Auditor de Excepciones de Seguridad
Encuentra las excepciones temporales que nunca terminaron
- 8reglas estrictas
- Cosas que nunca debe hacer, aplicadas en cada ejecución
- 5reglas de traspaso
- Condiciones en las que se detiene y entrega el trabajo a una persona
- 9campos de salida
- Un resultado estructurado, no un párrafo que tengas que releer
- ≤7pasos por ejecución
- Trabajo acotado: como máximo 5 llamadas a herramientas, impuesto por el entorno de ejecución
Solo lectura por diseño. Este agente no tiene ninguna vía para enviar, gastar, publicar ni confirmar nada. Cuando ese límite es el producto, quitarlo eliminaría la razón para confiar en el resultado.
Resumen
Toda política de seguridad necesita una forma de decir «esta vez no», así que se conceden excepciones: una regla de cortafuegos abierta para una migración, el doble factor exceptuado en una cuenta de servicio, un sistema operativo sin soporte mantenido vivo por una aplicación, un proveedor autorizado a conectarse sin cumplir el estándar. Cada una es una decisión defendible tomada por alguien competente bajo presión real, con una fecha de fin.
La fecha de fin es la parte que falla. A nadie se le mide por cerrar una excepción, la presión que la creó desaparece en el momento en que se concede, y quien la pidió cambia de puesto. El registro crece, y al cabo de unos años la postura real de la organización es su política menos una lista que nadie ha leído entera.
La versión que se acumula es peor que cualquier entrada suelta. Tres excepciones individualmente razonables pueden combinarse en un camino: un servidor sin parchear, alcanzable desde un segmento abierto temporalmente, usando una cuenta exceptuada del doble factor. Nadie concedió ese camino. Existe porque tres aprobaciones separadas nunca se encontraron.
Este agente lee el registro contra la realidad: qué caducó y sigue vigente, qué está a nombre de alguien que se fue, qué controles compensatorios se prometieron y nunca se implantaron, y qué combinaciones forman un camino. No concede nada, no cambia nada, y nunca afirma que algo sea seguro.
Beneficios
El registro deja de crecer
Porque lo que debería haberse cerrado se hace visible.
Caminos encontrados antes que por un atacante
Las combinaciones que nadie aprobó a propósito.
Una respuesta honesta para los auditores
Qué está exceptuado, por qué y por cuánto tiempo.
Qué hace
Encuentra excepciones caducadas y aún vigentes
A nadie se le mide por cerrar una, y la presión que la creó desapareció el día que se concedió.
Comprueba que el control compensatorio existe
Las excepciones se aprueban con la promesa de uno. Es lo primero que se queda sin implantar y lo último que alguien comprueba.
Encuentra combinaciones que nadie aprobó
Tres excepciones razonables que juntas forman un camino. Ningún aprobador lo vio, porque ninguno vio las otras dos.
Rastrea excepciones huérfanas
A nombre de alguien que se fue. Una excepción sin dueño no la va a cerrar nadie.
Informa de la postura con honestidad
Vuestro estándar real es la política menos esta lista, y casi nadie la ha leído entera jamás.
No concede ni cambia nada
No toca ningún control, ninguna regla ni ninguna entrada del registro, y nunca afirma que algo sea seguro.
Qué cambia
Qué cambia en tu semana
- Se encarga de
- Leer el registro de excepciones contra lo que de verdad sigue vigente.
- Hoy lo hace
- Nadie de punta a punta. Las excepciones se conceden de una en una y nunca se leen juntas.
- Con qué frecuencia
- Trimestral sobre el papel; en la práctica, en la auditoría.
- Esfuerzo manual habitual
- Cada entrada exige comprobar su vencimiento, su dueño y el control compensatorio prometido.
Por qué Ciberseguridad en concreto. A nadie se le mide por cerrar una excepción, y la presión que la creó desaparece el día que se concede. Peor aún: tres excepciones individualmente razonables pueden formar un camino que ningún aprobador vio.
Funciona sin supervisión
Lo inicias tú o lo inicia un evento, y termina solo. Nada espera a que alguien esté en su mesa.
El mismo criterio siempre
El elemento doscientos se mide con el listón del primero. La constancia es la parte que las personas no pueden sostener.
No puede actuar por su cuenta
Auditor de Excepciones de Seguridad no tiene ninguna vía para enviar, gastar ni comprometer nada. Ese límite es justo lo que hace seguro actuar sobre su resultado.
Cómo funciona
Este agente se ejecuta en el servidor a través del entorno de ejecución de PROMIVO. Cada ejecución se registra paso a paso y cada llamada a una herramienta se comprueba contra los permisos antes de ejecutarse.
- 1EntradaValidada contra el esquema de entrada del agente
- 2Modeloclaude-opus-5 con reserva automática
- 3Herramientassearch_knowledge, extract_structured_data
- 4PermisosEjecuta acciones READ automáticamente; cualquier cosa por encima espera aprobación
- 5SalidaResultado estructurado conforme al esquema de salida
- 6RegistroTokens, duración y cada paso quedan registrados
Demostración
Datos de demostraciónIllustrative sample output, abridged.
Entrada
{
"asAtDate": "2026-09-02",
"exceptions": []
}Salida
{
"escalate": true,
"noExpiry": [
"6 exceptions have no expiry date and apply to production systems. A permanent exception is a policy change that was never made as one."
],
"orphaned": [
"9 exceptions are owned by 4 people who have left. Nobody is going to close these."
],
"disclaimer": "A review of the register and records supplied. No control, rule, policy or exception has been changed, granted or closed; no system was scanned, probed or tested; no statement is made that anything is secure, insecure or exploitable; and combinations are reasoning from the register rather than tested attack paths.",
"combinations": [
{
"basis": "Reasoning from the register only. This is not a tested path and no assessment has been made of whether it is exploitable.",
"exceptions": [
"EXC-114",
"EXC-208",
"EXC-231"
],
"sharedElement": "The payment reconciliation host",
"whatItRemoves": "Three separate approvals have removed multi-factor on the service account, network isolation for an unsupported OS, and the patching requirement — all on the same host. No approver saw the other two."
}
],
"escalationReason": "An exception on a system handling payment data expired 1,372 days ago, a compensating control was never implemented, and three exceptions combine on one host.",
"expiredStillInForce": [
{
"system": "Payment reconciliation service",
"expiredOn": "2022-11-30",
"reference": "EXC-114",
"dataHandled": "Payment data",
"daysExpired": 1372,
"controlBypassed": "Multi-factor authentication"
}
],
"controlsBypassedRepeatedly": [
"The patching standard has 23 live exceptions. That is a control that does not fit the estate, not 23 separate decisions."
],
"missingCompensatingControls": [
"EXC-208 was approved on the basis of network isolation for an unsupported operating system. No isolation appears in any record. The approver agreed to an exception with a control; what exists is the exception without it."
]
}Requisitos
Integraciones
No requiere integraciones.
Antes de empezar
- El registro de excepciones: qué, por qué, quién aprobó, vencimiento, control compensatorio
- Los sistemas y cuentas a los que aplica cada excepción
- La lista de personal actual
- Si cada control compensatorio se implantó, donde esté registrado
- Requiere el plan Acceso total o superior
Casos de uso
Revisión trimestral de excepciones
Qué caducó, qué no tiene dueño, qué no tiene control.
Antes de una certificación
Por lo que preguntará primero un evaluador.
Tras una reorganización
Qué excepciones perdieron a su dueño.
Reporte al comité de riesgos
La postura real, no la política.
Precios
Acceso total
Se factura mensualmente con tu suscripción a PROMIVO. Cancela cuando quieras.
Las ejecuciones consumen la asignación de tu plan para ejecuciones de agentes y tokens. Consulta los límites del plan
Preguntas frecuentes
¿Cambia controles de seguridad?
No. No toca ningún control, ninguna regla de cortafuegos, ninguna política ni ninguna entrada del registro. Cerrar una excepción puede romper un sistema en producción, y esa decisión pertenece a quienes lo llevan.
¿Escanea o prueba nuestros sistemas?
Nunca. No realiza ningún escaneo, sondeo ni prueba de ningún tipo. Lee el registro y los datos que le aportas.
¿Cómo encuentra combinaciones?
Comprobando si varias excepciones tocan el mismo sistema, cuenta o ruta de red. Informa de la combinación y de qué permitiría, y dice claramente que razona desde el registro y no desde un camino de ataque probado.
Reseñas
Las reseñas se abren cuando los clientes hayan ejecutado este agente.
¿Necesitas que este agente funcione de otra forma?
Cuéntanos qué cambiar y nuestro equipo definirá el alcance de una versión a medida para tu negocio.
Personalizar este agente