaluación la hace un evaluador acreditado por TPN, elegido por ti en TPN+, que define alcance y precio directamente con tu empresa. El informe lo revisa y publica TPN, y el cierre de la remediación también pasa por su revisión. Preparar y evaluar son papeles distintos, y mezclarlos le quitaría valor al resultado justamente para quien tiene que leerlo.
DM11 prepara, implanta y acompaña. No es evaluador acreditado
Eliges al evaluador dentro de la plataforma, y la elección es tuya
La membresía la contratas tú, directamente con TPN
Quien publica el informe y revisa la remediación es TPN
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
No. La guía oficial afirma que la evaluación y los escudos no son aprobación, certificación ni pass/fail, y que cada dueño de contenido toma su propia decisión, basada en riesgo, usando el resultado como punto de partida. El término certificación TPN circula bastante, incluso en material de proveedores, pero no describe lo que el programa entrega. Lo que existe es el escudo, y dice en qué etapa de la evaluación está tu empresa.
El azul publica las respuestas que tú mismo diste al cuestionario, sin revisión de terceros. El plata significa que un evaluador acreditado contrastó evidencia con esas respuestas y tuvo el informe publicado, con plan de remediación presentado por ti. El oro significa que los ítems de remediación de las mejores prácticas fueron cerrados y revisados por TPN. El oro estrella suma el cierre de las recomendaciones adicionales.
Vale la pena confirmar sobre qué versión fue emitido. En las versiones anteriores de las mejores prácticas existían solo dos escudos, azul y oro, y aquel oro significaba informe de evaluador publicado con plan de remediación, que es lo que hoy corresponde al plata. Desde septiembre de 2025, sobre la versión 5.3.1, el oro exige la remediación cerrada y revisada. En cuanto a la validez, el azul debe actualizarse anualmente y plata, oro y oro estrella valen dos años desde la publicación del informe.
Sí. La membresía es anual, definida por la franja de facturación bruta del año anterior, y es la que da visibilidad en el registro de TPN+ y el derecho de completar la evaluación en la plataforma. El costo de la evaluación es aparte y se acuerda con el evaluador. El cuestionario azul tiene acceso liberado antes del pago, lo que permite usarlo como diagnóstico sin costo, y así es exactamente como recomendamos empezar: como diagnóstico interno, sin publicar.
TPN recomienda incluir en el perfil las aplicaciones desarrolladas en casa y las licenciadas, y recomienda evaluación de aplicación cuando almacena, procesa o transfiere activo de contenido. En la práctica eso alcanza al portal por donde tus clientes envían y retiran material, que es justamente lo que queda afuera cuando la empresa piensa solo en las instalaciones físicas. Es también donde encontramos los hallazgos más graves.
Ayuda bastante, más de lo que la mayoría espera. Gestión de acceso, registro y monitoreo, gestión de terceros, respuesta a incidentes y la disciplina de mantener evidencia se aprovechan casi enteros. Lo que no se aprovecha es la parte específica de contenido, que trata de cómo el material del cliente circula, se guarda, se copia y sale de tu empresa. Ahí es donde el proyecto gasta el tiempo, y ahí es donde ISO 27001 no llega.
Trae el texto del contrato y una lista de tus instalaciones. Te decimos qué debe entrar en el alcance, qué escudo responde a la exigencia y qué se puede cerrar antes de que algo quede visible en el registro.
Comparativas sobre este tema
Ver las 13 comparativas