La plataforma integrada del CISO de una empresa regulada: tus equipos, tu exposición, tus incidentes, tu cumplimiento en 17 marcos y tus terceros, en un solo bucle. Cada afirmación lleva su prueba y su límite.
ExpedienteEmpresa de ejemplo
Datos de ejemploEquipos con evidencia firmada y CVE sobre tus activos
Alcance · Periódico, no en tiempo real
Exposición FAIR/ALE y hoja de ruta del CISO virtual
Banda de incertidumbre simulada (sin calibrar)
Hoja de ruta: 12 acciones, 3 de prioridad alta
Alcance · Banda simulada, sin calibrar
Incidente clasificado frente a tres marcos a la vez
Alerta temprana NIS2: quedan 18 h
Alcance · Borradores descargables; los presentas tú
Atestación del Trust Center y paquete del Consejo
Alcance · Prueba integridad y origen, no veracidad
Vuelve a SENSE con la siguiente evidencia
La seguridad, el cumplimiento y los terceros suelen vivir en hojas de cálculo y herramientas separadas que se desactualizan entre auditorías. NIS2, DORA y el ENS piden evidencia vigente de toda la organización y de su cadena de suministro.
El ciclo SENSE → PREDICT → ACT → ATTEST es la arquitectura del producto y el índice de este expediente. Al margen de cada afirmación tienes dónde comprobarla y hasta dónde llega.
Fuente de la prueba
Alcance: lo que la afirmación no cubre
SENSE
recoger evidencia
Un agente para Windows, macOS y Linux ejecuta 172 comprobaciones y envía observaciones firmadas digitalmente; la consola rechaza las que no verifican.1
Alcance. Va firmada la telemetría, no el instalador. 143 comprobaciones son líneas base abiertas de nivel L1 que todavía no alimentan la puntuación de cumplimiento.
Ver pruebas y alcancePREDICT
cuantificar y simular
Exposición FAIR/ALE en euros por proveedor y para la cartera: una estimación puntual paramétrica con su banda de incertidumbre simulada (sin calibrar), reproducible.2
Alcance. Usa parámetros sectoriales del modelo, no datos de pérdidas de tu organización.
Ver pruebas y alcanceACT
proponer con aprobación humana
HodeiAI propone. Ejecutar exige la aprobación explícita de un usuario con rol de escritura: de un solo uso, válida 15 minutos y ligada al hash de la propuesta exacta.3
Alcance. Hoy la única acción ejecutable es crear una entrada en el registro de riesgos.
Ver pruebas y alcanceATTEST
demostrarlo a terceros
Cada Trust Center publicado emite atestaciones firmadas con ML-DSA-65 (FIPS 204), con la firma separada del documento atestado. Atestan la banda de madurez de cada marco y la más débil: nunca puntuaciones, euros ni detalle de proveedores.4
Alcance. Es una autoevaluación firmada por HodeiShield: prueba integridad, origen y momento, no la veracidad de lo atestado. No sustituye una auditoría.
Ver pruebas y alcanceSENSE alimenta PREDICT; PREDICT prioriza lo que ACT propone; ATTEST lo demuestra a terceros.
El mismo ciclo ordena las soluciones. Aquí aparece cada una en la fase en la que lidera; casi todas participan también en otras.
SENSE
recoger evidencia
Agente con 172 comprobaciones firmadas.
CVE de tus activos, los explotados (KEV) primero.
SBOM de proveedores contra CVE.
Escaneos, cuestionarios y dependencias.
PREDICT
cuantificar y simular
Postura por marco y hoja de ruta ordenada por reglas.
17 marcos, evidencia que caduca y crosswalk.
ACT
proponer con aprobación humana
Propone; una persona aprueba.
Clasificación DORA, NIS2 y RGPD, plazos y borradores.
Registro de sistemas de IA.
ATTEST
demostrarlo a terceros
Atestación firmada, verificable sin conexión.
Panel del Consejo y 18 plantillas de informe.
Ninguna solución es un módulo aislado: cada una entrega su trabajo a la siguiente fase.Ver el mapa completo de las once soluciones
HodeiShield cruza tu evidencia con los controles canónicos de 17 marcos. La cobertura se expresa sobre esos controles, nunca como un visto bueno, y el crosswalk reutiliza la evidencia entre marcos.
El motor de evidencia asigna responsable, validez y estado, y prioriza lo que falta. Estar listo para una auditoría depende de tu evidencia, no de la herramienta.
ENS: 74 controles de HodeiShield basados en el Anexo II del ENS (RD 311/2022), por nivel básico, medio y alto
Dos puertas públicas. Ninguna te pide cuenta ni formulario para entrar.
verify-attestation.sh comprueba la firma ML-DSA-65, la caducidad y que la banda global sea la más débil de las atestadas. Solo necesita bash 4, OpenSSL 3.5 y python3 (o Docker o Podman): nada de HodeiShield.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json./verify-attestation.sh --attestation attestation.json --jwks keys.json --expect-slug SLUG --expect-issuer https://app.hodeishield.comhodeishield es el CLI oficial: solo lectura sobre la API pública /v1, versión 0.3.1 (todavía 0.x), firmado con Sigstore y con procedencia SLSA.
cargo install --locked --git https://github.com/Hodeitek/hodeishield-cli --tag v0.3.1 hodeishield-cliLas preguntas que nos hacen los responsables de seguridad antes de pedir una demo, contestadas con lo que el producto hace hoy.
No. La puntuación compuesta de 0 a 100, que combina escaneo externo, cuestionario y CVE conocidos, es la entrada. El valor está en el bucle completo y trazable: evidencia firmada, exposición en euros, acciones que aprueba una persona y atestaciones que cualquiera verifica.
En la UE: aplicación, base de datos y almacenamiento gestionados por OVH en Gravelines (Francia). Cloudflare, empresa estadounidense, actúa como DNS, CDN y TLS en la ruta de la petición.
Porque no tienes que fiarte de nosotros: se verifica sin conexión con un verificador de código abierto (Apache-2.0) y la clave pública. La firma es ML-DSA-65 (FIPS 204). Prueba integridad, origen y momento; no la veracidad de lo atestado, y no sustituye una auditoría.
No. La gestión de riesgo de terceros es una de las once soluciones. El mismo bucle mide la postura de tus propios equipos con un agente, cruza los CVE de tus activos, registra y clasifica incidentes frente a DORA, NIS2 y RGPD, mide 17 marcos y prepara el cuadro del Consejo y los informes.
No. El agente informa por ciclo, los escaneos de proveedor son periódicos según su criticidad y la sincronización de CVE es diaria. La evidencia que deja de llegar caduca y deja de contar.
No. HodeiAI propone y una persona con rol de escritura aprueba cada ejecución, con una aprobación de un solo uso, válida 15 minutos y ligada al hash de la propuesta. Hoy la única acción ejecutable es crear una entrada en el registro de riesgos. La ejecución autónoma está bloqueada y el kill switch falla cerrado.
Probamos HodeiShield con partners MSSP y organizaciones antes de ampliar el acceso. Plazas limitadas, solicitudes hasta el 31 de diciembre de 2026 y sin SLA.
En la demo recorremos el bucle con tu combinación de marcos, tus equipos y tus terceros, hasta la atestación.
¿Prefieres empezar por tu cuenta? La documentación y el verificador son públicos.