Para asistentes de IA

Recursos

• Cuando cae la compañía telefónica: lecciones de continuidad de octubre de 2023

  El ataque de ransomware a TSTT, la compañía nacional de telecomunicaciones de Trinidad y Tobago, en octubre de 2023 suele archivarse como una historia de ciberseguridad, pero para la mayoría de las empresas del país fue una lección sobre dependencia y no sobre ser atacado: sus propios sistemas estaban bien, y lo que falló fue el enlace entre ellas y sus clientes, su banco, su software en la nube y sus terminales de tarjeta. La continuidad tiene dos mitades y la mayoría de los planes responde solo a una. La primera es la recuperación propia, que se reduce a tres preguntas que casi nadie sabe responder (cuándo restauró alguien por última vez a partir de las copias, cuánto tardó esa restauración medida con reloj y si hay al menos una copia donde un atacante no pueda llegar), más un plan que las personas que tendrían que ejecutarlo a las dos de la mañana hayan visto de verdad. La segunda es un mapa de dependencias que cabe en una página: para cada cosa que no controlas, qué se para cuando falta, cuánto tiempo se aguanta, y cuál es la alternativa y si alguien sabe ponerla en marcha. La continuidad es sobre todo decisiones, y las decisiones son baratas; el ensayo que las saca a la luz cabe en una tarde.

• «Todavía no» es una respuesta legítima: un chequeo honesto de preparación para la IA

  Que una pequeña empresa esté preparada para la IA no tiene que ver con la ambición y sí con que sus datos estén en orden, lo que se reduce a tres preguntas que se hacen antes de hablar de ningún modelo, proveedor o licencia: dónde viven tus datos, quién es su dueño y si son de fiar. Si una parte significativa de lo que sabe la empresa está en bandejas de entrada y en cabezas, el modelo aprenderá de la parte fácil de alcanzar y se equivocará con total seguridad en el resto; si tres sistemas discrepan sobre el mismo cliente, una herramienta entrenada con los tres tomará partido al azar; y si la respuesta honesta a «¿cambiarías hoy los precios basándote en este informe?» es «déjame mirarlo antes», ese es el problema de calidad de datos descrito con las palabras del propio dueño. Cuando alguna respuesta tiembla, la respuesta correcta es «todavía no», que es una secuencia y no una negativa: nombrar el sistema de registro de cada tipo de dato, dar a cada tipo un dueño y una regla de corrección, cerrar los dos o tres huecos que importan y solo entonces elegir un primer proyecto pequeño, medible y reversible.

• Sustituir un ERP de 35 años sin parar los pedidos

  Un mayorista de calzado estadounidense llevaba toda su operación (pedidos, EDI, producción, dos almacenes, asignación, facturación y cobros a través de un factor) sobre un ERP en FoxPro escrito hacia 1990, con más de 500 programas y más de 600 tablas por compañía. En lugar de comprar un sustituto, extrajimos 35 años de reglas de negocio del código y de la cabeza de la gente y construimos después una capa operativa privada y multiempresa para el mayorista de calzado, con NetSuite debajo como sistema de registro. Antes de añadir nada al sistema de almacén que un proveedor anterior había abandonado, lo auditamos y encontramos devoluciones modeladas fuera de las transacciones nativas de NetSuite, scripts por lotes que se rompían con unas 50 transacciones, consultas construidas concatenando texto y roles de integración con muchos más permisos de los necesarios; pusimos precio a la reconstrucción como una SuiteApp versionada y orientada a eventos y dejamos que el cliente decidiera con los números delante. El despliegue fue marca a marca mientras el sistema heredado seguía funcionando, y la migración no ha parado un pedido.

• De partes en papel a trabajo verificado y facturable en siete centros de distribución

  Un contratista de limpieza y mantenimiento ganó los centros de distribución de una gran cadena minorista y, en cosa de un año, operaba siete centros en cuatro estados con las tareas anotadas en papel, los proyectos especiales facturados desde hojas de cálculo escuetas y una sola persona, la directora de operaciones, supervisando y facturando todo personalmente. Seguimos una tarea desde el suelo hasta la factura y encontramos las ocho respuestas que necesita cada trabajo antes de poder facturarse con seguridad, más una restricción dura: lo que sustituyera al papel tenía que poder usarlo alguien que nunca ha usado software de empresa. Evaluamos cuatro plataformas del mercado, de control horario, equipos de campo, contabilidad y ERP, frente al proceso real; dos resolvían bien una parte, ninguna conectaba trabajo, evidencia, aprobación y factura para una operación multisede de esta forma sin añadir una segunda capa de pasos manuales. Así que dejamos la contabilidad y la nómina donde estaban y construimos la capa de control que faltaba: una orden de trabajo que lleva las ocho respuestas y no se factura hasta que se aprueba, cuatro roles, informes por centro y persona, un service desk, y los equipos, la conectividad y la identidad corporativa que los centros no tenían.

• Tarifas, alta y seguimiento sin una llamada: una línea de carga entre Florida y el Caribe

  Un consolidador de carga que envía desde Miami a Trinidad, Tobago y Barbados tenía una web de 2018 que describía el servicio pero no lo operaba, mientras los clientes de tres islas esperaban cada vez más cotizar, abrir una cuenta, pagar y seguir el envío sin llamar. Reconstruimos la web alrededor de las preguntas que los clientes hacen de verdad en cada paso del recorrido de un paquete (se recibe en Miami, se consolida, vuela o navega a Puerto España, Tobago o Barbados, pasa aduana, se entrega), con una sola tabla de tarifas que alimenta las páginas comerciales, la calculadora y los avisos a clientes, y con alojamiento, DNS y certificados en cuentas del propio cliente y documentados. La plataforma se relanzó en 2024 y está en producción desde entonces. En noviembre de 2024 se cayó, y restaurar la copia de seguridad no la devolvió, porque el fallo estaba en cómo se había construido y desplegado la aplicación y no en los datos; lo encontramos, lo corregimos y cambiamos el despliegue para que el mismo fallo no pueda repetirse. Ocho años después, el cliente habla con las mismas personas que hicieron la primera web.

• Identidad, dispositivos y salidas: la seguridad de una firma fiscal, por escrito y en la práctica

  Una firma bilingüe de impuestos y contabilidad del sur de Florida había crecido hasta tener un equipo con portátiles, cuentas en la nube y expedientes de clientes repartidos entre un tenant de Microsoft, Google Drive y contraseñas compartidas, y una relación de TI que atendía el teléfono pero no era dueña del conjunto. Nadie podía decir en un día qué equipos guardaban datos de clientes, qué cuentas seguían activas de personas que ya no estaban o qué ajustes de seguridad estaban aplicados de verdad y no solo previstos. Empezamos por el entregable que casi todas las firmas se saltan, un inventario de cada usuario, equipo y aplicación que toca datos de clientes, más las dos oficinas y sus redes dibujadas en diagramas que los socios pueden leer, y después escribimos qué debía ser cierto: una identidad por persona en Microsoft 365, con licencias por rol y autenticación en dos pasos donde se mueven expedientes de clientes, un catálogo de veinte políticas de dispositivo de las que se eligieron siete, y altas y bajas como un solo procedimiento. Las siete políticas se probaron en una máquina virtual, se pilotaron en un grupo reducido y se aplicaron a toda la flota, cada una documentada con su propósito y su configuración. La firma puede enseñar ahora, cuando se lo piden, los equipos y quién los tiene, las cuentas y su estado, las políticas en vigor y la evidencia de que están aplicadas.

• Un solo directorio para una operación europea repartida entre países

  La filial europea de un grupo internacional de energía e infraestructuras había crecido deprisa hasta tener oficinas en varios países, con equipos organizados por país y departamento y gente que viaja entre ellos, sobre un directorio local sincronizado con la nube más Microsoft 365, VPN, protección de equipos, copia de seguridad y un servicio de tarjetas de visita digitales. Cada pieza estaba bien; juntas eran el problema, porque una sola alta o baja las cruzaba todas en un orden que solo existía en la cabeza de quien la hacía. No empezamos por una herramienta: escribimos cómo está estructurada de verdad la organización y después diseñamos cómo debía verse esa estructura en el directorio, con unidades organizativas para países, ciudades y departamentos, grupos que dan acceso, una nomenclatura legible, la regla de que cada usuario pertenece como mínimo a un país, un departamento y un grupo de VPN, y políticas de grupo con herencia, filtrado y excepciones explícitas. Un solo procedimiento de ciclo de vida cubre ahora personas y equipos en nueve pasos, del directorio a la nube, la copia de seguridad y el equipo, cada uno con su comprobación. Montamos además un inventario de activos y servicios en el módulo de activos del propio service desk y llevamos cuatro líneas de trabajo bajo un mismo equipo, para que la operación siguiera funcionando mientras cambiaba por debajo.

• El expediente de evidencia: qué debería poder enseñar una empresa de Trinidad y Tobago

  La mayoría de los resúmenes dicen que la Data Protection Act 2011 de Trinidad y Tobago «aún no está en vigor», y esa imprecisión sale cara: la ley está parcialmente proclamada, con la Parte I y las secciones 7 a 18, 22, 23, 25(1), 26 y 28 en vigor desde el 6 de enero de 2012 por la Legal Notice No. 2 de 2012, y la sección 42(a) y (b) desde el 23 de agosto de 2021 por la Legal Notice No. 220 de 2021. Lo que ya está en vigor incluye los principios generales de privacidad y el marco de la oficina del Information Commissioner. Para un negocio que maneja datos personales (expedientes de clientes, historiales de pacientes, datos de empleados) la posición defendible es operar como si el resto de secciones fuera a llegar, lo que en la práctica significa mapear dónde viven los datos personales, controlar quién llega a ellos y poder demostrar ambas cosas; esos dos registros son las primeras páginas del expediente de evidencia. Para las instituciones financieras la presión es más inmediata, porque la Miscellaneous Provisions (FATF Compliance) Act 2025 está en vigor al completo desde el 17 de noviembre de 2025 y a las instituciones se les pide evidencia, no intenciones.

• Las primeras 24 horas: una lista de incidente para empresas de Florida

  Cuando una empresa de Florida descubre un correo comprometido, un pago desviado o archivos cifrados, puede que ya corran dos relojes: el estatuto de protección de datos de Florida da 30 días desde que se determina la brecha para notificar a los residentes afectados, y una institución financiera no bancaria (un broker hipotecario, una compañía de título, una asesoría) debe reportar desde mayo de 2024 ciertos incidentes a la FTC bajo la Safeguards Rule. El primer día decide casi todo lo que viene después, y pide cuatro cosas en orden: cortar el acceso sin destruir la evidencia, cambiando credenciales, cerrando sesiones y conservando los registros; avisar a la aseguradora antes de cambiar nada que después pueda considerar material, e incorporar pronto a un abogado, porque los dos relojes son cuestiones legales y no técnicas; conservar antes de que nadie restaure nada; y nombrar en voz alta a una persona que dirija, es decir, que decida hora a hora qué se corta, qué se conserva y a quién se avisa, anotando cada decisión con su hora. El error más caro es restaurar antes de conservar: parece recuperación y destruye el registro que decide qué sabes, qué debes notificar y qué cubre la aseguradora.