Nadie ha comparado esas dos columnas. Yo leo las dos.
§1 El problema
La política la redactó un abogado que nunca vio el código. El sistema lo construyeron ingenieros que nunca leyeron la ley. Entre ambos queda una distancia que nadie ha medido, porque medirla exige entender las dos mitades a la vez.
Esa distancia no molesta a nadie hasta que llega un incidente, una queja o una visita de la autoridad. Ese día deja de ser un detalle técnico y pasa a ser responsabilidad de la compañía, y la conversación entre el área jurídica y la de ingeniería empieza con años de retraso, en el peor momento posible.
§2 El diagnóstico
Un trabajo de alcance cerrado que contrasta su documentación con su arquitectura real y le dice, en concreto, dónde no coinciden.
Qué datos trata realmente
Leído del esquema de la base de datos y del código, no del inventario que alguien llenó de memoria hace dos años.
Por dónde salen del país
Nube, pasarelas de pago, analítica, correo, soporte, registro de errores. Los subprocesadores que el sistema invoca de verdad, contra los que su documentación declara.
Qué medidas de seguridad existen
Cifrado, retención, supresión, control de acceso: qué hay, qué falta y qué está implementado de un modo que no resiste una revisión.
Dónde su política promete lo que su sistema no cumple
El contraste explícito entre el documento y la máquina. Es la parte que nadie revisa y la que más pesa cuando hay que responder.
Entrega: un informe con los hallazgos priorizados por riesgo real —no por gravedad teórica— y un plan de corrección con responsables técnicos y jurídicos separados.
Y una sesión con las dos áreas en la misma sala. Suele ser la primera vez que ocurre, y suele ser lo más útil de todo el trabajo.
Después: cerrar la distancia
La distancia se cierra por dos lados. El lado técnico —cambiar el sistema— lo hace su equipo, o quien ustedes elijan; ya dije que eso no lo vendo. El lado jurídico lo hago yo:
- La política reescrita para que describa el sistema que de verdad tienen, no el que alguien imaginó.
- Contratos de encargo del tratamiento con los subprocesadores que el diagnóstico encontró sin cubrir.
- El instrumento que soporta la transferencia internacional que hoy no está declarada.
- Contratos de desarrollo y acuerdos con sus clientes cuyas obligaciones de datos su sistema pueda cumplir de verdad.
El alcance del diagnóstico es fijo; los honorarios se acuerdan según el tamaño y la complejidad del sistema. Lo que venga después se cotiza aparte, y solo si hace falta.
§3 Por qué yo
Soy abogado y soy programador. No un abogado que entiende de tecnología por lecturas: alguien que escribe el software del que hablamos.
Escribí y mantengo Quipu, una biblioteca de criptografía post-cuántica de código abierto, y opero el servicio que la acompaña. Cuando revisemos su cifrado, su gestión de claves o sus flujos de datos, no voy a pedirle a su equipo que me lo explique en términos sencillos.
Eso también define lo que no hago: no vendo software ni medidas de seguridad a los clientes que asesoro, ni desarrollo la solución a los problemas que yo mismo señalo. Recomendar lo que uno factura no es asesoría; es venta. Mi criterio solo vale si no tengo nada que venderle detrás.
§4 Conversemos
Si le sirve media hora para saber si esto aplica a su compañía, escríbame y la agendamos. Si no aplica, se lo digo.
WhatsApp · 300 406 8414
isazajuancarlos@gmail.com
Medellín, Colombia