Para empresas que protegen redes. También dejamos claro a quién no se dirige.
El expediente de debida diligencia de un proveedor de seguridad se examina teniendo presente su actividad. Los clientes trasladan sus obligaciones de seguridad de redes a los contratos con proveedores. Los controles de exportación establecen sus límites según lo que hace una herramienta y lo que sabe su fabricante. Los inversores piden registros de actividad que muestren cómo opera la empresa respecto de esos límites. Un despliegue soberano crea ese registro dentro del perímetro del proveedor, durante el trabajo.
La revisión se realiza bajo un acuerdo de confidencialidad mutuo, con los responsables de seguridad y tecnología del proveedor. No se cargan documentos ni se hace una prueba del sistema.
Responda a la debida diligencia sin abrir todo el expediente técnico.
Un cuestionario de cliente pide documentos de respaldo sobre seguridad. No todos los revisores necesitan la misma información.
Reutilice el contexto de trabajo y decida expresamente qué información compartir.
Proceso ilustrativo. La configuración y la disponibilidad de las funciones se confirman para cada encargo.
Respuesta al cuestionario de seguridad del cliente
- Solicitud
- La versión del cuestionario y el revisor identificado por el cliente.
- Respuesta
- Las respuestas aprobadas y los materiales de apoyo permitidos.
- Control
- Los destinatarios acordados y las preguntas pendientes.
Obligaciones trasladadas por contrato y controles que dependen de lo que se conoce.
Cada entrada es una norma publicada con su fuente primaria. Si un producto, transferencia o cliente determinado queda sujeto a alguna de ellas es una cuestión para el proveedor y su asesoría legal, nunca para una plataforma.
Mostrando normas para Unión Europea
El argumento de esta página no cambia con la selección; las referencias sí.
Cada jurisdicción se muestra a continuación, agrupada y etiquetada.
Unión Europea
- Export control
Europe reaches unlisted cyber-surveillance items on end-use grounds. Exporting a cyber-surveillance item on no list still requires authorisation where the competent authority so informs the exporter, and an exporter aware through its own due diligence that such an item is intended for internal repression or serious violations of human rights or international humanitarian law must notify the authority. A due-diligence duty is a documentation duty: findings, dates, decisions.
- Export control
The Commission published guidelines for exporters on exactly this duty. The Commission published guidelines for exporters on exactly that duty, on 11 October 2024.
- Network security
Security providers are themselves in the network rules. Managed service providers and managed security service providers are themselves among the sectors of high criticality of the network-security directive. The obligations of every regulated customer arrive at the vendor as flow-down questionnaires, contract terms and evidence requests, answered from the vendor’s own records, repeatedly.
Estados Unidos
- Export control
The export exception is written for defenders and withdrawn at knowledge. The United States authorises exports of cybersecurity items under a dedicated licence exception whose availability ends where the exporter knows, or has reason to know, that the item will be used to affect the confidentiality, integrity or availability of information or information systems without authorisation from the system’s owner, operator or administrator. The regime draws the defensive line at what the maker knows; what a vendor knew and documented becomes the operative fact.
Las anotaciones del libro mayor se publican únicamente en inglés y citan cada instrumento por su nombre oficial correspondiente.
El registro de actuaciones del proveedor, conservado según sus propias reglas.
Una empresa de seguridad exige que los datos permanezcan dentro de su perímetro; su infraestructura de cumplimiento debería respetar ese criterio. En un despliegue soberano, la captación de capital, la debida diligencia sobre clientes y el expediente de controles de exportación se gestionan en infraestructura que controla el proveedor. La documentación del producto y el material de investigación tienen permisos más restringidos que la presentación comercial, con límites jurisdiccionales y acceso por persona y documento según las reglas del proveedor. Cada permiso, acceso y resolución genera una entrada fechada y firmada en el momento. El registro creado entonces permite responder qué sabía, comprobó y decidió el proveedor sobre un cliente o una transferencia, y cuándo. Esos hechos son pertinentes para los regímenes que dependen del conocimiento del posible uso indebido.
La afirmación sobre el perímetro depende de la configuración: si la verificación de identidad, la comprobación de listas y el correo operan dentro del entorno del proveedor, ningún documento, clave o evento sale del perímetro durante el funcionamiento normal. En los modos conectados de sellado de tiempo, la única salida es una huella SHA-256 enviada para obtener una marca de tiempo independiente. El equipo de seguridad del proveedor aprueba cada actualización antes de aplicarla.
La línea se traza aquí, en esta página.
Esta página se dirige a empresas dedicadas a defender sistemas de información: detección y respuesta, seguridad gestionada, investigación de vulnerabilidades conforme a normas de divulgación y proveedores que desarrollan herramientas para ellas. Exedra Gate no ofrece despliegues soberanos a empresas que comercian con vulnerabilidades de día cero, prestan servicios cibernéticos ofensivos o de vigilancia por encargo, o venden inteligencia basada en operar sin supervisión suficiente. El principio del producto es crear evidencias verificables. Se rechaza la demanda de opacidad.
Se indica antes de que nadie lo pregunte.
- SIN LICENCIAS DE EXPORTACIÓN
La plataforma nunca decide sobre controles de exportación. La plataforma no clasifica productos ni determina requisitos de licencia o notificación. Sus registros de acceso son evidencia de actuaciones, no autorizaciones. Corresponde al exportador, con su asesoría jurídica y la autoridad competente, determinar si una excepción se aplica a una transferencia.
- NO ES UN ESCUDO
Sin garantías sobre la seguridad de ningún producto. La plataforma conserva el registro de cumplimiento y debida diligencia del proveedor. No fortalece la seguridad de ningún producto, no certifica prácticas ni convierte en segura a ninguna empresa o cliente. Las afirmaciones sobre el producto del proveedor le corresponden a este y debe poder demostrarlas.
- SIN PROTECCIÓN AUTOMÁTICA
Un registro no constituye por sí solo una defensa. Un historial fechado de debida diligencia muestra qué se sabía y qué se decidió. Su utilidad depende de que la actuación documentada fuera adecuada. No oculta nada ni protege frente a las consecuencias de una mala decisión que el propio historial registra.
El cuestionario vuelve cada año. No debería ser necesario reconstruir las respuestas.
Una revisión de arquitectura con los responsables de seguridad y tecnología del proveedor, bajo un acuerdo de confidencialidad mutuo, cubre las opciones de despliegue, las configuraciones y el alcance de cada afirmación, además de los expedientes de captación y debida diligencia que incluiría el proyecto. Basta una breve nota sobre la actividad y sus jurisdicciones para empezar.
Exedra Gate es una plataforma tecnológica. No es intermediario, agente de valores, custodio, proveedor de depósito en garantía ni asesor de inversiones. Nunca custodia, dirige ni liquida fondos de inversores; no recomienda ofertas a inversores ni cobra honorarios basados en el éxito de una captación. No clasifica productos según listas de control de exportaciones, no determina si procede una licencia, excepción o notificación y no garantiza la seguridad de ningún producto. Los despliegues soberanos se ofrecen a empresas de seguridad defensiva según lo descrito arriba, no a comerciantes de exploits ni a proveedores de servicios ofensivos o de vigilancia. Cada despliegue es un proyecto de implementación con alcance definido para el cliente. Los registros y las marcas de tiempo acreditan la integridad y existencia de los documentos en una fecha, pero no la legalidad de una exportación o transacción. Esa evaluación corresponde al proveedor y a su asesoría jurídica.
Las referencias regulatorias en esta página son orientativas, no constituyen asesoramiento legal: véase Fuentes y verificación.