Área de investigación · GRC como disciplina de ingeniería Agentic
Agentic GRC Engineering: cumplimiento como datos, agentes con guardrails
Los marcos normativos se publican como documentos, los mappings se elaboran a mano y los mismos requisitos se implementan varias veces. Vami Research investiga cómo el GRC se convierte en una disciplina de ingeniería: con frameworks como datos OSCAL legibles por máquina, un grafo común para los sistemas de gestión y agentes de IA que asumen el trabajo rutinario según reglas de aprobación definidas — indicando las fuentes y con un rastro verificable.
- OSCAL
- Frameworks as Code
- Grafo GRC
- Sistema de gestión integrado
- Niveles de autonomía L0–L3
- ISO/IEC 42001
- Trust Center
- Deep Dives
- 15
- Whitepapers
- 1
- Soluciones
- 2
Del cumplimiento en PDF a un panorama de controles consultable
NIS2, DORA, CRA y AI Act no exigen medidas aisladas y puntuales, sino estructuras permanentes de gobernanza, riesgo y control. Sin embargo, cada marco tiene su propio formato y su propio esquema de numeración, y con cada nueva versión el trabajo de mapping vuelve a empezar de cero. Quien implanta en paralelo ISMS, protección de datos, gobernanza de la IA y continuidad de negocio describe procesos, recopila evidencias y responde preguntas de auditoría varias veces.
Las piezas ya existen. OSCAL convierte los controles en datos direccionables y, desde la versión 1.2.0 de diciembre de 2025, incorpora un modelo propio para los mappings entre frameworks. Desde el 29 de septiembre de 2025, el BSI ofrece su biblioteca del estado de la técnica (Stand-der-Technik-Bibliothek) sobre base OSCAL. La Harmonized Structure da a ISO/IEC 27001, 27701, 42001 e ISO 22301 las mismas diez cláusulas: la base para un sistema de gestión integrado. Queda un límite: para ISO 27001 no existe un catálogo OSCAL oficial de libre distribución debido a los derechos de autor.
El GRC se vuelve agéntico cuando, sobre esta base, los agentes de IA asumen tareas rutinarias de forma trazable y sujetos a reglas de aprobación. En VamiGRC, el sistema de gestión integrado agéntico de VamiSec, VamiAI responde preguntas a partir del IMS indicando las fuentes; los niveles de autonomía L0 a L3 regulan qué requiere aprobación. Vamiset, utilizable de forma independiente y actualmente sin función de IA, inventaría activos de cloud, código y RR. HH. con permisos de lectura y los evalúa frente a controles. El Trust Center de VamiSec muestra a VamiGRC como plataforma con «Powered by».
Preguntas abiertas de la práctica
- 01
¿Cómo se convierte el PDF de un marco normativo en un conjunto de controles auditable y versionable?
Nuestro enfoque
Con OSCAL: catálogos con IDs estables y texto literal, perfiles para la selección y la adaptación, mappings con tipos de relación justificados. Así, los cambios de versión se convierten en diffs en lugar de empezar de cero. En VamiGRC, el Framework Composer combina varios estándares en un conjunto de controles, y los frameworks propios se añaden mediante importación, hasta la declaración de aplicabilidad.
- 02
¿Cuánta autonomía pueden recibir los agentes de IA en los procesos de gobernanza, riesgo y cumplimiento?
Nuestro enfoque
Tanta como admita la tarea, y nunca de forma inadvertida. En VamiGRC, cada operación de escritura se ejecuta en un nivel de autonomía definido, de L0 a L3: manual, asistido por IA, ejecutado por IA con aprobación obligatoria o totalmente autónomo y plenamente auditado. Usted decide para cada tarea dónde se ejecuta, por ejemplo las revisiones por la dirección de forma manual y el Continuous Monitoring de forma totalmente autónoma. Los niveles se inspiran en OWASP APTS y están adaptados para GRC.
- 03
¿Cómo siguen siendo verificables las respuestas de un asistente de IA en el contexto de GRC?
Nuestro enfoque
Haciendo que cada respuesta remita a una fuente y que una persona la apruebe antes de transmitirla. VamiAI responde preguntas a partir del IMS indicando las fuentes y elabora borradores de notificación según NIS2, RGPD, DORA, CRA y AI Act, que su equipo revisa y presenta. En los cuestionarios de clientes, la IA propone respuestas a partir de una base de conocimiento versionada; cada respuesta conserva su pista de auditoría con responsable, fuente y momento.
- 04
¿Cómo pasa la gobernanza de la IA a formar parte del sistema de gestión en lugar de ser un proyecto paralelo?
Nuestro enfoque
Con un inventario de IA con clasificación de riesgos por caso de uso y un AIMS según ISO/IEC 42001 que sigue la misma estructura básica que ISO/IEC 27001: un registro de activos, una metodología de riesgos, auditorías combinadas. El NIST AI RMF complementa la perspectiva de riesgo; ISO/IEC 27090, las amenazas técnicas de la IA. Además, desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del AI Act.
Lo que constatamos
- 01
Los frameworks como datos convierten el cumplimiento múltiple en una operación de datos
OSCAL convierte cada control en un objeto direccionable con ID estable y texto literal. Desde la versión 1.2.0, el mapping entre frameworks forma parte del estándar, con tipos de relación justificados. Los cambios de versión pueden evaluarse como diff y las auditorías acceden a referencias verificables, siempre que una plataforma encapsule la complejidad del estándar.
Fuente: OSCAL — Frameworks as Code
- 02
Grundschutz++ llega como catálogo OSCAL: el objetivo es que la verificación sea automatizable
Según el plan de hitos, el BSI presentó la metodología como estándar BSI 300-1 el 27 de octubre de 2026 en la it-sa. El catálogo de aplicación Grundschutz++ reúne 1.000 requisitos en 20 prácticas y está disponible en formato OSCAL. Según el BSI, las solicitudes de certificación ISO 27001 sobre la base de Grundschutz++ son posibles a partir del 1 de enero de 2027.
Fuente: Grundschutz++
- 03
La seguridad de la IA según ISO/IEC 27090 no necesita un segundo sistema de gestión
ISO/IEC 27090 es una guía sin requisitos certificables. Sus nueve tipos de compromiso se incorporan como catálogo de amenazas a la apreciación de riesgos del ISMS, y las contramedidas, a la declaración de aplicabilidad. La auditoría interna, la revisión por la dirección y la auditoría de certificación también los evalúan; la certificación sigue realizándose según ISO/IEC 27001.
Fuente: ISO 27001 × ISO 27090
- 04
La IA solo acelera los cuestionarios de seguridad con una biblioteca de respuestas y revisión
Las herramientas asistidas por IA reconocen preguntas semánticamente similares y proponen borradores de respuesta a partir de una biblioteca curada. Esto solo resulta sólido con gobernanza: respuestas verificadas con responsable y periodo de validez, un proceso de aprobación, una pista de auditoría por respuesta y la comparación periódica con el estado real de los controles.
Fuente: Security Questionnaires
Cómo procedemos
Tratamos el cumplimiento como una tarea de ingeniería: requisitos como datos, relaciones como grafo, automatización solo con aprobaciones definidas, y cada afirmación trazable hasta una fuente.
Frameworks as Code
Gestionar los marcos normativos como catálogos y perfiles OSCAL, justificar los mappings entre frameworks y evaluar los cambios de versión como diff.
Sistema de gestión integrado
ISMS, PIMS, AIMS, CSMS y BCMS con una escala de riesgo común, un solo control documental y un programa de auditoría combinado en lugar de sistemas paralelos.
Agentes con guardrails
Definir niveles de autonomía por tarea, exigir aprobaciones antes de los pasos de gran repercusión y admitir respuestas solo con indicación de la fuente.
Evidencias continuas
Inventariar activos de cloud, código y RR. HH. con permisos de lectura y evaluarlos frente a controles de forma puntual o según una planificación, por ejemplo con Vamiset y reglas propias en YAML, sin función de IA.
Trust Center y cuestionarios
Poner las evidencias a disposición en autoservicio con acceso escalonado y responder los cuestionarios de clientes a partir de una biblioteca de respuestas versionada, con revisión.
Gobernanza de la IA
Inventario de IA, clasificación de riesgos por caso de uso y AIMS según ISO/IEC 42001, complementados con el NIST AI RMF y las obligaciones de transparencia del AI Act.
Cómo empezar
- 1ModelarConectar en un grafo marcos normativos, requisitos contractuales, procesos, activos, proveedores, casos de uso de IA y riesgos; implementar los requisitos una vez y asignarlos varias veces.
- 2AutomatizarDelegar el trabajo rutinario en agentes, siempre en un nivel definido: análisis de brechas y borradores de evidencia con aprobación obligatoria, Continuous Monitoring totalmente autónomo y auditado.
- 3DemostrarAsignar las evidencias a los controles, alimentar con ellas las auditorías y las revisiones por la dirección, y acreditar el estado hacia el exterior mediante un Trust Center.
Deep Dives, whitepapers y análisis
Deep Dives 15
Del área a la implantación
Servicios
Áreas de investigación relacionadas
¿Implantar GRC como disciplina de ingeniería?
En la primera consulta evaluamos sus sistemas de gestión y sus fuentes de evidencias, y le mostramos cómo se concreta Agentic GRC Engineering con VamiGRC en su entorno.