Dirección
Cuando necesita evidencia comprensible sobre avance, eficacia y prioridades pendientes.
Capacidad estratégica
Validación y Mejora Continua
Evaluación, pruebas y seguimiento para comprobar controles, aprender de la evidencia y orientar la mejora continua.
Situación que aborda
Una capacidad se define por la decisión que permite ordenar.
Un control implementado no es necesariamente un control eficaz. Esta capacidad utiliza evaluaciones, seguimiento, pruebas y medición para producir evidencia, detectar degradación y orientar la mejora.
Relevancia y señales
Para quién aplica y cuándo conviene revisarla.
Tecnología
Cuando debe comprobar configuraciones, acciones correctivas o evolución de controles.
Seguridad
Cuando requiere validar controles, hacer seguimiento a hallazgos y medir madurez.
Señales de alerta
No confirman por sí solas una brecha; indican que la capacidad merece revisión.
- Existen controles implementados, pero no evidencia reciente de su eficacia.
- Los hallazgos o acciones correctivas permanecen abiertos sin validación técnica.
- No se mide avance, recurrencia o madurez de manera consistente.
- Las pruebas se realizan de forma aislada y no alimentan decisiones posteriores.
Enfoque ActivosTI
Del contexto a una decisión trazable.
La secuencia se adapta al alcance acordado y mantiene la tecnología subordinada al riesgo y a la capacidad.
- 01
Definir qué validar
Acordar controles, hallazgos, escenarios o capacidades dentro del alcance.
- 02
Revisar con evidencia
Ejecutar evaluación, seguimiento o prueba controlada según corresponda.
- 03
Interpretar resultados
Separar hallazgos, recurrencia, avance y decisiones pendientes.
- 04
Evolucionar
Convertir aprendizaje e indicadores en próximos ciclos de mejora.
Resultado según alcance
Entregables, evidencias e indicadores cumplen funciones distintas.
Se definen durante la conversación inicial. Los siguientes elementos son esperables o aplicables; no constituyen una promesa uniforme.
Entregables esperables
- Registro de controles, hallazgos o capacidades evaluadas según alcance.
- Seguimiento técnico de acciones de remediación seleccionadas.
- Resultados de pruebas periódicas o lectura de madurez cuando apliquen.
Evidencias esperables
- Controles validados y resultados de pruebas controladas.
- Estado de hallazgos, reincidencia y acciones revisadas.
- Lecturas comparables de avance o madurez dentro del alcance.
Indicadores aplicables
- Controles validados y hallazgos cerrados.
- Reincidencia y tiempo de remediación.
- Nivel de madurez cuando exista un modelo acordado.
Tecnologías habilitadoras
La tecnología acompaña la capacidad; no la define.
Estas categorías pueden apoyar el alcance. No son nuevas capacidades, un inventario exhaustivo ni una recomendación automática de producto.
- Evaluación de controles
- Seguimiento técnico de remediación
- Pruebas periódicas
- Simulación controlada de controles
- Medición de madurez y evidencia
Relación entre capacidades