Ciberseguridad para pymes. Antes del incidente, no después
Ya tienen antivirus, copias y Microsoft 365. Lo que probablemente no tienen es a alguien que confirme, cada mes, que todo eso sigue funcionando. Cada mes verificamos los controles que importan, guardamos la prueba con fecha, y decimos qué hay que corregir y quién debe hacerlo.
Diagnóstico en dos fases · desde 390 € · se paga después de cada entrega
Ver el modelo del informe- 01Identidad y autenticación
- 02Cuentas y accesos
- 03Protección de los equipos
- 04Vulnerabilidades y fin de soporte
- 05Exposición en Internet
- 06Seguridad del correo
Trabajamos con pymes en España y Portugal
Tres pasos. Sin promesas vacías.
Primero el Diagnóstico, que muestra lo que está expuesto. Después el plan, que sale de lo que el Diagnóstico encontró, nunca de una tabla. No hacemos seguimiento de un entorno que todavía no conocemos.
- Dos fases · desde 390 €
Diagnóstico. La Fase 1 es remota; la Fase 2 es presencial, o guiada por vídeo con quien está allí. Sale un informe semafórico con cinco acciones prioritarias y la asignación de fuente de evidencia a los quince dominios.
- Proyecto presupuestado
- Desde 109 €/mes
Miramos su caso real
Diagnóstico. La Fase 1 es remota; la Fase 2 es presencial, o guiada por vídeo con quien está allí. Sale un informe semafórico con cinco acciones prioritarias y la asignación de fuente de evidencia a los quince dominios.
Decimos qué falta y quién lo hace
Detectar está incluido. Corregir se presupuesta antes de empezar, y lo ejecuta quien opera los sistemas: ustedes, su proveedor informático, o Valluris como proyecto aparte.
Verificamos cada mes los controles que importan
Verificación mensual con prueba fechada, boletín con prioridades y sesión de decisión. No preguntamos qué ha cambiado: lo comparamos y lo sabemos.
La metodología Valluris organiza la verificación en 15 dominios, definidos por Valluris para pymes. No es una norma ni la lista de todo lo que existe en seguridad, y no sustituye a la ISO/IEC 27001 ni a las obligaciones legales que se apliquen.
Sin letra pequeña. Sin retórica.
Sin plazo mínimo de fidelización y sin letra pequeña al final del contrato.
72, 48 o 24 horas laborables, según el plan, hasta la primera interlocución cualificada. No hasta la resolución.
Una tarea fallada dos meses seguidos genera abono automático. Tres plazos incumplidos en doce meses y se va cuando quiera.
Es el importe a pagar. Sin coste de instalación y sin tasas adicionales. El trabajo de proyecto se presupuesta antes de empezar.
Quien hace el trabajo es siempre la misma persona, y el nombre está en el informe.
Nash Dalpin
Si está ausente más de quince días, puede suspender la cuota sin coste durante ese periodo. Está en el contrato.
No somos una plataforma. Somos una persona con nombre.
No hay cola de tickets, no hay chatbots, y no hay a quien repetirle el contexto al tercer mes.
No somos una plataforma con chatbots y tickets.
Hablamos con usted. Por teléfono, email, WhatsApp.
No somos su proveedor informático, y no venimos a sustituirlo.
Verificamos lo que él ha montado, y coordinamos con él lo que hay que corregir.
No vendemos software, ni pólizas, ni cobramos comisión de nadie.
Vendemos verificación con prueba fechada. Quien vende la herramienta no puede ser quien verifica si funciona.
Las alternativas reales.
- Por qué parece suficiente
- «Ya le pagamos a nuestro informático.»
- Dónde falla, estructuralmente
- Instala y mantiene. No se verifica a sí mismo, y es él quien tiene las cuentas de administrador: las que tienen más poder y menos supervisión.
- Nuestra respuesta
- «No venimos a sustituir a nadie. Venimos a verificar lo que ya está montado, y hay cosas que quien monta no puede verificar sobre sí mismo.»
- Por qué parece suficiente
- Es el servicio «de verdad».
- Dónde falla, estructuralmente
- Escala y precio de otra dimensión: cuesta varias veces la cuota y responde a un problema que su empresa todavía no tiene.
- Nuestra respuesta
- «Eso es excelente y es para otra dimensión de presupuesto. Cuando lleguen ahí, les derivamos.»
- Por qué parece suficiente
- Tiene protección, tiene copias, tiene gestor de contraseñas.
- Dónde falla, estructuralmente
- Vende licencias. Tener la licencia no es lo mismo que tenerlo instalado, y esa diferencia es la que aparece el día malo.
- Nuestra respuesta
- «Esa consola dice cuántos equipos están protegidos. Nosotros lo comparamos con cuántos existen.»
- Por qué parece suficiente
- Ya viene pagada.
- Dónde falla, estructuralmente
- Hace escaneo y boletines. No compara mes a mes, no ve cuentas ni privilegios dentro del entorno, y la prueba que produce no es prueba independiente ante la propia aseguradora.
- Nuestra respuesta
- «Donde haya solapamiento, entramos en la plataforma de la póliza y leemos el resultado. No debe pagar dos veces por la misma verificación.»
- Por qué parece suficiente
- Da un panel en verde.
- Dónde falla, estructuralmente
- Recoge lo que los sistemas declaran. Nadie decide, nadie firma, nadie acepta la corrección contra un criterio escrito.
- Nuestra respuesta
- «Un panel dice «segundo factor: sí». Nosotros decimos en qué cuentas, desde cuándo, con qué excepciones, y si sigue así este mes.»
- Por qué parece suficiente
- Nunca ha pasado nada.
- Dónde falla, estructuralmente
- Una auditoría es una fotografía. La validez de cualquier prueba de seguridad es de meses, no de años.
- Nuestra respuesta
- «Una auditoría dice cómo estaba aquel día. Si se lo preguntan hoy, ¿qué responde?»
| Alternativa | Por qué parece suficiente | Dónde falla, estructuralmente | Nuestra respuesta |
|---|---|---|---|
| El proveedor informático actual | «Ya le pagamos a nuestro informático.» | Instala y mantiene. No se verifica a sí mismo, y es él quien tiene las cuentas de administrador: las que tienen más poder y menos supervisión. | «No venimos a sustituir a nadie. Venimos a verificar lo que ya está montado, y hay cosas que quien monta no puede verificar sobre sí mismo.» |
| vCISO, gran consultora o SOC gestionado | Es el servicio «de verdad». | Escala y precio de otra dimensión: cuesta varias veces la cuota y responde a un problema que su empresa todavía no tiene. | «Eso es excelente y es para otra dimensión de presupuesto. Cuando lleguen ahí, les derivamos.» |
| Paquete de tecnología por puesto | Tiene protección, tiene copias, tiene gestor de contraseñas. | Vende licencias. Tener la licencia no es lo mismo que tenerlo instalado, y esa diferencia es la que aparece el día malo. | «Esa consola dice cuántos equipos están protegidos. Nosotros lo comparamos con cuántos existen.» |
| La plataforma incluida en la póliza | Ya viene pagada. | Hace escaneo y boletines. No compara mes a mes, no ve cuentas ni privilegios dentro del entorno, y la prueba que produce no es prueba independiente ante la propia aseguradora. | «Donde haya solapamiento, entramos en la plataforma de la póliza y leemos el resultado. No debe pagar dos veces por la misma verificación.» |
| Software de cumplimiento automatizado | Da un panel en verde. | Recoge lo que los sistemas declaran. Nadie decide, nadie firma, nadie acepta la corrección contra un criterio escrito. | «Un panel dice «segundo factor: sí». Nosotros decimos en qué cuentas, desde cuándo, con qué excepciones, y si sigue así este mes.» |
| No hacer nada, o una auditoría de vez en cuando | Nunca ha pasado nada. | Una auditoría es una fotografía. La validez de cualquier prueba de seguridad es de meses, no de años. | «Una auditoría dice cómo estaba aquel día. Si se lo preguntan hoy, ¿qué responde?» |
Cada línea describe lo que la alternativa hace bien y lo que, estructuralmente, no puede hacer. No es una crítica a ningún proveedor concreto.
Tres personas en la empresa. Lo que cada una obtiene.
Para quien firma
Al final de cada mes sabe exactamente qué ha cambiado y qué falta. En una hoja.
Para la informática
No venimos a hacer su trabajo ni a decir que está mal hecho. Venimos a confirmar por escrito lo que ya sabe, para que deje de ser una opinión.
Para quien responde a clientes y aseguradoras
Cuando el cliente, el auditor o la aseguradora pregunten, ya tendrá la respuesta con fecha.
Tres funciones. No tres niveles.
Ver lo que está expuesto, validar que funciona, supervisar el riesgo. El plan sale de lo que el Diagnóstico encontró.
Insight
- 4 de los 15 dominios de la metodología Valluris, uno parcial
- Exposición en Internet verificada cada mes
- Boletín mensual con prioridades, tres puntos como máximo
- Declaración de Seguimiento, una al año
- Primera respuesta en 72 horas hábiles
- × No sirve como prueba para el seguro
- × La comparación de cuentas se hace con la lista que ustedes nos envían
- × Sin accesos y sin visitas
Essential
- Los 15 dominios de la metodología Valluris, con prueba fechada
- Comparación mensual de cuentas: quién entró, quién salió, quién pasó a administrador
- Restauración probada y cronometrada — el tiempo real de reposición queda por escrito
- Estado de Seguridad mensual y sesión de decisión de quince minutos
- Aceptación independiente de la corrección, contra criterio escrito
- × Exige a alguien al otro lado
- × Verifica y acompaña; los cambios se hacen aparte
- × Las visitas dependen de que haya circuito activo
Executive
- Todo lo que hace Essential, con mayor profundidad
- Gobernanza, proveedores críticos y riesgo de la cadena
- Plan de respuesta probado en un ejercicio de mesa, con acta y tiempos medidos
- Revisión anual de los registros RGPD — decimos hasta cuándo vale cada prueba
- Primera respuesta en 24 horas hábiles
- × Varias sedes o entidades se presupuestan caso a caso
- × Revisión de alcance antes de proponer
- × La supervisión por los órganos de dirección no se delega
Atención en días laborables, de 10:00 a 19:00 (España peninsular). Franquicia de triaje no acumulable. Baja con 30 días de preaviso. Diagnóstico previo obligatorio, presupuestado aparte. Es el importe a pagar, sin coste de instalación y sin tasas adicionales. A los importes indicados se añaden impuestos solo cuando legalmente correspondan, al tipo vigente en la fecha de la factura.
Respuestas directas.
Las preguntas que oímos cada semana. Sin rodeos.
En tres líneas, antes de irse.
No somos un centro de operaciones: no hay vigilancia permanente ni turno de noche. No administramos sistemas ni sustituimos a su proveedor de informática. Y no garantizamos la ausencia de incidentes — verificamos lo que está dentro de nuestro alcance y documentamos el estado observado.
Ver los límitesEl Diagnóstico es siempre el primer paso.
No hacemos seguimiento de un entorno que todavía no conocemos, y un plan recomendado sin diagnóstico es una suposición con precio. Dos fases, desde 390 €, con informe en cada una.
De las Notas.
Inventario de activos TI en pymes: crear y mantener
Cómo crear un inventario de activos TI en tu pyme, qué registrar en cada activo y cómo mantenerlo al día. Con el marco legal de Portugal y España.
Detección y Respuesta a Ciberataques en Pymes
¿Cuánto tarda su pyme en darse cuenta de que ha sido atacada? Descubra cómo reducir el tiempo de detección y respuesta y cumplir la NIS2.
Inventario de activos de TI: cómo crearlo y mantenerlo
Guía práctica para pymes en España y Portugal: qué incluir en un inventario de activos de TI, cómo crearlo en 5 pasos y mantenerlo ante NIS2.