01
Pruebas autorizadas
Las pruebas solo comienzan tras documentar el alcance, los sistemas incluidos, las fechas, los límites de ejecución, los permisos de escritura y las reglas de intervención.
// seguridad y confianza
Evidencia que puede revisar. Controles que puede verificar.
Kotav Labs realiza evaluaciones de seguridad autorizadas mediante un modelo de trabajo controlado. Aquí explicamos qué protegemos, cómo gobernamos la entrega y cuáles son nuestros límites.
KOTAV / TRUST CENTER
Pruebas autorizadas
Evidencia alojada en la UE
Entrega revisada
Separación entre clientes
// salvaguardas operativas
Seguridad integrada en el modelo de entrega.
Estas salvaguardas cubren todo el recorrido del cliente, desde la autorización escrita hasta la evidencia revisada y la entrega trazable.
02
Evidencia alojada en la UE
La infraestructura de evaluación y la evidencia se alojan en Alemania. Los subprocesadores y ubicaciones adicionales se comunican por proyecto.
03
Entrega revisada
Los hallazgos materiales reciben revisión especializada, evidencia verificada e informe apto para auditoría, con PDF y SARIF cuando corresponda.
04
Separación entre clientes
El acceso se limita a los datos de cada cliente. Los roles definidos y la autorización en el servidor protegen sus registros y acciones.
05
Seguridad de cuenta
Sesiones HttpOnly, tokens rotativos, MFA TOTP, códigos de recuperación de un solo uso y secretos cifrados protegen las cuentas.
06
Trazabilidad
Las ejecuciones, los cambios en los hallazgos, las nuevas validaciones, los cambios de rol y las acciones administrativas sensibles quedan registrados con su responsable.
// alcance del servicio
Límites operativos claros
Argus Sentinel relaciona información pública con evaluaciones anteriores. La supervisión permanente y la respuesta a incidentes quedan fuera del servicio; cualquier certificación depende de una evaluación independiente. La conservación de datos, los subencargados, los permisos de prueba y los documentos de entrega se acuerdan en cada proyecto.
// diligencia debida
Documentación para la revisión de seguridad
Durante la evaluación inicial podemos facilitar el acuerdo de tratamiento de datos, respuestas a preguntas de seguridad, la lista de subencargados, ejemplos de documentos y aclaraciones técnicas, bajo las condiciones de confidencialidad adecuadas.
// registro de prácticas
Estado y alcance de las prácticas de seguridad.
Cada elemento indica su alcance y estado actuales. Distinguimos controles operativos, compromisos voluntarios, autoevaluaciones y certificación independiente.
Evidencia local revisada el 9 de octubre de 2026; decisiones externas aparte
01
Controles operativos; certificación pendienteISO/IEC 27001:2022
El acceso y MFA, los registros de auditoría, la supervisión, las copias de seguridad y la protección de ramas cuentan con evidencia fechada. El SGSI relaciona 16 riesgos y 93 controles del Anexo A. Faltan aprobaciones específicas ISO, auditoría interna realizada, revisión de la dirección y certificación independiente.
Guía ISO02
Implementación interna completadaISO/IEC 42001:2023
El AIMS, el inventario de IA, el tratamiento de impactos y riesgos, el mapeo de controles, las evidencias operativas, la auditoría interna y la revisión por la dirección están completados en el alcance definido. Sigue pendiente la certificación independiente acreditada.
Consultar el registro de implementación03
Implementación interna del SGCN completadaISO 22301
El análisis de impacto, las estrategias de continuidad, los ejercicios de recuperación, las dependencias de proveedores, la revisión por la dirección y las acciones correctivas están implementados en el alcance definido. Sigue pendiente la certificación independiente acreditada.
Consultar el registro de implementación04
Base de controles implementadaSOC 2 Type II
El diseño de controles, sus responsables y el proceso de evidencias están implementados en el alcance definido. Siguen pendientes el examen por un auditor independiente y el informe Type II.
Consultar el registro de implementación05
Expediente preparado; cierre pendienteNIS2
El expediente interno cubre 12 áreas de revisión y 42 fuentes de evidencia. Quedan diez acciones de cierre, incluida la evidencia operativa actual, las aprobaciones de la dirección, la aplicabilidad legal y una evaluación independiente.
Información de la UE sobre NIS206
Controles de proveedor TIC implementadosDORA
El paquete de evidencias para clientes cubre seguridad, incidentes, pruebas de resiliencia, continuidad, subcontratistas, cooperación de auditoría y apoyo de salida. DORA no emite un certificado de proveedor; la validación jurídica de cada cliente es independiente.
Consultar el registro de implementación07
Controles de producto implementadosEU Cyber Resilience Act
Están implementados los controles de desarrollo seguro, gestión de vulnerabilidades, dependencias, evidencias de versión y soporte. La clasificación del producto y la vía legal de conformidad aplicable requieren determinación formal.
Consultar el registro de implementación08
Autoevaluación publicadaCSA STAR Level 1
CSA publicó la autoevaluación CAIQ v4.1 Level 1 de Kotav Labs en el STAR Registry el 14 de septiembre de 2026. Es una autoevaluación del proveedor, no una auditoría independiente.
Ver registro CSA09
Autoevaluación publicadaCSA STAR for AI Level 1
CSA publicó la autoevaluación AI-CAIQ v1.1.0 de Argus en el STAR Registry el 14 de septiembre de 2026. Es una autoevaluación del proveedor, no una certificación ni una auditoría independiente.
Ver registro CSA10
Compromiso presentadoCREST AI Charter
Kotav Labs presentó su adhesión a los nueve principios de IA de CREST el 5 de septiembre de 2026. La publicación y el distintivo siguen pendientes.
Principios CREST11
Expediente preparadoSolicitud CNA de MITRE
La política pública de divulgación y el índice de avisos están publicados; se han designado contactos operativos principal y suplente. Faltan la presentación autenticada y la aceptación del programa CVE.
Índice público de avisos12
Marcos en usoNIST CSF 2.0 y AI RMF
Los perfiles del estado actual y del objetivo, con un alcance definido, estructuran nuestro programa interno de mejora y la revisión de sus evidencias.
NIST CSF13
Metodología adoptadaOWASP ASVS 5.0 y SAMM
Las prácticas de evaluación y desarrollo hacen referencia a requisitos OWASP seleccionados y conservan evidencia de revisión.
OWASP ASVS14
Método de evaluación implementadoNIST SP 800-115 / PTES
La autorización, el alcance, el descubrimiento, la validación controlada, la gestión de evidencias, los informes, la remediación y la reevaluación siguen un método documentado y repetible. NIST y PTES no emiten un certificado por esta adopción.
Consultar el registro de implementación15
Distintivo oficial emitidoCSA AI Trustworthy Pledge
CSA concedió a Kotav Labs el distintivo oficial Trustworthy AI Pledge 2026. Sigue pendiente la confirmación de la inclusión en el directorio público.
Compromiso CSA16
Enviado para revisiónEU Cybersecurity Skills Pledge
Kotav Labs envió el compromiso y la iniciativa de formación para revisión de la plataforma el 21 de septiembre de 2026. El compromiso ofrece formación gratuita a al menos 25 profesionales de desarrollo y seguridad de la UE antes del 30 de septiembre de 2027; la aceptación y publicación siguen pendientes.
Directorio de compromisos de la UE17
Compromiso activoSME Climate Hub
El registro y la activación por correo se completaron el 19 de septiembre de 2026. La línea base de emisiones es la siguiente tarea operativa; aún no se ha registrado evidencia de un perfil público.
Compromiso climático// qué sustenta una afirmación
Qué respalda cada estado.
Una política por sí sola no prueba la operación. Las afirmaciones públicas exigen alcance definido, propietario, evidencia fechada y revisión registrada.
01
Autorización, alcance y reglas de intervención02
Registros de ejecución e intervención03
Procedencia de la evidencia y decisiones del especialista04
Revisiones de proveedores, IA y flujos de datos05
Registros de recuperación, acceso y cambios06
Informes, recomendaciones y resultados de la nueva validación
