Antes de hacer seguimiento, hay que conocer lo que hay
Sabrá, con prueba y por escrito, qué está controlado en la ciberseguridad de su empresa, qué no lo está y las cinco cosas que hay que hacer primero. Es la puerta de entrada, y es siempre el primer paso.
La metodología Valluris organiza la verificación en 15 dominios, definidos por Valluris para pymes. No es una norma ni la lista de todo lo que existe en seguridad, y no sustituye a la ISO/IEC 27001 ni a las obligaciones legales que se apliquen.
El importe «desde 390 €» es el punto de partida. Con más centros o más empresas en el grupo, el trabajo aumenta, y el importe final queda escrito en la propuesta antes de empezar.
- No se paga nada antes de la entrega de la primera parte
- Se paga después de cada entrega, la mitad en cada fase
- Cuenta como implantación de un plan contratado en los 90 días siguientes
- Acuerdo de confidencialidad y de tratamiento de datos firmado antes de empezar
No hacemos seguimiento de un entorno que todavía no conocemos.
No es una técnica de venta: es la cláusula del contrato. Un plan recomendado sin diagnóstico es una suposición con precio, y la mitad de las verificaciones de una cuota no se ejecutan sin saber de dónde viene la evidencia de cada dominio.
Dos fases, y se paga después de cada entrega.
Nada se debe antes de la entrega de la primera parte. Cada informe se entrega en un máximo de dos días laborables desde el final de la recogida correspondiente.
Evaluación remota
Exposición externa y credenciales, correo, accesos y copias. Y la asignación de fuente de evidencia a cada uno de los quince dominios: de dónde viene, quién la produce, con qué frecuencia y a qué nivel de acceso.
Análisis in situ o por vídeo
Mínimo de tres horas, en fecha acordada. Donde no hay circuito activo, se hace por inspección guiada por vídeo con quien está allí: las mismas horas, la misma cobertura, la misma prueba. Presencial o por vídeo, el precio es el mismo.
Treinta y un controles, cada uno con su prueba.
En la Fase 1 se verifican solo los activos que indiquen por escrito, consultando fuentes públicas y leyendo metadatos. Nada intrusivo: no hacemos tests de intrusión, que exigen autorización escrita.
Qué verifica la Fase 1
- La autenticación del correo: SPF, DKIM, DMARC, MTA-STS y TLS-RPT
- El certificado y las cabeceras del sitio, el DNSSEC y el registro del dominio
- Subdominios, servicios y acceso remoto expuestos, y dominios parecidos al suyo
- Credenciales expuestas en fugas públicas y en registros de robo de credenciales
- Secretos expuestos en repositorios de código y almacenamiento público abierto — siempre por dominio, de forma pasiva
Las credenciales expuestas entran en el informe en cifras. Los nombres van en una hoja aparte, entregada solo a la dirección, con el aviso de que no sirven para fines disciplinarios, y borrada a los 12 meses. Nunca se muestra ni se guarda el valor de una contraseña, clave o secreto.
31 controles en 7 áreas, cada uno con su referencia CIS o NIST. La gravedad es impacto × exposición observada, y el conjunto cae en una de cuatro bandas. Sin evidencia, un control cuenta como no verificado.
Seis pasos, y siempre saben en cuál están.
Solicitud
Por el formulario, por email o por WhatsApp.
Llamada
Respondemos en 24 horas laborables para concertar una llamada breve con quien hace el trabajo.
Propuesta por escrito
Precio y alcance por escrito, antes de empezar, con el acuerdo de confidencialidad y de tratamiento de datos. La propuesta es válida 30 días.
Fase 1 · remota
Exposición externa, credenciales, correo, accesos y copias. Informe en un máximo de dos días laborables tras la recogida; se paga la mitad.
Fase 2 · in situ o por vídeo
Mínimo de tres horas, en fecha acordada. Informe final con cinco acciones prioritarias en un máximo de dos días laborables; se paga la otra mitad.
Decisión
Con el informe en la mano, y sin prisa. Si contratan un plan en los 90 días siguientes, el Diagnóstico cuenta como implantación.
El documento es el producto.
La intervención técnica es el medio. Lo que queda es lo que se puede enseñar a un cliente, a un auditor o a una aseguradora: el levantamiento de sistemas, accesos, copias, correo y exposición externa, y la fuente de evidencia de cada uno de los quince dominios de la metodología Valluris.
- 2 fases
- 5 acciones prioritarias
- Se paga después de cada entrega
Informe semafórico con cinco acciones prioritarias
Qué está controlado, qué no lo está, y qué no ha sido posible verificar, con la causa nombrada y con el nombre de quien sí puede.
Matriz de Fuentes
Para cada uno de los quince dominios: de dónde viene la evidencia, quién la produce, con qué frecuencia y a qué nivel de acceso. Es lo que hace ejecutable el seguimiento.
Entre tres y siete próximos pasos
Con nombre y presupuesto. Ninguno es obligatorio, y ninguno es condición de nada.
De cualquiera de los tres planes contratado en los 90 días siguientes a la entrega del informe final. No hay coste de instalación que sumar después.
Nunca una contraseña.
Verificamos la prueba que producen sus sistemas; no los tocamos. Solo hay tres formas de acceso, y cuál se usa se acuerda por escrito antes de empezar.
Trabajamos con lo que es público, o con lo que su equipo nos envía.
Una cuenta a nombre de Valluris que solo puede ver, nunca modificar. Queda en su registro y pueden desactivarla cuando quieran.
Quien conduce es su equipo, en su cuenta. Nosotros vemos, anotamos y orientamos — no ejecutamos nada.
Lo que el Diagnóstico no es.
- No es test de intrusión.
- No es auditoría de certificación.
- No es asesoramiento jurídico.
- No incluye la ejecución de correcciones: esas se presupuestan antes de empezar.
- No determina la asegurabilidad de la empresa, ni garantiza aceptación ni cobertura de ninguna póliza.
Lo que suele frenar la decisión.
Si está todo bien, lo sabrán.
Y si no lo está, querrán saberlo hoy y no dentro de un año.
Diagnóstico desde 390 €, en dos fases, con informe en cada una. Nada se debe antes de la entrega de la primera parte. El precio se acuerda por escrito antes de empezar, y la propuesta es válida 30 días. A los importes indicados se añaden impuestos solo cuando legalmente correspondan, al tipo vigente en la fecha de la factura.
Dos herramientas, sin pedir identificación, sin compromiso.
Ninguna de las dos es verificación: trabajan con lo que ustedes declaran. La verificación empieza en el Diagnóstico.
Autoevaluación
Devuelve el panorama de lo que han respondido, y nombra lo que ha quedado sin saber. Sin pedir identificación para ver el resultado.
Responder a las diez preguntasCalculadora del coste de un incidente
Pone un número a un día parado, con los números de su empresa. Es una estimación suya, no una previsión nuestra.
Calcular con los números de mi empresa