Su SOC detecta. Vigicap lleva el registro y los plazos.

• Tres plazos, calculados desde el momento del conocimiento

  Al crear el incidente, Vigicap fija los tres hitos del artículo 23 a partir de la fecha en que usted tuvo conocimiento: alerta temprana a las 24 horas, notificación a las 72 horas, informe final al cabo de un mes. Una tarea comprueba cada quince minutos y envía un correo a los administradores antes de cada plazo. Si la fecha se corrige, los tres se recalculan.

• El destinatario nacional correcto, puesto en el borrador

  El borrador de la alerta temprana nombra a la autoridad del país del cliente: ANSSI en Francia, BSI en Alemania, CSIRT Italia, CSIRT NASK en Polonia, el CCB en Bélgica, NCSC-NL en los Países Bajos. Sin jurisdicción definida, lo dice en lugar de dar por supuesta Francia. El texto es determinista, sin modelo de IA, y lo envía usted: Vigicap no presenta nada ante una autoridad.

• De la alerta al incidente, por decisión del analista

  Las alertas importadas entran en una cola por cliente. Un analista rechaza una indicando el motivo, o la cualifica como incidente — y solo entonces, nunca por sí solos, echan a andar los relojes. Hoy una sola integración alimenta esa cola, TheHive; los demás conectores SIEM se leen para su postura, y la página de conectores dice quién hace qué.

• Los boletines del CERT-FR, confrontados con cada cliente

  Vigicap sigue las alertas, los avisos y las actualidades del CERT-FR y confronta los productos citados en un boletín con los conectores de cada cliente. Usted lee «este cliente tiene un conector de un producto citado aquí» — no «este cliente es vulnerable». No hay escaneo ni base de CVE: la fuente es el CERT-FR.

• Un informe de servicio mensual, por cliente

  Cada cliente recibe su mes de servicio: alertas recibidas y evaluadas, incidentes abiertos y resueltos, plazos NIS 2 cumplidos, cobertura de los conectores. Lo que no se ha medido aparece como no medido — nunca como cero, porque un cero se lee como "inmediato". Usted consigna en él sus compromisos contractuales (evaluación de una alerta, resolución de un incidente) y el informe los contrasta con la alerta MÁS LENTA del mes, no con la mediana: "cumplido" significa cumplido en todas las alertas.

• Un analista solo ve sus clientes, si usted lo activa

  El ajuste es de la agencia. Si está activado, un consultor solo alcanza a los clientes que tiene asignados, y un intento sobre otro responde «no encontrado» en lugar de «prohibido», para no confirmar su existencia. Los administradores y los responsables nunca quedan limitados, y el ajuste está desactivado por defecto.

• Quién ve qué, y cómo se organiza la cartera

  Un puesto de solo lectura abre todo el expediente y no puede escribir nada en él — para un auditor, un cliente, alguien que acaba de llegar. Y agrupar los clientes por etiqueta: "SOC gestionado", "bajo contrato", lo que usted utilice, con un filtro de cartera en cuanto exista una etiqueta.

Sus herramientas, en solo lectura

SIEM y registro de eventos, gestión de casos, escáneres de vulnerabilidades, EDR, identidad, copia de seguridad: cada conector indica lo que lee en el cliente y qué objetivo ReCyF precarga. Los permisos solicitados figuran en su propia página.