Funciones y facultades
- quién puede divulgar información
- quién autoriza las excepciones
- dónde se describen las facultades de forma ambigua
- qué funciones soportan una mayor responsabilidad de confianza
Actualizado
01 / EVALUACIÓN AUTORIZADA DE INGENIERÍA SOCIALLa seguridad de la empresa se pone a prueba cuando una solicitud convincente llega a un proceso real
Blackfile realiza pruebas controladas y autorizadas por escrito sobre cómo responden el personal, los contratistas y los procedimientos internos a intentos de obtener información, alterar una actuación o eludir el procedimiento establecido.
Evaluamos la combinación de contexto, facultades, canal de comunicación, calidad del procedimiento y disponibilidad de una vía segura de escalada.
La prueba no comienza hasta acordar la autorización escrita, los participantes, las actuaciones prohibidas y las condiciones de interrupción inmediata.
- CONTEXTO DE LA FUNCIÓN
- TIPO DE SOLICITUD
- INDICIO DE CONFIANZA
- CONTROL DEL PROCESO
- VÍA DE ESCALAMIENTO
- INTERRUPCIÓN SEGURA
02 / PERSONAS Y PROCESOS
La mayoría de las solicitudes peligrosas parecen plausibles
Un mensaje puede apelar a la urgencia, la autoridad de un directivo, un proceso habitual, el contexto empresarial o el deseo de ayudar al cliente. Incluso un profesional experimentado puede decidir mal si el procedimiento es ambiguo, resulta difícil confirmar la solicitud y no existe una vía segura de escalada.
Por eso el resultado no debe reducirse al porcentaje de personas que cometieron un error. Es necesario establecer por qué fue posible la situación y qué cambio de proceso reducirá el riesgo de repetición.
La finalidad es reforzar el sistema de toma de decisiones, sin buscar atrapar ni castigar públicamente a un empleado.
- Contexto→
Hasta qué punto encaja la solicitud en el contexto laboral habitual.
- Facultades→
Si el empleado está facultado para actuar sin aprobación adicional.
- Investigación→
Si existe una forma independiente de confirmar la solicitud.
- Escalada
Si se conoce una vía segura para detenerse y consultar.
03 / ESCENARIOS
Cuando el acceso a la información también depende de una decisión humana
- 01
La empresa prepara una operación
Aumentan las solicitudes externas y el personal trata con nuevos asesores, contrapartes y plataformas.
- 02
Los asistentes gestionan encargos sensibles
Agendas, rutas, documentos, pagos y contactos personales pasan por un pequeño grupo de empleados de confianza.
- 03
Las operaciones financieras se confirman mediante comunicaciones
Un cambio de datos bancarios, un pago urgente o una instrucción excepcional pueden iniciarse mediante un mensaje convincente.
- 04
Los contratistas acceden a procesos internos
Equipos externos participan en TI, finanzas, contratación, comunicación o administración y pasan a formar parte del ámbito de confianza.
- 05
Se han recibido correos o llamadas sospechosos
Es necesario comprobar la solidez de la respuesta del personal y el funcionamiento de la vía para comunicar incidentes.
- 06
La empresa crece o cambia su estructura
Los nuevos empleados, funciones y países generan lagunas temporales entre la política formal y la práctica real.
FACTOR HUMANO / PROCESOS
Las solicitudes peligrosas parecen verosímiles. Los procedimientos y los mecanismos de escalamiento son más determinantes que la vigilancia individual.
04 / ÁMBITOS DE EVALUACIÓN02 03 04 05 06
La respuesta del empleado y todo el sistema que rodea la decisión
Canales de comunicación
- correo corporativo
- comunicaciones de voz
- mensajería
- servicios internos
- comunicación con contratistas y asesores
Señales de confianza
- nombre o cargo conocido
- urgencia
- referencia a un directivo
- conocimiento del contexto laboral
- tono y formato habituales de la comunicación
Procedimientos de control
- confirmación independiente
- principio de doble intervención
- devolución de llamada a un contacto conocido
- separación de accesos
- registro de solicitudes inusuales
Vía de escalada
- si el empleado sabe a quién acudir
- si puede suspender la actuación sin ser sancionado
- con qué rapidez puede recibir ayuda
- si recibe una respuesta clara
Contexto organizativo
- carga de trabajo y urgencia
- rotación de personal
- trabajo remoto
- varios idiomas y países
- diferencia entre la política y el proceso real
05 / MAPA DE VULNERABILIDADES DEL FACTOR HUMANOFUNCIÓN / 01
El riesgo surge en la intersección entre función, solicitud, confianza y proceso
Una misma solicitud puede rechazarse de forma segura en un departamento y provocar un error en otro. El mapa muestra las condiciones recurrentes en las que el control deja de funcionar.
InformaciónAccesoPagoDocumentoCambio de procesoEncargo urgente
El control funcionóSe requiere aclaraciónProcedimiento ambiguoLaguna sustancial
Finanzas
Los pagos y los encargos urgentes son el área de mayor riesgo: los cambios de datos bancarios se aceptan sin confirmación independiente por un canal conocido.
- InformaciónEl control funcionó
- AccesoSe requiere aclaración
- PagoLaguna sustancial
- DocumentoEl control funcionó
- Cambio de procesoProcedimiento ambiguo
- Encargo urgenteLaguna sustancial
El rojo señala únicamente una laguna sustancial del proceso. La interfaz no muestra nombres de empleados. En móvil, la matriz se convierte en un índice vertical de funciones con escenarios desplegables.
06 / ESCENARIO CONTROLADO
Cada prueba comienza por la autorización, los límites y las condiciones de interrupción inmediata
- 01
Autorización escrita
Se documentan el cliente autorizado, la base jurídica, los departamentos, los países y el período de realización.
→ - 02
Reglas de interacción
Se definen los canales permitidos, las actuaciones admisibles, las categorías excluidas y las personas que no deben participar.
→ - 03
Criterios de interrupción
Se establecen los hechos que obligan a interrumpir de inmediato un escenario o toda la prueba.
→ - 04
Diseño de escenarios
Los escenarios simulan el riesgo sin exigir contraseñas reales, datos bancarios ni información sensible.
→ - 05
Ejecución controlada
Se registra el desarrollo de la prueba y se limita el acceso a los resultados al equipo autorizado.
→ - 06
Análisis y mejora
Los resultados se traducen en mejoras de procedimientos, formación y vías de escalada, sin humillación pública del personal.
EVALUACIÓN FINAL / MEJORA DEL PROCESO
El objetivo de la evaluación es reforzar el sistema de toma de decisiones, no sancionar al empleado.
07 / RESULTADOD-01 D-02 D-03 D-04 D-05 D-06
Un mapa de riesgos de proceso y cambios concretos que pueden implementarse
Resumen ejecutivo
Descripción breve de las condiciones de riesgo más relevantes, sin clasificaciones injustificadas de empleados individuales.
Mapa de funciones y escenarios
Qué combinaciones de facultades, canales y solicitudes requieren controles adicionales.
Cronología de la prueba
Qué se evaluó, en qué condiciones y cómo evolucionó la respuesta.
Matriz de controles
Qué procedimientos funcionaron, dónde hubo ambigüedad y dónde faltó una vía segura de confirmación.
Prioridades de corrección
Cambios por urgencia: inmediatos, a corto plazo y estructurales.
Plan de nueva evaluación
Criterios para comprobar si el riesgo se ha reducido tras los cambios.
08 / CLIENTES
Para organizaciones donde una solicitud convincente puede afectar al dinero, a los datos o a una decisión
- CL-01empresas y grupos internacionales
- CL-02entidades financieras y de inversión
- CL-03Oficinas de gestión patrimonial familiar
- CL-04equipos jurídicos
- CL-05empresas tecnológicas
- CL-06proyectos previos a una operación o a la entrada en otro país
- CL-07organizaciones con una red de contratistas
- CL-08estructuras privadas con asistentes y personal
09 / ESCENARIOS HABITUALESSE-01Ejemplo compuesto Cadena de confirmaciónSE-02Ejemplo compuesto Árbol de decisiónSE-03Ejemplo compuesto Mapa de escalada
Cómo identifica la prueba la causa del proceso que permite el error
Cambio de datos bancarios
Se verifica si una instrucción financiera excepcional requiere confirmación independiente por un canal conocido de antemano.
Solicitud en nombre de un directivo
Se evalúa si la referencia a la autoridad y la urgencia pueden sustituir el procedimiento de aprobación establecido.
Contratista externo
Se verifica qué información revela el empleado a un tercero que conoce el contexto laboral pero no ha superado la identificación establecida.
10 / MODALIDAD DEL PROYECTO01 02La más solicitada 03Varios países
El coste depende del número de funciones, canales, escenarios y jurisdicciones
Evaluación básica
desde 3 000 €
El plazo depende del alcance de la evaluación
Evaluación inicial de la resistencia en un ámbito limitado de funciones y canales.
Contenido
- 1-2 escenarios controlados
- grupo limitado de funciones
- verificación de uno o dos canales
- mapa inicial de riesgos de proceso
- recomendaciones breves
Investigación ampliada
7 000-14 000 €
El plazo depende del alcance de la evaluación
Evaluación completa del ámbito acordado, con mapa de exposición al riesgo y prioridades de corrección.
Contenido
- varias funciones y departamentos
- 5-7 escenarios acordados
- comparación de canales y procedimientos
- Mapa de vulnerabilidades del factor humano
- prioridades de corrección
- análisis final con el equipo autorizado
Programa internacional
Presupuesto personalizado
Ejecución por fases según el calendario acordado
Programa de pruebas para una estructura internacional con nueva evaluación tras los cambios.
Contenido
- varios países o empresas
- idiomas y procesos distintos
- investigación por etapas
- coordinación con los equipos jurídico y de seguridad de la información
- nueva evaluación tras los cambios
El alcance exacto, los escenarios permitidos, el presupuesto y los criterios de finalización se acuerdan por escrito antes de la prueba.
11 / AUTORIZACIÓN
No se realizan pruebas sin autorización escrita y límites de seguridad
Blackfile no realiza pruebas no autorizadas a terceros, no ayuda a obtener datos ni acceso ajenos y no publica resultados individuales de empleados. Los escenarios concretos se someten a revisión jurídica conforme al país y la organización.
- facultad del cliente documentada por escrito
- alcance y plazo precisos
- países y departamentos acordados
- prohibición de involucrar a menores
- prohibición de obtener contraseñas reales, códigos, datos bancarios y documentos personales
- ausencia de archivos adjuntos maliciosos e interferencias en el funcionamiento de los sistemas
- prohibición de presión, amenazas, humillación y discriminación
- condiciones de interrupción definidas de antemano
- acceso limitado a los resultados
- formación y mejora de procesos sin castigos públicos
12 / SERVICIOS RELACIONADOS
Qué refuerza la evaluación del factor humano
SRV-01
Análisis de vulnerabilidades
Evaluación sistemática de factores de presión y debilidades organizativas.
Ver servicio →SRV-02Respuesta a filtraciones
Trabajo sobre una divulgación de información ya producida.
Ver servicio →SRV-03Investigación del entorno
Verificación de vínculos y del entorno que puedan acreditarse dentro de un encargo legal.
Ver servicio →SRV-04Investigación de antecedentes
Verificación de trayectoria, historial empresarial y factores de riesgo para una función acordada.
Ver servicio →13 / PREGUNTAS
Qué conviene saber antes de iniciar la investigación
Depende del marco jurídico, las políticas internas y el escenario acordado. En todo caso, la prueba debe estar autorizada por escrito por quien tenga facultades, contar con límites claros y concluir con un análisis respetuoso de los resultados.
No. Los escenarios se diseñan para evaluar la decisión y el procedimiento sin obtener credenciales reales, datos bancarios ni información sensible.
La finalidad del servicio es evaluar la resistencia del sistema y mejorar los procesos. Las decisiones laborales corresponden al cliente y deben cumplir el derecho laboral aplicable. El resultado de un escenario no debe interpretarse fuera de su contexto.
No. El alcance acordado puede incluir distintos procesos de comunicación, funciones, confirmación de instrucciones y vías de escalada. Los escenarios concretos dependen de los riesgos del cliente.
Solo si existen las facultades correspondientes, una base contractual y un acuerdo escrito sobre el alcance de la prueba.
El cliente recibe un mapa de riesgos de proceso, cambios prioritarios y criterios para una nueva evaluación. El resultado debe traducirse en mejoras del sistema.
14 / EVALUACIÓN INICIAL
Describa los procesos que necesita evaluar
En la primera fase no indique nombres de empleados, correos electrónicos, teléfonos, contraseñas ni otros datos personales.
Evalúe el sistema de toma de decisiones antes de que lo ponga a prueba una solicitud real
Describa los procesos que le preocupan. Blackfile acordará las facultades, los límites y las condiciones de interrupción antes de realizar cualquier prueba.