Construimos para bancos. Se nota.
Seis de nuestros clientes son bancos, aseguradoras o instituciones financieras públicas. Por eso hay un responsable de seguridad de la información en cada pod desde el primer día, por eso los lanzamientos a producción siempre los hace una persona, y por eso tenemos un certificado que auditó alguien de afuera de esta empresa.
27001
Lo único en esta página
que no verificamos nosotros mismos.
Todo lo demás en esta página somos nosotros describiendo nuestra propia operación. Esto lo auditó UNIT y emitió un certificado. En un sitio lleno de afirmaciones propias, esa es la diferencia que vale la pena mirar.
- Certificado
- Nº SGSI22 030
- Norma
- UNIT-ISO/IEC 27001:2022
- Emitido por
- UNIT, Instituto Uruguayo de Normas Técnicas
- Emitido
- 27 de marzo de 2026
- Válido hasta
- 26 de marzo de 2029
- Entidad
- Takeoff Media S.R.L., Montevideo
Alcance. Servicios de tecnología de la información que incluyen desarrollo de software a medida, implementación de sitios web y aplicaciones móviles, servicios de comunicación digital y marketing, y consultoría.
Descargar el certificadoCertificados según la revisión 2022 de la norma · auditados por el organismo nacional de normalización de Uruguay
El responsable de seguridad
de la información está en el pod.
Se suma en la etapa de diseño, antes de que se escriba una sola línea, y fija las restricciones que la definición de terminado tiene que incluir: flujos de datos, retención, qué puede tocar un modelo. Vuelve a revisar antes del lanzamiento y lo aprueba. Las dos revisiones están en el calendario del pod desde la primera semana.
El modelo completo está en /how-we-work · cuatro controles que un agente nunca cruza · producción sigue en manos de personas
La IA funciona con tu
aprobación por escrito.
Ningún agente toca un proyecto hasta que lo apruebes por escrito, con herramientas que tú validaste. La autorización pasa por un proceso de gobernanza que incorpora las pautas al propio contrato, donde son exigibles.
Aprobación por escrito antes de que algo se ejecute
La IA se habilita por proyecto, la habilitas tú y queda registrado. Un proyecto sin aprobación se entrega como se entregó siempre.
Solo herramientas validadas por el cliente
Las herramientas se acuerdan contigo antes de empezar. Si una no pasó tu revisión, no está en el pod.
Las pautas viven en el contrato
Todo proyecto pasa por gobernanza y autorización, y las pautas acordadas quedan escritas en el contrato, donde nos obligan igual que cualquier otra cláusula.
Por proyecto · registrado · exigible
Qué se verifica
antes de salir.
Tres ritmos. El análisis estático corre todo el tiempo en todos los repositorios, las verificaciones de lanzamiento se aplican a todo lo que entregamos, y todo lo expuesto a internet recibe una prueba de penetración con calendario. Todo esto vale también para el trabajo que escribió un agente.
Todos los repos
Todo lo que entregamos
+ lanzamientos web mayores
Los pasos en ámbar son personas. Un agente puede preparar la evidencia de cualquiera de los dos · todo lo expuesto a internet pasa una prueba de penetración una vez al año y otra en cada lanzamiento mayor
Barreras de protección que construimos
para nuestros propios agentes.
Los agentes trabajan bajo un conjunto de políticas permanente, que generalizamos y seguimos actualizando. Lo construimos porque lo necesitábamos, y terminó haciendo algo que no habíamos planeado: un agente con un alcance acotado y bien definido produce trabajo que después necesita menos corrección. Las medidas de seguridad mejoraron el resultado.
Sin secretos en el contexto
Las credenciales nunca ingresan al contexto de trabajo de un agente, en ningún proyecto.
Salida a la red solo a destinos autorizados
El acceso a la red está restringido a destinos aprobados de antemano.
Solo escribe en el repositorio
Un agente escribe dentro del repositorio de trabajo y en ningún otro lugar.
Toda acción es atribuible
Cada acción queda registrada contra la sesión que la ejecutó, así que el rastro dura más que el proyecto.
El mínimo, en todos los proyectos · el conjunto completo de controles es parte de la revisión de seguridad · ningún cliente recibe una versión recortada
Vigilado aquí,
atendido a cualquier hora.
Wazuh en todos los equipos, observabilidad de AWS en todo lo que corre en la nube, y análisis por capas que lee la telemetría buscando patrones que un umbral fijo dejaría pasar. Un problema tiene que llegar a una persona antes de que un cliente tenga que reportarlo.
Wazuh
Detección en cada máquina donde de verdad trabaja nuestro equipo.
Observabilidad de AWS
Herramientas nativas en todo lo que operamos en la nube, por entorno.
Guardia 24/7, todo el año
Un equipo permanente para incidentes de seguridad, a cualquier hora, cualquier día.
Asegurados
Certificados de seguro que cubren riesgos operativos, disponibles a pedido.
La notificación y la escalación están documentadas antes de que se necesiten
A quién se avisa, qué tan rápido y a quién se escala. El protocolo se define por proyecto, así que la primera vez que se activa no es la primera vez que alguien lo lee.
Lo que reporta el cliente alimenta las verificaciones
Todo lo que detectes tú y nosotros no, se convierte en un caso que el pipeline verifica de ahí en adelante.
La capacitación
tiene calendario.
Los hábitos de seguridad son lo que tiene que pasar intacto cuando cambia el modelo de entrega; por eso la capacitación tiene calendario y ninguna parte es opcional.
Obligatoria para todo el personal
Toda la empresa, todos los años, sin excepciones por antigüedad ni por rol.
Capacitación de incorporación
Antes de que alguien acceda a un sistema del cliente o a un repositorio.
Reuniones de infosec
Cuatro veces al año, en toda la empresa, sobre lo que cambió de verdad.
Avisos de CVE
Avisos puntuales cuando aparece un CVE de alto riesgo o pasa algo importante en el ecosistema.