Software de gestión de evidencias para compliance y auditorías

No solo documentar el compliance. Demostrarlo.

Con Complaica gestiona las evidencias de compliance —por ejemplo, para ISO 27001 y la IT-Grundschutz del BSI— junto con los requisitos, riesgos y medidas a los que pertenecen. Los cambios relevantes se capturan automáticamente; las evidencias registradas siguen siendo trazables en el tiempo y verificables de forma independiente. Una cadena de evidencias enlazada criptográficamente y sellos de tiempo cualificados eIDAS aseguran los estados seleccionados, desde el primer alcance hasta la auditoría.

01Una cadena de evidencias continua a lo largo de todo el ciclo de vida del compliance
02Evidencias automáticas a partir del alcance, las necesidades de protección, los riesgos y las medidas
03Reglas de eventos configurables y sellos cualificados de tiempo eIDAS
04Integridad verificable criptográficamente e historial completo
05Verificación independiente y evidencias de auditoría exportables

Solicitar cuenta de prueba Solicitar lista de precios

Cadena de evidencias

Cadena de evidencias Concepto de compliance SGSI 2026

#1288 Auditoría finalizada Auditoría interna SGSI 2026 b5a7b218…a964 eIDAS
#1287 Hallazgo cerrado F-07 Gestión de parches 7cc5e4d5…cd40
#1283 Riesgo residual aceptado R-12 Acceso no autorizado 1b17a798…bf7f eIDAS
#1280 Configuración de Terraform registrada fw-dmz.tf 3a1424f5…d73a
#1279 Medida finalizada M-114 Segmentación de red DMZ 32bf5712…c47c

Cadena verificada 1288 eventos Último punto de control 12/10/2026

EVIDENCE 01

Una cadena de evidencias para cada concepto de compliance

Al crear un concepto de compliance en Complaica, comienza también su cadena de evidencias.

La cadena documenta estados, decisiones y cambios relevantes a lo largo de todo el ciclo de vida. Cada evento registrado hace referencia a los objetos afectados y se enlaza criptográficamente con el historial anterior.

Así, la cadena se convierte en la cronología verificable del concepto de compliance: desde su estructura inicial, pasando por la evaluación de riesgos y la implantación de medidas, hasta la auditoría.

Su organización decide qué eventos se registran automáticamente y cuándo se generan sellos cualificados de tiempo electrónicos.

EVIDENCE 02

Evidencias de compliance para ISO 27001 y la IT-Grundschutz del BSI

Normas como ISO 27001 y la IT-Grundschutz del BSI exigen evidencias documentadas: del tratamiento de riesgos, de las medidas, de las auditorías internas y de la revisión por la dirección. Un ejemplo de un concepto SGSI muestra cómo una decisión sobre un riesgo se convierte en una evidencia que un auditor puede comprobar.

Ejemplo de un concepto SGSI

01 Aprobar el tratamiento del riesgo R-12 Acceso no autorizado La dirección aprueba el tratamiento del riesgo. Complaica registra la decisión, quién la tomó y cuándo como evento de evidencia.
02 Implementar la medida M-114 Segmentación de red DMZ Operaciones TI implementa la medida. Los cambios de estado y el commit de Terraform del pipeline entran en la misma cadena.
03 Registrar la evidencia técnica Pentest-Bericht_DMZ_2026-Q3.pdf El informe del proveedor externo de pruebas se registra con su hash y se vincula a la medida, al riesgo y a A.8.20.
04 Anclar el estado en el tiempo Punto de control · eIDAS Un sello de tiempo cualificado confirma el estado de la cadena en ese momento. Al prestador de servicios de confianza solo llega el valor hash.
05 Exportar un paquete de verificación verification-package_ISMS-2026_1288.zip Para la auditoría, el responsable de seguridad exporta un paquete con los datos de los eventos, los valores hash, las pruebas de encadenamiento y el sello de tiempo.

Lo que ven los responsables

Para cada requisito, su estado actual y las evidencias en que se basa
Quién tomó una decisión o cerró una medida, y cuándo
Dónde faltan evidencias o son más antiguas de lo previsto

Lo que recibe el auditor

El historial del requisito: evaluación, decisión sobre el riesgo, medida, evidencia
Un paquete de verificación cuya integridad y sello de tiempo se comprueban sin acceso a Complaica
La base para su juicio: si una evidencia basta en cuanto al contenido lo sigue decidiendo el auditor

Más ejemplos: del requisito a la auditoría

ISO 27001 · 8.3 Tratamiento de los riesgos de seguridad de la información
1. Plan de tratamiento de riesgos
2. Aprobación de los riesgos residuales
3. Medidas con responsables
4. Historial de decisiones
5. Comprobación en la auditoría
ISO 27001 · 9.3 Revisión por la dirección
1. Entradas de la revisión
2. Acta y decisiones
3. Medidas derivadas
4. Punto de control con sello de tiempo eIDAS
5. Comprobación en la auditoría
IT-Grundschutz · Determinación de las necesidades de protección (estándar BSI 200-2)
1. Necesidades de protección de los procesos de negocio
2. Herencia a aplicaciones y sistemas TI
3. Aprobación de la evaluación
4. Historial de cambios
5. Comprobación en la auditoría
IT-Grundschutz · NET.1.1 Arquitectura y diseño de red
1. Modelado de la red
2. Comprobación IT-Grundschutz de los requisitos
3. Configuración del firewall desde Terraform
4. Informe de la prueba de penetración
5. Comprobación en la auditoría

Complaica registra lo que se decidió, se implementó y se evidenció, y hace verificable ese historial. Eso por sí solo no hace que una organización cumpla la norma.

Solicitar lista de precios

… o simplemente pregunte por WhatsApp.

EVIDENCE 03

Gestionar las evidencias de compliance durante todo el ciclo de vida

Seis fases, una cadena. En cada fase Complaica registra los eventos que más tarde muestran qué estaba vigente en cada momento y quién lo decidió.

01
01 · Gestión del alcance

El alcance se vuelve trazable.
Complaica documenta el alcance de un concepto de compliance, incluidas sus estructuras organizativas y técnicas.
Los cambios relevantes se registran en la cadena de evidencias y siguen siendo trazables en el tiempo.

Lo que se puede demostrar

Se puede rastrear qué unidades organizativas, procesos y activos formaban parte del alcance en un momento determinado.
Eventos de evidencia típicos
- e428690 Concepto de compliance creado Sello cualificado de tiempo electrónico (eIDAS)
- 82069a0 Alcance definido o modificado
- af5cdda Unidad organizativa añadida o eliminada
- fe96c5f Proceso de negocio asignado al alcance
- 8009ee1 Activo añadido o modificado
- 221a257 Versión de la estructura aprobada
02
02 · Necesidades de protección y clasificación

Evaluaciones con una base trazable.
Las evaluaciones de necesidades de protección y las clasificaciones se vinculan a los objetos afectados y se documentan en el tiempo.

Lo que se puede demostrar

No solo se ve el resultado actual, sino también cómo han evolucionado las evaluaciones y cuándo.
Eventos de evidencia típicos
- 7b56aef Necesidad de protección de un activo evaluada
- 2fd5ca4 Evaluación modificada
- 0da7c18 Necesidad de protección heredada actualizada
- 5591da7 Criticidad de un proceso de negocio ajustada
- 90b0551 Evaluación confirmada o aprobada Sello cualificado de tiempo electrónico (eIDAS)
03
03 · Requisitos y evaluaciones de compliance

Cada evaluación en el contexto de sus requisitos.
Complaica vincula requisitos de distintas normas con controles, medidas y sus evaluaciones.

Lo que se puede demostrar

Para cada requisito se puede rastrear qué evaluación estaba vigente en cada momento y en qué evidencias se apoyaba.
Eventos de evidencia típicos
- 3d397df Requisito evaluado
- 25e20e2 Estado de cumplimiento modificado
- 4391a42 Justificación actualizada
- 206115a Evidencia asignada
- 159098b Desviación detectada
- 34c0416 Evaluación aprobada
04
04 · Gestión de riesgos

De la identificación del riesgo a una decisión verificable.
Los riesgos, sus evaluaciones y las decisiones de tratamiento se documentan junto con los activos, procesos y requisitos afectados.

Lo que se puede demostrar

Las decisiones sobre riesgos pueden rastrearse a lo largo de todo su ciclo de vida.
Eventos de evidencia típicos
- 6ec6b44 Riesgo identificado
- 7fb0e35 Probabilidad o impacto evaluados
- 068095c Evaluación del riesgo modificada
- 95da879 Tratamiento del riesgo decidido
- 572681e Riesgo residual aceptado Sello cualificado de tiempo electrónico (eIDAS)
- 19b8fcc Riesgo reevaluado
05
05 · Medidas e implantación técnica

De la decisión a la implantación real.
Complaica vincula las medidas con requisitos, riesgos y las evidencias de su implantación.
La cadena de evidencias documenta cambios y aprobaciones relevantes. Mediante integraciones también se pueden capturar artefactos y eventos técnicos externos.

Lo que se puede demostrar

Se hace visible la relación entre el requisito de negocio, la decisión organizativa y la implantación técnica.
Eventos de evidencia típicos
- ecf3934 Medida creada o modificada
- e4ebdce Responsable asignado
- f85c5f2 Estado de implantación actualizado
- ff4cad8 Medida finalizada
- f3e74e3 Evidencia de implantación añadida
- bb6522c Configuración de Terraform registrada
- 5019ad1 Resultado del despliegue capturado
- e08c42f Configuración técnica verificada
Ejemplo de una cadena de evidencias conectada
1. Requisito de seguridad
2. Medida
3. Solicitud de cambio
4. Commit de Terraform
5. Configuración del cortafuegos
6. Verificación
06
06 · Auditorías y mejora continua

Preparados para la auditoría, con un historial verificable.
Las auditorías acceden al estado actual de los datos de compliance y al historial documentado de los eventos relevantes.

Lo que se puede demostrar

Los auditores pueden rastrear qué evaluaciones, medidas y evidencias estaban registradas en un momento determinado.
Eventos de evidencia típicos
- 53fe039 Auditoría iniciada
- 980f257 Alcance de la auditoría definido
- 2bb0a72 Evidencias revisadas
- 185949e Hallazgo registrado
- d06539c Acción correctiva definida
- 6e11303 Hallazgo cerrado
- 561fbb7 Auditoría finalizada Sello cualificado de tiempo electrónico (eIDAS)
- d19f1a9 Punto de control cualificado generado Sello cualificado de tiempo electrónico (eIDAS)

EVIDENCE 04

Capturar evidencias automáticamente en el trabajo diario

La cadena de evidencias no se recopila a mano a posteriori. Complaica registra los eventos relevantes en el momento en que se producen.

Mediante reglas configurables se define:

01Qué tipos de objeto se supervisan.
02Qué cambios cuentan como evento de evidencia.
03Qué cambios de estado se ignoran.
04Qué metadatos y estados de los objetos se capturan.
05Qué eventos generan automáticamente un sello cualificado de tiempo.

Solicitar cuenta de prueba

Reglas de eventos

Concepto de compliance SGSI 2026

Añadir regla

Objeto	Evento	Cadena de evidencias	Sello cualificado de tiempo
Concepto de compliance	Creado	Automático	Sí
Alcance	Modificado	Automático	No
Activo	Necesidad de protección aprobada	Automático	Sí
Riesgo	Evaluación modificada	Automático	No
Riesgo	Riesgo residual aceptado	Automático	Sí
Medida	Finalizada	Automático	No
Auditoría	Cerrada	Automático	Sí

EVIDENCE 05

Registrar documentos externos y evidencias técnicas

No todas las evidencias relevantes surgen dentro de Complaica. Los usuarios pueden registrar en cualquier momento objetos, documentos o artefactos técnicos adicionales en la cadena de evidencias.

Al registrarlos se capturan el hash criptográfico, la identidad del objeto, la fuente, el momento y los metadatos correspondientes. El registro puede vincularse a requisitos, riesgos, medidas, activos o auditorías.

Ejemplos

Política de seguridad de la información en PDF
Concepto de seguridad aprobado
Informe de auditoría externa
Resultado de una prueba de penetración
Archivo de configuración del cortafuegos
Manifiesto de Terraform
Informe de incidente del SIEM
Certificado de un proveedor

Registrar evidencia

Archivo

Informe-pentest_DMZ_2026-T3.pdf PDF · 2,4 MB · SHA-256 cca2e13d…6131

Vincular con

M-114 Segmentación de red DMZ

R-12 Acceso no autorizadoA.8.20 Seguridad de redes

Fuente

Proveedor externo de pruebas

Descripción

Prueba de penetración de la DMZ tras finalizar la segmentación de red, informe final.

Crear sello cualificado de tiempo Al prestador de servicios de confianza solo se envía el valor hash.

Cancelar Registrar

EVIDENCE 06

Cadena de evidencias con sellos de tiempo cualificados eIDAS

Cada evento de evidencia se enlaza criptográficamente con el historial anterior. Así, las modificaciones posteriores se vuelven detectables.

Para los estados que usted elija pueden generarse sellos cualificados de tiempo electrónicos conforme a eIDAS. Confirman el estado criptográfico de la cadena en un momento determinado y permiten comprobar de forma independiente su anclaje temporal.

Hash de la evidencia

Identifica el contenido o el estado registrado.

Cadena de evidencias

Enlaza criptográficamente los eventos registrados entre sí.

Sello cualificado de tiempo

Confirma de forma independiente que un estado determinado de la cadena existía, a más tardar, en el momento indicado.

Un punto de control cubre todo el historial registrado hasta ese momento.

Evento 001 d56bc121 eIDAS
Evento 002 dfe4f0b6
Evento 003 c256f59f eIDAS
Evento 004 e6e64286
Evento 005 e9a8facd eIDAS

Punto de control en el evento 001

Punto de control en el evento 003 · cubre los eventos 001⁠–⁠003

Punto de control en el evento 005 · cubre los eventos 001⁠–⁠005

Los sellos de tiempo los expide un prestador cualificado de servicios de confianza. No es necesario enviarle los datos ni los documentos.

Obtener una cuenta

… o simplemente pregunte por WhatsApp.

EVIDENCE 07

Rastrear evidencias de auditoría en el explorador de la cadena

Complaica ofrece una vista navegable de la cadena de evidencias.

Los usuarios pueden

01Recorrer los eventos en orden cronológico.
02Abrir bloques individuales.
03Consultar valores hash y vínculos.
04Navegar hasta los objetos originales de Complaica.
05Abrir documentos externos y artefactos técnicos, si están disponibles y se tienen permisos.
06Comprobar los sellos cualificados de tiempo y el estado de verificación.
07Reconstruir estados históricos.
08Examinar eventos y evidencias relacionados.

Explorador de la cadena

Explorador de la cadena de evidencias Buscar hash, objeto o actor

Bloque #1279

Medida finalizada

Hash: 32bf57129b9e9c283bcfcb8f0fc16ed23d168283af8bd558a3c6f33d7abfc47c
Hash anterior: 241fabff52eff6ea9854e96fda0f0fc912f2684bf7ccde289a7ccc042eb39a99
Objeto de origen: M-114 Segmentación de red DMZ
Actor: T. Yilmaz
Momento: 08/10/2026, 14:02 UTC
Verificación: Integridad verificada
Sello cualificado de tiempo: Ninguno: lo cubre el siguiente punto de control