Sabe a qué proveedores estás expuesto, y quién cae con ellos.

Cada proveedor con su puntuación de 0 a 100, sus dependencias en un grafo y las concentraciones que ningún proveedor muestra por separado. Cuestionarios, CVE (vulnerabilidades publicadas) y decisiones quedan en el mismo registro.

Para: Responsables de proveedores y TPRM, y el CISO que responde por la cadena de suministro ante dirección y regulador.

Solicitar demo Leer los conceptos en la documentación

Las dependencias las declaras tú; la propagación llega a 3 saltos
Escaneos periódicos con fuentes externas, no en tiempo real

Mapa de dependenciasCartera

Datos de ejemplo

Concentración (HHI): 3.420 / 10.000
Radio de impacto: 3 proveedores a 3 saltos

Proveedor C

Puntuación compuesta71 / 100Alta

Escaneo externo2 hallazgos abiertos
CuestionarioValidado por un analista
CVE conocidos1 en KEV

Datos de ejemplo: los proveedores, las puntuaciones y las cifras son ficticios.

Dónde encaja en el ciclo

Esta solución recorre las cuatro fases, con el proveedor como unidad de trabajo.

SENSE · recoger evidencia
Escaneo externo del proveedor, cuestionarios por portal y sincronización diaria de CVE.
PREDICT · cuantificar y simular
Puntuación de 0 a 100, exposición FAIR/ALE en euros con su banda de incertidumbre simulada (sin calibrar), simulador de escenarios y concentración HHI.
ACT · proponer y aprobar
HodeiAI propone una entrada en el registro de riesgos y una persona con rol de escritura la aprueba. Las alertas se enrutan a tus sistemas.
ATTEST · demostrar a terceros
El Trust Center resume tu madurez por marco; nunca expone puntuaciones, importes ni detalle de proveedores.

De alta a decisión: la vida de un proveedor

El mismo recorrido para el proveedor número 5 y para el 500. Cada paso deja su rastro en el registro.

Das de alta el proveedor y su criticidad
Cada proveedor vive en un registro aislado por organización. Su criticidad (crítica, alta, media, baja) multiplica su puntuación y decide cada cuánto se reescanea.
Declaras de quién depende
Las dependencias (crítica, operativa, de soporte, subencargado, revendedor) las declaras tú. HodeiShield propaga el riesgo por peso, detecta los puntos únicos de fallo y calcula la concentración (HHI) y el radio de impacto.
Alcance. El descubrimiento de n-ésimas partes a partir de SBOM existe, pero no está planificado: no es un mapa automático.
Se puntúa con señales distintas
La puntuación compuesta combina el escaneo externo, el cuestionario y los CVE conocidos, y se ajusta por nivel de acceso, propagación y concentración. Cada hallazgo enlaza a su evidencia.
Alcance. Los datos del escaneo vienen de Shodan y Have I Been Pwned orquestados con n8n: periódicos, no en tiempo real.
El proveedor responde por un portal
Recibe un enlace de un solo uso, responde sin crear cuenta y sube su evidencia. Hay recordatorios automáticos, y un analista valida o discute cada respuesta.
Alcance. Hasta que un analista la valida, la respuesta es una autoevaluación del proveedor.
Un CVE nuevo aparece en el proveedor
La sincronización de CVE es diaria (NVD, CISA KEV y EPSS, la probabilidad de explotación). Los CVE explotados activamente pesan más en la puntuación y generan alerta si tienes una regla de enrutado.
Alcance. El aviso al proveedor por correo es de disparo manual.
Decides y queda registrado
Alta, renovación, revisión tras incidente, revisión periódica o baja: cada decisión pasa por estados definidos, con quién la tomó y qué evidencia la respaldaba.
Alcance. Es un registro auditable; no sustituye tu proceso de compras ni es una firma legal.

Qué hace, con su prueba y su alcance

Cada afirmación lleva al margen dónde comprobarla y hasta dónde llega. Las fases son las del ciclo; aquí, vistas desde el proveedor.

Fuente de la prueba

Documentación pública
Código abierto
En la demo

Alcance: lo que la afirmación no cubre

SENSE · recoger evidencia

Señales sobre el proveedor de tres orígenes: lo que se ve desde fuera, lo que él mismo responde y las vulnerabilidades que le afectan.

Escaneo externo de cada proveedor sobre puertos expuestos, CVE y brechas conocidas, con datos de Shodan y Have I Been Pwned.1
Docs · Motor de riesgo (se abre en una pestaña nueva)
Alcance. Re-escaneo periódico según la criticidad del proveedor. No es un escáner propio ni monitorización continua.
Portal de cuestionarios por enlace de un solo uso: el proveedor responde sin cuenta, sube evidencia y un analista valida cada respuesta.2
Docs · Guía del proveedor (se abre en una pestaña nueva)
Alcance. Un cuestionario no validado es una autoevaluación del proveedor.
Sincronización diaria de CVE (NVD, CISA KEV y EPSS, la probabilidad de explotación) contra los activos declarados de cada proveedor.3
En la demo · ficha del proveedor
Alcance. Marca los CVE explotados activamente; no avisa por correo al proveedor sin que lo dispares.

Se aplica enCadena de suministro y SBOM Seguridad de endpoint

PREDICT · cuantificar y simular

Convierte las señales en riesgo comparable entre proveedores, en puntos y en euros, sobre tu grafo de dependencias.

Puntuación compuesta de 0 a 100 por proveedor, con su banda de severidad y los hallazgos que la explican, cada uno enlazado a su evidencia.4
Docs · Conceptos básicos (se abre en una pestaña nueva)
Exposición FAIR/ALE en euros por proveedor y para la cartera: estimación puntual paramétrica con una banda de incertidumbre simulada (sin calibrar).5
Docs · Motor de riesgo (se abre en una pestaña nueva)
Alcance. Usa parámetros sectoriales del modelo, no tus datos de pérdidas. La cartera suma esperanzas; no hay percentiles de cartera.
Simulador determinista con 7 tipos de escenario: propaga el impacto por el grafo y devuelve proveedores afectados, deltas de puntuación y rutas.6
Docs · Simulador (se abre en una pestaña nueva)
Alcance. Devuelve variaciones de puntuación, no euros. No usa IA: el escenario en lenguaje natural es un comparador de palabras clave.
Concentración HHI y radio de impacto a 3 saltos sobre las dependencias que declaras, con detección de puntos únicos de fallo.7
En la demo · vista de concentración
Alcance. Solo ve las dependencias declaradas; no descubre sola tu cadena completa.

Se aplica enCumplimiento multimarco DORA: concentración y proveedores TIC

ACT · proponer y aprobar

Convierte la decisión en un hecho registrado, con una persona responsable de cada paso.

HodeiAI propone una entrada en el registro de riesgos; solo la crea una persona con rol de escritura, con una aprobación de un solo uso, de 15 minutos y ligada al hash de la propuesta.8
En la demo · propuesta y aprobación
Alcance. Es la única acción ejecutable hoy. No aísla equipos, no contacta con proveedores ni abre tickets.
Las alertas se enrutan a ServiceNow, Jira, Slack, Teams, correo, webhook firmado, SIEM, PagerDuty y Opsgenie según tus reglas.9
Docs · Conectores (se abre en una pestaña nueva)
Alcance. Notifica o crea el ticket en tu sistema; no remedia.
Registro de decisiones sobre proveedores con tipos (alta, renovación, revisión, baja), estados definidos y la evidencia que las respaldó.10
Docs · Registro de decisiones (se abre en una pestaña nueva)
Alcance. No sustituye tu proceso de compras ni es firma legal.

Se aplica enHodeiAI

ATTEST · demostrar a terceros

Lo que puedes enseñar fuera sin enseñar tu cartera de proveedores.

El Trust Center emite bajo demanda una atestación firmada con ML-DSA-65 de tu madurez por marco, que cualquiera verifica sin conexión.11
Código abierto · Verificador ATTEST (se abre en una pestaña nueva)
Alcance. Solo bandas por marco: nunca puntuaciones, importes en euros ni detalle de proveedores. Prueba integridad, origen y momento, no veracidad, y no sustituye a una auditoría.

Se aplica enTrust Center y ATTEST

SENSE alimenta PREDICT; PREDICT prioriza lo que ACT propone; ATTEST lo demuestra a terceros.

Lo que no hace

Para que decidas con el alcance exacto delante.

No es un escáner propio ni monitoriza en tiempo real: los datos de proveedor llegan de fuentes externas con re-escaneo periódico.
No dibuja sola tu cadena completa: las dependencias son las que declaras, y el descubrimiento por SBOM no está planificado.
La banda de incertidumbre FAIR es simulada y sin calibrar; no es una probabilidad de brecha.
No sustituye al cuestionario: lo ejecuta y lo conecta con la puntuación y con el registro de decisiones.
No contacta con tus proveedores por su cuenta ni ejecuta remediaciones.

Cómo se conecta con las otras soluciones

El proveedor es el punto de cruce: de aquí salen y aquí llegan las demás soluciones.

Preguntas de quien lleva los proveedores

Las objeciones habituales, con la respuesta tal cual.

¿Sustituye a mi cuestionario de proveedores?

No. Lo ejecuta (envío por enlace, recordatorios, evidencia y validación por un analista) y lo conecta con la puntuación del proveedor y con el registro de decisiones. Puedes seguir usando tus propias preguntas.

¿Escanea a mis proveedores en tiempo real?

No. El escaneo externo usa fuentes como Shodan y Have I Been Pwned orquestadas con n8n, con re-escaneo periódico según la criticidad del proveedor. La sincronización de CVE es diaria. HodeiShield no tiene un escáner propio.

¿Descubre sola los proveedores de mis proveedores?

No de forma automática. La concentración y el radio de impacto se calculan sobre las dependencias que declaras. El descubrimiento de n-ésimas partes a partir de SBOM existe, pero todavía no está planificado, así que no lo presentamos como un mapa completo.

¿Cómo se calcula la exposición en euros?

Con FAIR/ALE: una estimación puntual paramétrica en euros de la pérdida anual esperada, más una banda de incertidumbre simulada (sin calibrar) y reproducible. Usa parámetros sectoriales del modelo, no tus datos de pérdidas. La banda sirve para comparar proveedores y priorizar, no para predecir una brecha.

¿Qué puede hacer HodeiAI con un proveedor?

Proponer una entrada en el registro de riesgos. Una persona con rol de escritura la aprueba (aprobación de un solo uso, de 15 minutos y ligada al hash de la propuesta) y solo entonces se crea. Hoy no hace ninguna otra acción.

¿Esto me ayuda con DORA y NIS2?

Sí, en la parte de terceros: registro de proveedores, concentración, evidencia y decisiones. Estar listo para una auditoría depende de tu evidencia, no de la herramienta. Mira el caso de uso de cada norma para el detalle.

Mira tus proveedores en el mapa

En la demo recorremos el grafo, la puntuación y el registro de decisiones sobre un proveedor de tu cartera.

Los conceptos, el motor de riesgo y el simulador están en la documentación pública.

Solicitar demo Leer la documentación