Marca de tiempo en origen
Cada entrada lleva su fecha, su hora y la identidad de su autor en el momento en que se realiza la acción: sin reconstrucción de memoria, sin fecha «redondeada» varios días después del incidente.
Pruebas y arquitectura · la base y el rastro
Cómo traza Galyct Pro las decisiones y los elementos de prueba.
Cada entrada del registro conserva su autor, su marca de tiempo, su contexto y los elementos a los que está vinculada. El registro está diseñado para reconstruir una cronología y exportar un expediente aprovechable por la dirección, un auditor o un tercero autorizado.
Comprender el riesgo. Recuperar el control. Mantenerse en el tiempo.
Registro de solo adición · con sello de tiempo · alojado en Francia en Scaleway · IA de Mistral (UE) · sus datos siguen siendo exportables.
PRINCIPIO
La confianza
se demuestra.
«Soberano» se ha convertido en un argumento de marketing. Preferimos los hechos verificables: el país de alojamiento, el nombre de cada subencargado, el proveedor de nuestra IA, la naturaleza exacta del cifrado y la lista explícita de lo que no hacemos. Una organización no confía su ciberseguridad a una promesa: la confía a una arquitectura que puede leer, auditar y someter a su propio DPD.
Parte ILa prueba, lo que queda después de la decisión
01 · EL REGISTRO DE PRUEBAS
Un registro con marca de tiempo que se rellena solo
No tiene que «acordarse de documentar». Cada gesto realizado en la consola (una decisión de crisis, una medida de tratamiento, una brecha de cumplimiento corregida, un análisis de IOC) alimenta el registro en el momento en que se produce, con su marca de tiempo y su autor. La prueba no es un informe redactado a posteriori: es el rastro de lo que realmente ocurrió.
Vinculado a su contexto
Una prueba nunca existe sola: está vinculada al riesgo, al incidente, al playbook o al requisito normativo que la produjo. Se remonta del hecho a la decisión, y de la decisión al hecho.
Registros, capturas, documentos
Decisiones, hipótesis, registros de eventos, capturas, intercambios y adjuntos: el expediente se constituye de forma continua, listo para que lo relea un tercero que no estaba en la sala.
Conservado el tiempo necesario
Conservación por categoría y finalidad, proporcionada: los expedientes de incidentes se archivan con fines probatorios hasta 5 años (la acción civil de derecho común prescribe a los cinco años, art. 2224 del Código Civil francés); las cuentas, 24 meses después de la última actividad. Nunca de forma indefinida.
02 · DIARIO DE DECISIONES CON MARCA DE TIEMPO Y TRAZABLE
Solo adición: se añade, no se reescribe la historia
Un diario solo tiene valor si no se puede maquillar a posteriori. El diario de decisiones de Galyct Pro funciona en modo de solo adición: se añaden entradas, no se elimina ni se modifica el pasado en silencio. Corregir una decisión es escribir una nueva entrada que explica la corrección; la entrada original sigue visible. Cómo se sella y se verifica el diario →
El principio
Una línea de vida, no un borrador
Cada decisión registra: lo que se decidió, quién, en qué momento, con qué información disponible entonces, y por qué. Una revisión posterior se apila encima sin borrar lo anterior. El hilo se lee en orden, de la primera señal al cierre.
Es exactamente lo que esperan una aseguradora que instruye un siniestro, un regulador que comprueba el cumplimiento de un plazo o un juez que reconstruye una cronología: una cronología que nadie ha podido retocar después de los hechos.
Lo que conserva cada entrada
- Qué: la decisión o la acción realizada
- Quién: el autor identificado, su función en la célula
- Cuándo: la marca de tiempo al segundo
- Sobre qué: los elementos conocidos en ese instante
- Por qué: la justificación, la opción elegida
- Estado: hecho establecido, hipótesis o señal débil
03 · CONSTATADO FRENTE A SUPUESTO
Distinguir lo que está establecido de lo que se supone
El error más costoso, en crisis como en auditoría, es presentar una hipótesis como un hecho. Galyct Pro califica explícitamente cada elemento del expediente: al releerlo, se sabe lo que se demostró y lo que seguía siendo una suposición en el momento de decidir.
Constatado
Un hecho establecido, apoyado en un rastro verificable: un registro de eventos, una captura, un documento, una confirmación técnica. Lo que puede mostrarse a un tercero.
Supuesto
Una hipótesis de trabajo, útil para avanzar pero no demostrada. Se nombra como tal: se decide sobre su base con conocimiento de causa, sin disfrazarla de certeza.
Señal débil
Un indicio que merece anotarse sin sacar conclusiones. Registrado para no perderlo, podrá confirmarse (o descartarse) a medida que avance el expediente.
Consecuencia directa: ninguna atribución sin pruebas. No se afirma ningún responsable ni ninguna causa raíz mientras los elementos técnicos o contextuales no lo respalden. Lo que no es demostrable se sigue presentando como hipótesis o como límite.
04 · EXPORTACIONES APROVECHABLES
El mismo expediente, legible por cada uno de sus interlocutores
Un registro de pruebas solo sirve si sale de la herramienta. Galyct Pro produce exportaciones estructuradas a partir de los mismos hechos, adaptadas según quién las lea. Una sola verdad, varios niveles de lectura: la dirección, el banco, la aseguradora, el abogado, el auditor y el regulador no reciben versiones contradictorias.
Banco
Cronología del incidente y medidas adoptadas: con qué respaldar una declaración de fraude, una solicitud de bloqueo o un expediente de recobro, con las fechas que cuentan.
Aseguradora cíber
Un expediente de siniestro documentado: sellos de tiempo, decisiones, registros y pruebas de remediación, los justificantes que las aseguradoras suelen pedir, según su contrato.
Abogado y área jurídica
Una cronología sin retoques, que distingue hechos e hipótesis: la base de una denuncia, de una notificación o de una defensa, sin zonas grises sobre lo que está probado.
Auditor
Pruebas vinculadas a los requisitos (ISO 27001, NIS 2, DORA): la documentación remite a prácticas reales y a rastros, no a declaraciones de intenciones.
Regulador · CNIL, autoridad NIS 2
Notificación de una violación de datos dentro de plazo (72 h según el RGPD), con el rastro de las decisiones tomadas: el reloj normativo y el diario hablan el mismo idioma.
Dirección y comité
Una presentación sintética, orientada a la decisión y al presupuesto: lo que ocurrió, lo que se decidió, lo que queda por hacer, todo ello respaldado por el expediente detallado.
Formatos abiertos y legibles fuera de la plataforma. Ver los marcos de referencia cubiertos →
05 · TRAZABILIDAD DE PRINCIPIO A FIN
De la primera señal a la prueba, una sola cadena
La prueba no se fabrica al final: se deposita en cada eslabón. Como el riesgo, el análisis, el incidente y el cumplimiento viven en el mismo lugar, nada se introduce dos veces y nada se pierde entre dos herramientas. Cualquier elemento del expediente puede remontarse hasta su origen.
01SeñalUna alerta de un conector (reunida en la vista «Señales»), un análisis de IOC, un escenario de riesgo: el evento entra fechado.
02CalificaciónConstatado, supuesto o señal débil: el elemento se nombra antes de aprovecharse.
03DecisiónLa decisión se registra con su autor, su hora y su justificación.
04AcciónPlaybook, responsable, plazo, remediación: cada gesto deja su rastro.
05PruebaHechos, decisiones y documentos se vinculan en el registro de solo adición.
06ExportaciónEl expediente sale, adaptado para el banco, la aseguradora, el abogado, el auditor o el regulador.
06 · REVERSIBILIDAD
Sus pruebas le pertenecen, y puede marcharse con ellas
Un registro de pruebas encerrado en una herramienta que usted no controla no es una prueba: es una dependencia. Con Galyct Pro, sus datos siguen siendo suyos, alojados en Francia en Scaleway, y los exporta cuando quiera, incluso para dejar la plataforma.
Alojado en Francia, en Scaleway
Sus pruebas y sus registros se alojan en Francia, en Scaleway. El asistente de IA se apoya en Mistral (UE), bajo supervisión humana: ningún tratamiento fuera de la UE a sus espaldas.
Exportable en todo momento
El registro, el diario de decisiones y los documentos se exportan en formatos abiertos: no necesita nuestro acuerdo, ni nuestra herramienta, para releer su propio expediente.
Reversibilidad asumida
Marcharse debe seguir siendo posible. Recupera el historial completo de sus decisiones y de sus pruebas: la trazabilidad no desaparece porque cambie de solución.
Nunca le pedimos sus claves de acceso a sus bancos, correos o servicios de terceros. La prueba se construye a partir de lo que usted constata y decide, no de un acceso a sus cuentas.
Parte IILa arquitectura: dónde viven sus datos y quién los trata
07 · LA BASE: DÓNDE VIVEN SUS DATOS
Sus datos de cuenta y de incidentes, alojados y tratados en Francia, en Scaleway
Alojamiento, copias de seguridad, registros y pruebas permanecen en Francia (UE), en Scaleway. Las verificaciones externas opcionales (resolución DNS, reputación de una URL, búsqueda de filtraciones) se activan de forma controlada y documentada: para cada una, sabe qué datos se transmiten y a qué servicio. Hechos, descritos, no un absoluto de marketing.
Alojamiento en Francia
Servidores operados en Francia en Scaleway, proveedor de alojamiento sin calificación SecNumCloud. Los datos de sus incidentes, sus riesgos y sus pruebas no salen de la UE en el marco normal del servicio.
Cifrado en reposo y en tránsito
Los datos sensibles se cifran en reposo; los intercambios pasan por TLS (HTTPS), con cabeceras de seguridad reforzadas (HSTS, CSP). El cifrado protege el dato, nunca es un pretexto para no trazar nada.
Compartimentación multientidad
Cada organización (y cada entidad de un grupo) dispone de un espacio compartimentado. Una filial no ve los datos de otra; la compartición, cuando existe, es una elección explícita y registrada.
Copias de seguridad y reversibilidad
Copias de seguridad periódicas y exportabilidad de sus datos: sus pruebas, sus registros y sus diarios le pertenecen. Se marcha con lo que ha producido, sin retención hostil.
Acceso mínimo y registrado
Funciones (administrador, editor, miembro), mínimo privilegio y trazabilidad de los accesos. Las acciones sensibles llevan marca de tiempo: quién vio qué, quién decidió qué, y cuándo.
Resolución DNS cifrada (DoH)
El componente Galyct Domain consulta el DNS de forma cifrada (DNS-over-HTTPS) a través de resolutores públicos sin filtrado de la Unión Europea, Mullvad (Suecia), Freifunk München (Alemania) y LibreDNS (Grecia), con un respaldo en Francia en FDN: solo transita el nombre de dominio verificado, ningún dato personal. Una observación controlada, descrita tal como es.
Sus herramientas siguen siendo suyas. Los conectores (EDR, cortafuegos, copia de seguridad, inteligencia) funcionan en solo lectura: «el cliente aporta su instancia». Galyct lee sus eventos y nunca controla sus herramientas: no se requiere ningún agente de Galyct para estos conectores. Existe además un sensor de equipo opcional («Agente de equipo»), por si desea enriquecer la telemetría. Ver los conectores →
08 · LA IA BAJO SUPERVISIÓN HUMANA
Una IA europea que asiste, nunca que decide sola
El asistente de Galyct Pro se apoya por defecto en Mistral, un proveedor francés cuyos modelos se operan en la Unión Europea. La IA prepara, propone y acelera; la decisión sigue siendo humana, y cada resultado es verificable.
Modelo europeo por defecto
El tratamiento de IA se realiza en Mistral (Francia/UE). La elección del proveedor se gobierna en el servidor: usted sabe qué motor trata sus solicitudes, y nada se envía a un modelo fuera de la UE sin su conocimiento.
La persona valida, la IA no actúa sola
La IA redacta un borrador de playbook, propone una calificación, resume un incidente: una persona valida. El asistente no desencadena ninguna acción irreversible sin decisión del operador.
Análisis de archivos (UE)
El análisis automatizado de archivos e indicadores se apoya en un motor de análisis que no sale de la UE, como complemento de fuentes abiertas reconocidas. Las capacidades de análisis avanzado se amplían por oleadas: algunas llegan pronto, y lo decimos en lugar de dejarlo creer.
Consentimiento y registro
El recurso a la IA está enmarcado por un consentimiento y un registro: una pantalla de riesgo explica lo que se envía al modelo. Usted mantiene el control sobre lo que se envía, y sobre lo que no.
La IA de Galyct Pro no pretende sustituir a un analista: le hace ganar tiempo en lo repetitivo, para que se concentre en la decisión. Ver el espacio de análisis →
09 · EL MARCO NORMATIVO
Diseñado para su cumplimiento, sin simularlo
Galyct Pro equipa los marcos que exigen sus partes interesadas. La plataforma le ayuda a documentar y cumplir sus obligaciones: no le otorga ningún sello oficial, y no sustituye ni a su DPD ni a su auditor.
RGPD · notificación en 72 h
Registro de actividades de tratamiento, evaluaciones de impacto, procedimiento de notificación de violaciones dentro de plazo. Usted es el responsable del tratamiento; nosotros somos encargado del tratamiento, con un marco contractual (DPA) específico.
NIS 2
Directiva europea: obligaciones, gobernanza, control del riesgo de terceros y trayectoria de adecuación. La plataforma estructura la prueba; la apreciación sigue correspondiéndole a usted y a sus autoridades.
DORA
Resiliencia operativa del sector financiero: gestión del riesgo de proveedores de TIC, pruebas, incidentes graves y reporting. Cada requisito se vincula a decisiones y a pruebas exportables.
10 · NUESTROS SUBENCARGADOS, CON NOMBRE
Le decimos quién trata qué. Con nombre propio.
La confianza se verifica en la cadena de subcontratación. Estos son los proveedores clave que intervienen en el servicio, su función y dónde operan. La lista completa se mantiene actualizada (última revisión: 15 de agosto de 2026) y se pone a disposición en el marco contractual (DPA).
| Subencargado | Función | Ubicación |
|---|---|---|
| Scaleway / Online Alojamiento |
Alojamiento de la infraestructura, de las bases de datos, de las copias de seguridad y de los registros del servicio. | Francia |
| Mistral Inteligencia artificial |
Proveedor del modelo de IA que asiste el análisis y la redacción, bajo supervisión humana. | Francia / UE 🇪🇺 |
| Stancer Pago |
Proveedor de pagos francés para las suscripciones y los pases. No almacenamos los datos de su tarjeta: transitan por el proveedor. | Francia |
Editor del servicio: Datashield Risk Consulting (SAS), que edita el ecosistema Galyct. Cualquier cambio en esta lista se le comunica en el marco contractual. Aviso legal →
11 · LO QUE NUNCA LE PEDIMOS
Nunca le pedimos sus claves
Una plataforma de confianza también se reconoce por lo que se niega a pedirle. Estas reglas no son promesas comerciales: son prohibiciones que nuestros equipos se aplican a sí mismos.
Nunca
No le pediremos…
- sus contraseñas, códigos de acceso o credenciales de sus cuentas de terceros;
- los códigos recibidos por SMS, correo o aplicación de autenticación;
- que desactive su doble autenticación o sus protecciones;
- un acceso remoto a sus equipos fuera de una misión acotada y contratada con la consultora.
Si un mensaje dice venir de Galyct y le pide una de estas cosas, se trata de un intento de fraude. En caso de duda: notifique un incidente →
Siempre
Lo que le debemos
- decirle dónde viven sus datos y quién los trata;
- trazar los accesos sensibles y rendirle cuentas de ellos;
- dejarle exportar y recuperar lo que ha producido;
- distinguir un hecho establecido de una hipótesis, en cada resultado.
12 · LO QUE NO PROMETEMOS
La confianza también se construye sobre lo que uno se niega a prometer
Un registro documenta lo que ocurrió; una arquitectura reduce la exposición. Ni uno ni otra reescriben la historia, garantizan un desenlace ni sustituyen el juicio de sus asesores. Decirlo es precisamente lo que les da valor.
Un rastro, no una garantía de resultado
Documentar una decisión no garantiza que fuera la correcta, ni que se vaya a evitar un incidente: ningún resultado está garantizado. El registro prueba lo que se hizo y cuándo, no que vaya a bastar.
Un elemento sólido, no un veredicto
Un diario con marca de tiempo y coherente constituye un elemento sólido: su alcance exacto ante una aseguradora, un regulador o un juez depende de su apreciación y de sus asesores jurídicos, no de una promesa por nuestra parte.
Sin riesgo cero, sin «inviolable»
No empleamos ni «inviolable», ni «100 % seguro», ni «garantizado». El objetivo es reducir la exposición y mantener la prueba; una verificación limitada nunca prueba la ausencia total de riesgo.
Un cumplimiento vinculado a las prácticas reales
La plataforma documenta; no otorga ningún sello. La documentación debe corresponder a responsabilidades y prácticas reales: se documenta lo que se hace, no al revés.
Referenciado, no certificado por el Estado
Galyct es un proveedor referenciado en Cybermalveillance.gouv.fr, una señal de seriedad, no una certificación del Estado, y nunca lo presentamos como tal. Esto no prejuzga la calificación de un incidente concreto.
El software, y la persona cuando hace falta
Galyct Pro dirige en el día a día. Para la auditoría, el EBIOS RM, el análisis forense, la gestión de crisis o un CISO/DPD externalizado, la consultora interviene bajo presupuesto: la capa humana no se sustituye por una casilla marcada.
¿Una crisis cíber en curso?
Sospecha de intrusión, ransomware, cuenta comprometida, fuga de datos: estabilice sin destruir las pruebas. Abrimos una célula de crisis, llevamos el diario de decisiones y constituimos el expediente sobre la marcha.
Pruebas y arquitectura, en su contexto.
Visite libremente el cockpit con datos de ejemplo, o solicite una demo de 30 minutos: plantee sus preguntas sobre trazabilidad, alojamiento y subcontratación. Sin compromiso, tratamiento en la Unión Europea, sus datos siguen siendo suyos.