Preparación corporativa basada en evidencia
Vea lo que puede demostrar antes de que el comprador lo pregunte.
Trusvo comprueba cada pregunta de la revisión de seguridad de un comprador frente a su propia evidencia (políticas, configuración, exportaciones, informes de pruebas) y muestra qué respuestas están verificadas, desactualizadas, sin respaldo o contradichas, cuáles bloquearán la venta y qué las corregiría.
Pruébelo con un stack de ejemplo en aproximadamente un minuto.
Sin tarjeta de crédito · autoalojable · su código nunca tiene que salir de su propia infraestructura
- áreas de control relacionadas
- 26
- áreas de control relacionadas
- marcos con correspondencia
- 10
- marcos con correspondencia
- respuestas marcadas como respaldadas sin una cita verificada
- 0
- respuestas marcadas como respaldadas sin una cita verificada
- VSA-1
¿Están cifrados en reposo los datos de los clientes?
Respaldado security-policy.md:8 - VSA-2
¿Se hacen copias de seguridad de las bases de datos y durante cuánto tiempo se conservan?
Respaldado main.tf:4 - VSA-3
¿Tienen un responsable de incidentes designado y una matriz de gravedad?
Parcialmente respaldado security-policy.md:4 - VSA-4
¿Analizan las dependencias en busca de vulnerabilidades conocidas?
Respaldado ci.yml:9 - VSA-5
¿Disponen de un informe SOC 2 Tipo II vigente?
Sin respaldosin evidencia: brecha señalada
01
Las afirmaciones se cotejan con registros
«Se prueba anualmente» en una política se compara con el último informe de prueba disponible. Si ese informe tiene dos años, la respuesta es Contradicha, no Sí.
02
La evidencia tiene fecha
Los informes de pruebas, las exportaciones y las políticas se fechan según lo que dicen, y dejan de contar como vigentes en el plazo que esperan los compradores.
03
Primero, lo que bloquea
Los asuntos se ordenan según lo que este comprador tratará como condición para firmar, cada uno con la prueba que falta, la corrección y el esfuerzo.
04
Al comprador solo llegan respuestas aprobadas
El archivo que devuelve al comprador y las respuestas compartidas solo contienen lo que aprobó una persona de su equipo; las exportaciones internas marcan el resto como pendiente.
Demostración interactiva
Tres preguntas. Tres respuestas honestas.
Construida con la evidencia de ejemplo que incluye el producto y las reglas que aplica. Elija una pregunta y después rompa una cita para ver cómo la respuesta pierde su afirmación.
VSA-4 · Protección de datos · Cifrado en reposo
¿Están cifrados en reposo los datos de los clientes?
Sí. Los datos de los clientes se cifran en reposo con AES-256 y la base de datos de producción se aprovisiona con cifrado de almacenamiento activado.
- docs/security-policy.md:8All data is encrypted in transit (TLS 1.2+) and at rest (AES-256).
- infra/main.tf:3storage_encrypted = true
Comprobaciones aplicadas en el código
- Los 2 pasajes citados se encontraron literalmente en sus archivos
- Se permite el estado Respaldado: tiene citas verificadas
Las fuentes son los archivos de ejemplo que cualquier espacio de trabajo nuevo puede cargar con un clic: una política de seguridad, Terraform, CI, Docker y manifiestos de paquetes.
Exportación
Su hoja de cálculo, rellenada en su sitio.
Los compradores envían un archivo y esperan recibir ese mismo archivo. Las respuestas aprobadas se escriben en su propia columna de respuesta: las mismas filas de título, las mismas columnas, el mismo orden.
- Los cuestionarios en Excel y CSV se rellenan en el archivo original.
- Solo se escriben las respuestas aprobadas; lo pendiente queda en blanco.
- También exporta a Word, Excel, CSV y un informe listo para imprimir.
| Ref. | Pregunta | Respuesta del proveedor |
|---|---|---|
| 1 | ¿Están cifrados en reposo los datos de los clientes? | Sí. AES-256 en reposo; cifrado de almacenamiento de la base de datos activado. |
| 2 | ¿Se cifran los datos en tránsito con TLS? | Sí. Todo el tráfico usa TLS 1.2 o superior. |
| 3 | ¿Exigen MFA para el acceso a producción? | Sí. El acceso administrativo requiere MFA; los accesos se revisan cada trimestre. |
| 4 | ¿Disponen de un informe SOC 2 Tipo II vigente? | no aprobada: no se envía |
Solo se escriben en el archivo del comprador las respuestas que aprobó una persona de su equipo.
Cómo funciona
De la evidencia a respuestas que puede defender.
El análisis es determinista. La IA solo redacta a partir de lo extraído, y una persona aprueba lo que sale.
01
Conecte la evidencia
Importe un repositorio de GitHub, suba archivos o un ZIP. Los secretos se eliminan antes de guardar nada; el modo solo configuración deja fuera la lógica de negocio.
Determinista02
Se construye el Grafo de evidencia
Los analizadores leen Dockerfiles, Terraform, CI y manifiestos. Las políticas en prosa se extraen con IA, y cada elemento debe aparecer literalmente en su fuente.
Analizadores + IA fundamentada03
Comprobar, corregir, revalidar
Importe el archivo del comprador. Cada respuesta se comprueba frente a su evidencia y se ordenan los bloqueos. Corrija, añada la nueva evidencia y revalide.
Usted decide04
Envíe o publique
Devuelva su hoja de cálculo rellenada, exporte un informe o publique una sala de confianza protegida por NDA que se reverifica sola.
Usted decide
Las plataformas de cumplimiento le certifican. Trusvo le muestra lo que puede demostrar hoy.
SOC 2 es un proyecto de tres meses y cinco cifras. El acuerdo que tiene sobre la mesa necesita respuestas ahora, basadas en evidencia, no en un formulario que usted rellenó sobre sí mismo.
Con una herramienta de cumplimiento
- Pensada para un proyecto de auditoría SOC 2 de 3 meses
- Precios para grandes empresas, normalmente tras una llamada comercial
- Usted responde un cuestionario sobre sí mismo
- Una página de confianza que mantiene a mano y que el lunes ya está desactualizada
Con Trusvo
- Empiece hoy con el cuestionario que tiene delante
- Precio pensado para el acuerdo, no para la auditoría: empiece gratis
- Respuestas extraídas de su stack real, con citas
- Un centro de confianza vivo que se reverifica solo
No sustituye a su futuro SOC 2: es la rampa de acceso. Trusvo muestra hasta dónde llega ya su evidencia en SOC 2, ISO 27001, CAIQ y SIG, y le da ventaja a su auditor cuando llegue el momento.
Resumen de seguridad
Northwind Cloud
- Cifrado en reposoDe 3 fuentes
- Control de acceso y MFADe 2 fuentes
- TLS en el endpoint públicoObservado externamente
- Copias de seguridad y recuperaciónDe 2 fuentes
- Plan de continuidad del negocioAún sin evidencia
Evidencia autodeclarada y observada externamente, organizada y citada. No es una auditoría de terceros.
Lo que ve su comprador
Una sala de confianza que muestra su trabajo.
Publique lo que ha evidenciado, con la procedencia de cada elemento y cuándo se verificó por última vez. Trusvo nunca lo convierte en una nota.
- Cada área muestra su procedencia: sus fuentes o una observación externa
- Las brechas se muestran con honestidad en lugar de omitirse
- Acceso con NDA, con aprobación previa o público: usted elige en cada sala
- Los compradores pueden hacer preguntas, solicitar documentos o enviar un cuestionario
Qué encuentra la comprobación de pruebas
No todo sí que puede decir es un sí que puede demostrar.
Trusvo compara lo que afirman sus documentos con lo que muestran sus registros, su configuración y sus exportaciones. Estos son resultados reales del espacio de demostración: una empresa SaaS ficticia de 20 personas que responde a una revisión corporativa de 24 preguntas.
- Contradicha
«El MFA es obligatorio para todos los empleados.»
La exportación del proveedor de identidad muestra 2 de 20 cuentas sin MFA. Responder con un simple sí sería una declaración inexacta.
- Contradicha
«Nuestro RPO es de 1 hora.»
El trabajo de copias de la configuración del clúster se ejecuta una vez al día a las 02:00. Se podría perder todo lo escrito desde la última copia.
- Desactualizada
Informe de prueba de penetración, junio de 2024
Tiene más de los 12 meses que esperan la mayoría de las revisiones corporativas. Demuestra lo que era cierto entonces, no ahora.
- Sin verificar
«Las restauraciones de copias se prueban anualmente.»
Lo dice la política; no hay ningún registro de prueba de restauración. Una afirmación sola no es prueba.
- Verificada
Revisión trimestral de accesos
Un registro fechado el 30 de septiembre de 2026 coincide con la periodicidad trimestral que declara la política.
- Bloqueante
SOC 2 Tipo II (obligatorio para este comprador)
Nada lo demuestra y nada lo afirma. Aparece primero, con la respuesta honesta y lo que hace falta para conseguirlo.
Cada hallazgo cita el archivo y la línea en que se basa. Añada la nueva evidencia (una prueba de recuperación reciente, una exportación completa de MFA, un trabajo de copias cada hora) y revalide: las mismas respuestas pasan a Verificada. Se encuentra en segundos, sin ningún modelo de IA.
Hable el idioma del comprador
Relacione su evidencia con los marcos por los que preguntan sus compradores.
Trusvo relaciona su evidencia real con los criterios que reconocen auditores y equipos de seguridad: una vista de preparación en diez marcos, para que responda a los cuestionarios en su idioma. Alineación, no certificación.
Normas de auditoría y marcos de control
- SOC 2
- ISO 27001:2022
- NIST CSF 2.0
- ISO 42001 (AI)
Cuestionarios del sector
- CAIQ v4
- SIG-Lite-style
Normativas · subconjunto de seguridad del tratamiento
- EU AI Act (provider duties)
- GDPR (Art. 32)
- HIPAA Security Rule
- PCI DSS v4.0
Una vista de preparación y alineación que relaciona su evidencia con criterios reconocidos; nunca una declaración de certificación ni de auditoría. RGPD, HIPAA y PCI cubren solo su subconjunto de seguridad del tratamiento.
La seguridad, primero
¿Le preocupa su código? A nosotros también.
Trusvo existe para demostrar la postura de seguridad, empezando por la suya propia.
Autoalojable
Ejecútelo dentro de su propia infraestructura con un solo docker compose up. Su código nunca sale de su entorno.
Modo solo configuración
Ingiera manifiestos, configuración de infraestructura y documentación, nunca su lógica de negocio.
Secretos ocultados
Claves, credenciales y tokens se eliminan antes de almacenarse. Los nombres de las variables quedan como evidencia; los valores, nunca.
Sin entrenamiento con sus datos
Su contenido nunca se usa para entrenar, y las llamadas de IA piden al proveedor que no conserve los datos. El texto cargado se trata como datos, nunca como instrucciones; las instalaciones autoalojadas usan su propia clave de IA.
Precios
Precios de acceso anticipado
Valórelo por el acuerdo que desbloquea, no por los minutos que tarda.
Sus primeros diez minutos, en cualquier plan: ejecute la revisión de ejemplo de una empresa ficticia, vea los borradores citados, lo que su evidencia contradice y lo que podría frenar al comprador, y después suba la corrección y revalide.
Como referencia: las herramientas que hacen este trabajo suelen costar entre $6000 y $15 000 al año, con la respuesta de cuestionarios por IA como complemento de pago. Trusvo incluye respuestas de IA con citas, el centro de confianza y el endpoint MCP legible por agentes en todos los planes de pago, y es la única que puede autoalojar.
Vea qué respalda realmente su evidencia.
Importe su repositorio y, en unos minutos, vea qué controles de seguridad respalda hoy su stack y exactamente dónde están las brechas.
Sin tarjeta de crédito · empiece gratis · autoalojable