Metodologías propias de inteligencia operativa
Frameworks que QMA desarrolla para convertir el ruido de vulnerabilidades, amenazas y obligaciones de cumplimiento en decisiones accionables para equipos de seguridad en México y LATAM: priorización de CVEs, curaduría del catálogo KEV, atribución de actores, diagnóstico de cumplimiento y gobierno de inteligencia artificial. Documentación pública en formato TLP WHITE, con AP Score como metodología insignia.
Catálogo de metodologías
AP Score
Action-Priority · Escala 0 a 10 · v3.0
La metodología insignia de QMA. Traduce el flujo anual de CVEs en una decisión de parcheo accionable sobre una escala de 0 a 10, a partir de cinco señales: explotabilidad (catálogo CISA KEV de vulnerabilidades explotadas conocidas y EPSS, el Exploit Prediction Scoring System de FIRST.org), severidad base (CVSS publicado por NVD), cobertura del análisis, divergencia entre las lecturas técnicas y novedad de la entrada. La versión v3.0 corre en producción desde mayo de 2026 sobre más de 1,700 entradas del catálogo CISA KEV.
Documentación completa LiveKEV-1 Intel
Curaduría del catálogo CISA KEV · Ciclo de 6 horas
Metodología de curaduría y priorización sobre el catálogo CISA KEV de vulnerabilidades explotadas conocidas: criterios de inclusión, cálculo de AP Score por entrada, mapeo de técnicas a MITRE ATT&CK y foco en la exposición de infraestructura en México. Opera como agente autónomo desde el 22 de marzo de 2026, recalcula cada seis horas contra CISA KEV y NVD, y publica un radar con las entradas en explotación activa confirmada y CVSS de 9.0 o mayor.
Ver el radar en vivoAtribución de actores
Taxonomía QMA · MITRE ATT&CK
Marco de clasificación de actores amenaza alineado con MITRE ATT&CK: APT con nexo estado, ransomware con historial en LATAM, botnet y hacktivismo, con el identificador de grupo de MITRE cuando el actor lo tiene asignado. Hoy sostiene 42 clasificaciones activas. Las atribuciones no confirmadas viajan con el marcador (probable), que baja el nivel de confianza y con él el peso del actor dentro del cálculo de AP Score, en lugar de descartarlas.
Metodología en operación · documentación en cursoAssessment en 30 días
Seguridad, riesgo y cumplimiento · QMA Certeza
Método de diagnóstico que levanta la postura de una organización en cuatro semanas con un banco de 148 preguntas cruzadas contra ISO/IEC 27001:2022, SOC 2, PCI DSS 4.0, NIST CSF 2.0, la ley federal de protección de datos personales y las disposiciones de CNBV. El resultado no queda en un documento suelto: alimenta cinco estructuras vivas, registro de riesgos, mapeo de controles, matriz de brechas, inventario de evidencia y hoja de ruta, que se cargan en la plataforma de cumplimiento para el monitoreo continuo. La preparación la ejecuta QMA y la certificación, cuando el marco la contempla, la emite el organismo acreditado que corresponda.
Ver la plataforma de cumplimientoCruce AI RMF con ISO 27001
NIST AI RMF 1.0 · ISO/IEC 27001:2022
Cruce de las 72 subcategorías del NIST AI Risk Management Framework contra las cláusulas obligatorias y los controles del Anexo A de ISO/IEC 27001:2022, con tres grados de cobertura: directa en 30 subcategorías, parcial en 39 y sin equivalente en 3. Responde una pregunta concreta para quien ya opera un sistema de gestión de seguridad de la información: cuánto del gobierno de inteligencia artificial ya está resuelto y dónde no llega. La cobertura directa es más alta en las funciones de gobierno y de gestión del riesgo, y cae en las de mapeo y medición del sistema de IA, que es donde queda el trabajo real. Documentación próximamente.
Documentación próximamentePrincipios transversales
Decisión, no descripción
Cada metodología termina en una acción concreta para el equipo de seguridad: parchear, escalar, monitorear o archivar. Los scores y rankings sirven a la operación, no al reporte académico.
Contexto regional
La exposición real de infraestructura mexicana y de LATAM modula el peso de cada indicador global. Lo que es crítico en San Francisco puede no serlo en Querétaro, y viceversa.
TLP WHITE por default
Resultados publicables sin restricciones. Las ponderaciones internas son IP de QMA; los outputs son citables y referenciables por terceros con atribución. Sin paywalls para inteligencia básica.
¿Quiere saber cómo aplicar AP Score en un ciclo de parcheo, cómo se cura el catálogo KEV para su sector o qué tan lejos queda su SGSI del gobierno de inteligencia artificial? La documentación publicada es solo la entrada.
Hablar con el equipo QMA