Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
CYBER THREAT INTELLIGENCE
La inteligencia de amenazas es vigilar lo que se habla y lo que se vende de tu empresa fuera del perímetro, y convertir cada señal en una decisión de defensa. Credencial de un empleado en una filtración, dominio parecido al tuyo registrado por otro, marca usada en una estafa, dato a la venta en un foro cerrado. La ganancia es el tiempo: te enteras cuando aparece, y no por el cliente que llamó preguntando por un correo que tú no enviaste.
Vigilamos los activos que nos autorizas a seguir, tus dominios, tu marca, tus ejecutivos, y las fuentes a nuestro alcance. No invadimos sistemas, no compramos accesos a criminales y tratamos el dato encontrado con finalidad de seguridad, descartando lo que no importa. La inteligencia no es bloqueo ni respuesta a incidente: informa la decisión, y la contención viene después, con quien hace contención.
Quién conduce la vigilancia
Centro de Inteligencia Cibernética propio
Cobertura de internet abierta, Deep Web, Dark Web y grupos cerrados, dentro de lo que es accesible
Analista que lee la señal y recomienda la acción, y no solo recopila
17 años de gobernanza, riesgos y cumplimiento
QUÉ ES
La inteligencia de amenazas no es una herramienta que se enciende y se olvida. Lo que se compra es la lectura: alguien que separa la fuga real de la combolist reciclada, que confirma qué credencial todavía importa y que liga el hallazgo a lo que tu negocio no puede perder. Una lista de alertas que nadie lee no es inteligencia, es ruido con sello. La diferencia entre las dos aparece en lo que llega hasta ti y en la velocidad con la que decides.
La Exposición Digital es la foto: el retrato de lo que ya está expuesto hoy, credencial, dominio similar, marca en una estafa, dato a la venta. Sirve para empezar sabiendo el tamaño del problema. El CTI es la vigilancia que viene después: el aviso cuando algo nuevo aparece, semana tras semana, porque la exposición se regenera y una foto de enero no protege de una filtración de marzo. La foto es una buena puerta de entrada y una pésima solución final.
De fuera, monitorizamos filtraciones, dominios, marca y lo que circula en un foro cerrado. De dentro, cruzamos las señales de tu entorno con la inteligencia de amenaza actual: comportamiento que coincide con una campaña en curso, dirección ya señalada, técnica conocida siendo intentada. Ver los dos juntos acorta el tiempo entre la primera señal y la decisión de actuar, porque lo que se filtra hacia fuera suele explicar lo que aparece dentro.
Cada hallazgo llega fechado, validado y ligado al activo que amenaza, con qué hacer al respecto. Cuando tu empresa responde a una norma, el mismo hallazgo se vuelve evidencia: el control A.5.7 de la ISO 27001:2022 pide inteligencia recopilada, analizada y usada en la decisión, y el decimocuarto control mínimo de las resoluciones de seguridad cibernética del Banco Central de Brasil pide acción de inteligencia con monitorización en internet, Deep Web, Dark Web y grupos privados. Un informe que prueba esa cadena es lo que el auditor busca.
Vigilamos las fuentes a nuestro alcance, y no todo lo que circula es accesible. Por eso el valor no está en una promesa de cobertura total, está en la lectura de lo que aparece y en la acción que viene después. Por la misma honestidad, la inteligencia no remueve el contenido, no cambia la contraseña filtrada, no hace la forense de la fuga ni responde al incidente: informa cada una de esas decisiones, que quedan con quien las ejecuta.
CUÁNDO TIENE SENTIDO
En uno de ellos la exigencia viene de fuera y tiene plazo. En los otros dos viene de dentro, casi siempre después del primer susto.
Las Resoluciones CMN 5.274 y BCB 538, de diciembre de 2025, con adecuación exigida desde marzo de 2026, listan catorce controles mínimos, y el decimocuarto es acción de inteligencia en el entorno cibernético, con monitorización en internet, Deep Web, Dark Web y grupos privados. La norma acepta estructura propia o contratada, y lo que exige es periodicidad y alguien que actúe. En el mundo de la ISO 27001:2022, el control A.5.7 pide lo mismo: inteligencia recopilada, analizada y usada en la decisión. La empresa que declaró el control y no lo ejecuta necesita la evidencia.
Campaña de estafa usando tu nombre, dominio casi idéntico al tuyo registrado por otra persona, perfil falso de un director pidiendo una transferencia, dato de cliente apareciendo a la venta. Aquí el valor no está en encontrar muchas cosas, está en saber pronto qué ya está circulando, para actuar antes de que la estafa llegue al cliente o a la caja.
Una credencial de un empleado apareció en una filtración, o un correo que la empresa no envió llegó a un cliente. El incidente puntual se contuvo, y quedó la pregunta que la vigilancia responde: qué más se filtró, qué todavía circula, y cómo enterarse la próxima vez sin depender de la suerte de que alguien avise.
TRADUCIENDO LA PETICIÓN
El tamaño del trabajo no viene del número de alertas. Estas son las cuatro formas en que suele llegar la petición, con lo que significa cada una y lo que realmente mueve el esfuerzo.
| Qué pidieron | Qué significa realmente | Qué cambia el tamaño |
|---|---|---|
| Queremos monitorizar nuestra marca | Vigilancia de marca, dominio y perfiles oficiales fuera del perímetro, con aviso cuando aparece un uso indebido, un dominio similar o una estafa usando tu nombre. | Cuántas marcas y dominios entran, si la titularidad es tuya o de un socio, y cuántos perfiles oficiales existen para comparar con los falsos. |
| Necesitamos saber si se filtró alguna credencial | Puede ser la foto puntual, para saber lo que ya está expuesto hoy, o la vigilancia continua, para ser avisado cuando aparezca de nuevo. Las dos empiezan por el mismo levantamiento. | Cuántos dominios de correo, cuántos ejecutivos se seguirán, y si la petición es una foto única o el seguimiento recurrente. |
| El Banco Central de Brasil pide inteligencia en el entorno cibernético | El decimocuarto control mínimo, con monitorización en internet, Deep Web, Dark Web y grupos privados. La norma acepta estructura propia o contratada, siempre que la inteligencia se lea y se use. | La frecuencia del informe, la ventana de monitorización y si quieres apoyo en la decisión de respuesta cuando aparece algo urgente. |
| La ISO 27001 pidió el control A.5.7 | Evidencia de que la inteligencia de amenazas es recopilada, analizada y usada en la decisión. Lo que el auditor lee es la cadena de la señal hasta la acción, no la herramienta. | El formato de evidencia que tu auditor acepta y la periodicidad que cierra el ciclo dentro de tu propia auditoría. |
La conversación de alcance ocurre antes de la propuesta, y sirve para separar la foto puntual de la vigilancia recurrente. Es ella la que decide si necesitas saber qué ya se filtró, ser avisado de lo que venga, o las dos cosas.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que va a proteger a tu empresa. Los nombres cambian, el patrón se repite: una señal que aparece fuera del perímetro, leída y ligada a una decisión de defensa. Cuando el cliente lo autoriza, mostramos referencias con nombre en una conversación.
Bancos y fintechs
Las resoluciones de seguridad cibernética del Banco Central pasaron a exigir acción de inteligencia en el entorno cibernético, con monitorización en internet, Deep Web y Dark Web. La institución tenía el control en el papel y nada funcionando de hecho, y el plazo de adecuación corría.
Montamos la vigilancia recurrente sobre dominios, marca y credenciales de los colaboradores, y ligamos cada hallazgo al control que evidencia. Ya en el primer ciclo, credenciales de empleados aparecieron en una filtración, fechadas y confirmadas, y un dominio parecido al del banco había sido registrado por otra persona.
La institución pasó a tener la evidencia recurrente que el regulador exige, leída y accionada, no una herramienta encendida y olvidada. Las credenciales confirmadas fueron cambiadas por el equipo de TI antes de cualquier abuso, y el dominio similar entró en la cola de seguimiento.
Retail de marca
Clientes empezaron a reportar promociones falsas en nombre de la cadena, con dominios parecidos y perfiles clonados. La empresa solo se enteraba por el cliente que reclamaba, cuando la estafa ya había funcionado.
Pusimos la marca, los dominios y los perfiles oficiales bajo vigilancia continua, con alerta inmediata cuando surgiera un uso indebido. Cada aparición se volvía un hallazgo fechado, con qué hacer, y la decisión de actuar pasó a tomarse con evidencia en la mano.
La cadena pasó a enterarse de las estafas antes que los clientes. Sin entrar en el mérito de la remoción, que es una etapa aparte, el tiempo entre la primera señal y la respuesta bajó, y la conversación con el cliente dejó de ser reacción a una reclamación.
SaaS y plataformas
La plataforma veía, de vez en cuando, intentos de acceso extraños, sin saber si eran ruido o el comienzo de algo. Faltaba ligar lo que aparecía dentro del entorno a lo que circulaba fuera.
Cruzamos las señales internas del entorno con la inteligencia de amenaza actual: una credencial que se había filtrado en un vertido reciente estaba siendo intentada contra el acceso de la empresa, y la dirección de origen ya venía señalada en una campaña conocida.
Lo que parecía ruido se volvió un camino claro: el equipo de TI invalidó la credencial y cortó el acceso antes de que el intento se volviera incidente. Ver los dos lados juntos acortó el tiempo entre la primera señal y la decisión.
CÓMO LO CONDUCIMOS
Cada fase termina con algo que puedes comprobar sin depender de nuestra palabra. Ese es el punto: un informe que tu auditoría puede leer vale más que una pantalla llena de alertas que nadie abre.
Registramos los dominios, las marcas, los perfiles oficiales y los activos a seguir, y acordamos por escrito qué entra en la vigilancia y qué queda fuera. Para el lado de dentro, definimos el acceso a la telemetría que vamos a cruzar. Aquí también se decide la frecuencia del informe y la ventana de monitorización, porque es eso lo que separa una vigilancia que avisa a tiempo de una que solo documenta después.
Activos registrados, con marcas, dominios, perfiles y lo que es de terceros
Alcance escrito, con lo que entra en la vigilancia y lo que queda fuera
Acceso a la telemetría interna acordado, cuando el lado de dentro entra
Frecuencia del informe y ventana de monitorización definidas
Hito de entregaAlcance y accesos acordados por escrito, sin ningún punto de cobertura abierto.
Recopilamos de las fuentes a nuestro alcance, internet abierta, Deep Web, Dark Web y grupos cerrados, y validamos antes de cualquier alerta. Validar es lo que separa la alerta útil del ruido: deduplicar lo repetido, fechar lo que apareció, descartar la combolist reciclada que solo reempaqueta una fuga antigua, y confirmar qué credencial todavía importa. Sin esta fase, recibes un vertido de datos que no mueve ninguna decisión.
Hallazgos recopilados de las fuentes accesibles, sin promesa de cobertura total
Repetición removida y cada hallazgo fechado
Combolist reciclada descartada, con el motivo registrado
Confirmación de qué credencial sigue siendo válida e importa
Hito de entregaCada hallazgo fechado y clasificado, sin combolist reciclada en el informe.
Cada hallazgo validado se liga al activo que amenaza y a lo que tu negocio no puede perder, y se prioriza por eso, no por el orden en que apareció. Cuando tu empresa responde a una norma, el hallazgo también se liga al control que evidencia, el A.5.7 de la ISO 27001:2022 o el decimocuarto control de las resoluciones del Banco Central de Brasil. Es ese enlace lo que transforma una alerta en evidencia y en acción.
Cada hallazgo ligado al activo y al riesgo de negocio
Prioridad definida por el impacto, no por el orden de llegada
Enlace al control de la norma, cuando la empresa responde a una
Acción recomendada por hallazgo, con el dueño de la acción señalado
Hito de entregaCada hallazgo con dueño, prioridad y acción recomendada.
Lo urgente se vuelve alerta el mismo día, con la recomendación inicial. El resto entra en el informe consolidado en la frecuencia acordada, con lo que apareció, lo que se validó y qué hacer. El informe se lee con tu equipo, porque la inteligencia que no se convierte en decisión es coste sin retorno, y es esa lectura la que la norma exige cuando pide que la inteligencia se use.
Alerta inmediata en el hallazgo urgente, con recomendación inicial
Informe consolidado en la frecuencia acordada
Registro de lo que apareció, de lo que se validó y de qué hacer
Lectura del informe con tu equipo, con las decisiones anotadas
Hito de entregaAlerta urgente el mismo día; informe entregado y leído en la cadencia acordada.
CÓMO TRANSCURRE LA VIGILANCIA
No publicamos plazo ni precio porque el alcance de una vigilancia varía mucho, y un número publicado se convierte en promesa. La primera conversación ya muestra en cuál de estos factores está tu empresa, y es ella la que produce el requisito de alcance.
Una marca con pocos dominios avanza ligera. Un grupo con varias marcas, decenas de dominios, perfiles oficiales en muchos canales y ejecutivos a seguir consume más. La titularidad también pesa: monitorizar lo que es tuyo es directo, y lo que pertenece a un socio exige acordar antes.
Parte de lo que circula está en fuente abierta y es rápida de cubrir. Parte está en un grupo cerrado o en un foro de acceso restringido, y no todo es accesible. El alcance dice honestamente qué se puede cubrir, en lugar de prometer lo que nadie entrega.
Un informe mensual con alerta inmediata en lo urgente es un régimen; un seguimiento más cercano, con ventana extendida y apoyo en la decisión de respuesta, es otro. Esa elección cambia el esfuerzo más que la parte técnica, y se acuerda al principio.
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
La herramienta recopila y lista. La inteligencia lee lo que la herramienta trajo: separa la fuga real de la combolist reciclada, confirma qué credencial todavía importa, liga el hallazgo a tu activo y dice qué hacer. Una pantalla llena de alertas que nadie abre no es inteligencia, es ruido con sello. Tanto el control A.5.7 de la ISO 27001:2022 como el decimocuarto control de las resoluciones del Banco Central de Brasil piden justamente eso: que la inteligencia se use en la decisión, y no solo se recolecte.
Es el mismo trabajo en dos tiempos. La Exposición Digital es la foto puntual: el retrato de lo que ya está expuesto hoy, entregado una vez. El CTI es la vigilancia continua que viene después: el aviso cuando algo nuevo aparece, en la frecuencia acordada. La foto es una buena puerta de entrada, porque muestra el tamaño del problema, y una pésima solución final, porque la exposición se regenera y un retrato de hoy no protege de la filtración de mañana.
No como parte de la inteligencia. La remoción depende de la plataforma donde está el contenido y puede entrar como apoyo aparte, acordado aparte. El trabajo de inteligencia encuentra, valida, prioriza y dice qué hacer; la retirada, cuando es posible, es otra etapa. Prometer la remoción junto sería vender lo que la inteligencia por sí sola no entrega.
No. El cambio de la credencial filtrada o el restablecimiento de contraseña queda con tu equipo de TI, después de la alerta. Nuestro papel es avisar pronto, confirmar que la credencial todavía importa y decir qué hacer. Por la misma división, la inteligencia no hace la forense de lo que causó la fuga, no bloquea la amenaza y no responde al incidente: informa cada una de esas decisiones, que quedan con quien las ejecuta.
Lo atiende. Las Resoluciones CMN 5.274 y BCB 538, de diciembre de 2025, con adecuación exigida desde marzo de 2026, listan catorce controles mínimos, y el decimocuarto es acción de inteligencia en el entorno cibernético, con monitorización en internet, Deep Web, Dark Web y grupos privados. La norma acepta estructura propia o contratada, y lo que exige es periodicidad y alguien que actúe. El informe recurrente, con lo que apareció y lo que se hizo, es la evidencia de eso.
El A.5.7 pide que la organización recopile, analice y use inteligencia de amenazas para decidir sobre su seguridad. Lo que entregamos es la evidencia de esa cadena entera: la señal recopilada, la validación, el enlace al riesgo y la acción tomada. La empresa certificada que declaró el control sin ejecutarlo tiene, en el informe, exactamente el artefacto que el auditor busca. Es la diferencia entre tener el control en el papel y tener el control funcionando.
No, y conviene desconfiar de quien lo garantice. Vigilamos las fuentes a nuestro alcance, y no todo lo que circula es accesible: parte está en un grupo cerrado, parte nunca aparece en un lugar que se pueda ver. Por eso el valor no está en una promesa de cobertura total, está en la lectura de lo que aparece y en la acción que viene después. Una vigilancia honesta dice qué cubre y qué no cubre, en lugar de prometer lo imposible.
Una conversación corta define el alcance y separa lo que necesitas saber ahora de lo que necesitas que te avisen después. Sirve para dimensionar la foto puntual y la vigilancia recurrente con criterio, y para contratar sabiendo exactamente qué recibes en cada etapa.