Lo que no hacemos, escrito antes de que pregunten
Descubrir esto durante un incidente es el peor momento posible. Por eso está aquí, en una página propia, en lenguaje sencillo y no jurídico.
No lo hacemos todo. El objetivo es que nada importante se quede sin dueño.
La cuota verifica. Los cambios se hacen aparte.
La cuota verifica y acompaña: le dice qué está bien, qué está mal y qué hacer. Hacer los cambios es un trabajo aparte, con presupuesto aprobado antes de empezar — eso es lo que mantiene el precio mensual previsible.
No venimos a sustituir a nadie. Venimos a verificar lo que ya está montado, y hay cosas que quien monta no puede verificar sobre sí mismo.
Descubrir que su correo puede ser falsificado por terceros, explicar qué significa en la práctica y hacer seguimiento hasta que esté resuelto.
Hacer el cambio. Toca la forma en que se entrega su correo, así que se hace con cuidado y con prueba — como trabajo aparte, con presupuesto aprobado antes de empezar. Puede hacerlo Valluris, su proveedor de informática, o ustedes.
Ver los proyectos y preciosOnce cosas que no somos
Para que nadie espere de nosotros algo que no ha contratado.
- Aseguradora
- Correduría de seguros
- Centro de operaciones (SOC)
- MDR o XDR
- Proveedor de informática
- Helpdesk
- Administrador de sistemas
- Vigilancia humana 24/7
- Entidad certificadora
- Asesoría jurídica
- Empresa de respuesta a incidentes
No hay vigilancia humana permanente y no hay turno de noche. La vigilancia de disponibilidad detecta que un servicio se ha caído o que un certificado va a caducar. No detecta intrusión, exfiltración ni fraude. Y no garantizamos la ausencia de incidentes: verificamos lo que está dentro de nuestro alcance y documentamos el estado observado.
Siete capacidades que la empresa necesita tener, y que no son nuestras
Aparecen siempre como fuera de nuestro alcance en el Mapa de Responsabilidades — porque un mapa que solo mostrara nuestro alcance sería un catálogo, no un mapa.
- Detección y respuesta en el equipo — investigar alertas, aislar máquinas. Verificamos que la protección existe y cuál es la cobertura; no operamos la consola
- Quién suele encargarse: Tercero especializado, o servicio gestionado del fabricante
- Firewall, segmentación y acceso remoto
- Quién suele encargarse: Proveedor de informática
- Vigilancia permanente y detección de intrusión
- Quién suele encargarse: Tercero especializado — centro de operaciones
| Capacidad | Quién suele encargarse |
|---|---|
| Detección y respuesta en el equipo — investigar alertas, aislar máquinas. Verificamos que la protección existe y cuál es la cobertura; no operamos la consola | Tercero especializado, o servicio gestionado del fabricante |
| Firewall, segmentación y acceso remoto | Proveedor de informática |
| Vigilancia permanente y detección de intrusión | Tercero especializado — centro de operaciones |
| Respuesta prolongada, forense y recuperación. Incluido está el triaje y la orientación inicial dentro de la franquicia | Póliza de ciberseguro, o tercero especializado |
| Notificación a autoridades e interesados. Decimos que hay datos personales implicados y cuál es el plazo; quien decide y firma es la empresa | La empresa, con apoyo jurídico |
| Ciberseguro. No somos aseguradora ni correduría, y nunca firmamos la declaración de suscripción | Aseguradora y correduría |
| Supervisión por los órganos de dirección — aprobar las medidas y hacerles seguimiento | La dirección. No se delega en Valluris |
Y queda escrito en el contrato
- Verificación mensual de los controles que importan
- Prueba fechada y archivada
- Aceptación independiente de la corrección, contra criterio escrito antes de que empiece quien ejecuta
- Alerta filtrada, no reenviada
- Un interlocutor con nombre
- Remedio escrito cuando fallemos
Y se dice antes de que pregunten
- Ausencia de incidentes
- Vigilancia permanente o nocturna
- Detección de intrusión, exfiltración o fraude
- Ejecución de correcciones dentro de la cuota
- Aceptación, renovación o prima de ninguna póliza
- Cumplimiento legal garantizado
- Certificación
Quién no es cliente
Si se reconoce en alguno de estos casos, probablemente no somos la opción adecuada, y preferimos decirlo antes de contratar.
La cuota no incluye correcciones: eso se hace como proyecto aparte, o con su proveedor de informática.
No lo hacemos. Le decimos quién lo hace.
Insight acompaña 4 de los 15 dominios, uno de ellos parcialmente: no basta como prueba para el seguro.
La metodología Valluris organiza la verificación en 15 dominios, definidos por Valluris para pymes. No es una norma ni la lista de todo lo que existe en seguridad, y no sustituye a la ISO/IEC 27001 ni a las obligaciones legales que se apliquen.
Sin esa lista, la mitad de los dominios no se puede verificar: pagaría Essential para recibir la mitad. En ese caso proponemos Insight.
Nunca. La declaración es de la empresa y la firma la empresa.
Quizá no necesite una cuota.
Elige por precio: No competimos en precio, ni lo bajamos para ganar un cliente.
Los dominios de la metodología Valluris se han diseñado para reducir la exposición al riesgo y para acompañar temas que se evalúan con frecuencia en los procesos de suscripción de ciberseguro. Las aseguradoras pueden exigir controles adicionales o distintos, según la póliza, el sector, la dimensión, la facturación y el perfil de riesgo.
Valluris ayuda a reunir y organizar evidencia. No determina la asegurabilidad del cliente y no garantiza aceptación, renovación, condiciones ni cobertura de ninguna póliza.
- Valluris nunca firma la declaración de suscripción
- Valluris nunca rellena el cuestionario del cliente — aportamos la evidencia de cada respuesta que podemos sostener; quien declara, asume
- La prueba producida por la plataforma de la propia aseguradora no es prueba independiente ante esa aseguradora
Cuando no somos el proveedor adecuado, lo decimos y derivamos
Vigilancia 24 horas. Correcciones dentro de la cuota. Una empresa sin nadie que pueda exportar una lista. En esos casos nombramos lo que la empresa necesita de verdad y decimos quién se lo hace.
Si nada de esto le ha echado atrás, probablemente es cliente.
Tres planes, con el precio publicado. El plan sale del Diagnóstico, no de una tabla.