Tres planes, y el precio está publicado
Tener antivirus, copias y Microsoft 365 no es lo mismo que saber que funcionan. Lo que añade un plan es alguien que confirme, cada mes, que eso sigue funcionando — con prueba fechada.
No mantenemos una lista. Mantenemos el estado de la seguridad.
Essential
Sepa si los controles siguen funcionando
- Cobertura
- los 15 dominios de la metodología Valluris, con prueba fechada
- Horas/año
- 66 h/año
- Visitas
- 2 visitas al año
- 1.ª respuesta
- Primera respuesta en 48 h hábiles
Para quien tiene informática — interna o proveedor — y alguien al otro lado que pueda exportar una lista.
- Los 15 dominios de la metodología Valluris, con prueba fechada
- Comparación mensual de cuentas: quién entró, quién salió, quién pasó a administrador
- Restauración probada y cronometrada — el tiempo real de reposición queda por escrito
- Estado de Seguridad mensual y sesión de decisión de quince minutos
- Aceptación independiente de la corrección, contra criterio escrito
Composición completa
- Identidad y autenticación · cuentas y accesos · protección de los equipos · vulnerabilidades y fin de soporte
- Exposición en Internet · seguridad del correo · configuración segura y cifrado · copias de seguridad
- Protección de las copias · recuperación probada a distancia · concienciación y simulación semestral
- Registro y visibilidad · control de fraude financiero · respuesta y continuidad documentada · proveedores críticos
- Comparación mensual de cuentas: quién ha entrado, quién ha salido, quién ha pasado a administrador, qué cuentas se han quedado paradas
- Equipos que existen frente a equipos protegidos — tener la licencia no es lo mismo que tenerlo instalado
- Lo que la consola de copias dice que se ha ejecutado frente a lo que se esperaba. La ausencia de informe también es un hallazgo
- Restauración de verdad, comparada con el original y cronometrada. El número que queda escrito es el tiempo real de reposición
- Estado de Seguridad mensual — los quince dominios, el estado de cada uno y la fecha de la última prueba
- Sesión mensual de decisión, quince minutos: no venimos a preguntar qué ha cambiado, venimos a decir qué ha cambiado
- Informe de seguimiento trimestral completo, con el mapa de validez de sus pruebas
- Declaración de Seguimiento, dos al año · respuesta asistida a cuestionario, una al año
- Mapa de Responsabilidades anual: treinta capacidades y, para cada una, quién la ejecuta y quién la verifica
- Inventario, registro de incidentes y procedimiento de salida — de los primeros que pide un auditor
- Aceptación independiente contra criterio escrito antes de que empiece quien ejecuta
- Evidencia fechada, no la palabra de quien ejecutó
- Coordinación con su proveedor de informática — trabajamos con él, no contra él. La ejecución es suya, o es proyecto presupuestado aparte
Dónde para este plan
- Exige a alguien al otro lado. Sin quien pueda exportar una lista, la mitad de las verificaciones no se ejecuta. En ese caso lo decimos y proponemos Insight.
- Verifica y acompaña; los cambios se hacen aparte. Si encontramos un fallo — por ejemplo, que su correo puede ser falsificado por terceros —, le decimos qué es, qué hacer, y hacemos seguimiento hasta que esté resuelto. El cambio en sí es un trabajo aparte, con presupuesto antes de empezar.
- Las visitas dependen de que haya circuito activo. Fuera de él el servicio es el mismo — mismas horas, los mismos dominios, misma prueba — entregado íntegramente a distancia.
La metodología Valluris organiza la verificación en 15 dominios, definidos por Valluris para pymes. No es una norma ni la lista de todo lo que existe en seguridad, y no sustituye a la ISO/IEC 27001 ni a las obligaciones legales que se apliquen.
Es el importe a pagar, sin coste de instalación ni tasas adicionales, y el mismo en España y en Portugal. El Diagnóstico, desde 390 €, va antes de cualquier plan. El Diagnóstico es la instalación: si contratan un plan en los 90 días siguientes al informe final, no hay nada más que pagar para empezar. Las visitas dependen de circuito activo; fuera de él, el mismo servicio se presta a distancia. A los importes indicados se añaden impuestos solo cuando legalmente correspondan, al tipo vigente en la fecha de la factura.
Tres preguntas que deciden el plan.
El plan no depende del número de personas: depende de lo que necesita demostrar, y a quién.
- 1
¿Alguien le pide ya pruebas?
- 2
¿Hay quien lleve la informática y pueda exportar una lista?
- 3
¿Hay obligación regulatoria, varias sedes o entidades jurídicas, o un cliente grande que audita?
Responda a las tres preguntas para ver la función que encaja. Ninguna decide por sí sola.
Ninguna de estas preguntas decide sola: el plan se confirma en el Diagnóstico.
Tres funciones distintas, no tres niveles
Insight ve lo que está expuesto. Essential valida que los controles siguen funcionando. Executive supervisa el riesgo. El plan sale del Diagnóstico, no de una tabla.
- La función
- Validar que funciona
- Mensual
- 269 €
- Anual
- 3.228 € — servicio adicional y precio cerrado 24 meses
- Dominios de la metodología Valluris
- los 15
- Horas al año
- 66
- Visitas
- 2/año · 1h30
- Primera respuesta
- 48 h hábiles
- Franquicia de triaje
- 1 h/mes
- Boletín mensual y consejo para el equipo
- Estado de Seguridad mensual
- Sesión mensual de decisión
- ✓ 15 min
- Informe de seguimiento
- Trimestral, completo
- Declaración de Seguimiento
- 2/año
- Respuesta asistida a cuestionario
- 1/año
- Aceptación independiente de la corrección
- Mapa de Responsabilidades
- Anual
- Recuperación probada
- A distancia
- Concienciación y simulación
- Semestral
- Respuesta y continuidad
- Documentado
- Revisión anual de los registros RGPD
| Lo que compara | Insight 109 € /mes | El plan de referencia Essential 269 € /mes | Executive desde 429 € /mes |
|---|---|---|---|
| La función | Ver lo que está expuesto | Validar que funciona | Supervisar el riesgo |
| Mensual | 109 € | 269 € | desde 429 € |
| Anual | 1.090 € — dos meses sin coste | 3.228 € — servicio adicional y precio cerrado 24 meses | 5.148 € — servicio adicional y precio cerrado 24 meses |
| Dominios de la metodología Valluris | 4 de los 15, uno parcial | los 15 | los mismos 15, con mayor profundidad |
| Horas al año | 14 | 66 | 102 |
| Visitas | 2/año · 1h30 | 4/año · 2h | |
| Primera respuesta | 72 h hábiles | 48 h hábiles | 24 h hábiles |
| Franquicia de triaje | 30 min/mes | 1 h/mes | 1 h/mes |
| Boletín mensual y consejo para el equipo | |||
| Estado de Seguridad mensual | |||
| Sesión mensual de decisión | ✓ 15 min | ✓ 15 min | |
| Informe de seguimiento | Trimestral, breve | Trimestral, completo | Trimestral, completo |
| Declaración de Seguimiento | 1/año | 2/año | 3/año |
| Respuesta asistida a cuestionario | 1/año | 2/año | |
| Aceptación independiente de la corrección | |||
| Mapa de Responsabilidades | Anual | Anual | |
| Recuperación probada | A distancia | In situ | |
| Concienciación y simulación | 1/año | Semestral | Trimestral |
| Respuesta y continuidad | Documentado | Probado, con acta | |
| Revisión anual de los registros RGPD |
Es el importe a pagar. Sin coste de instalación y sin tasas adicionales. Los mismos importes en España y en Portugal. A los importes indicados se añaden impuestos solo cuando legalmente correspondan, al tipo vigente en la fecha de la factura.
Si fallamos, el contrato dice lo que ocurre
Si no cumplimos, no paga; y si fallamos tres veces, se va cuando quiera.
Si una tarea no se ejecuta en un mes, queda marcada como atrasada y se ejecuta al mes siguiente, sin coste. Si la misma tarea falla dos meses seguidos, recibe un abono de una doceava parte de la cuota, automáticamente — no depende de reclamación.
Si fallamos tres plazos de respuesta en doce meses, se va cuando quiera, sin preaviso y sin penalización, con devolución de la parte no utilizada. Y si quien hace el trabajo está ausente más de quince días, suspende la cuota sin coste durante ese periodo. Baja ordinaria: 30 días de preaviso.
Un error nuestro en un informe se corrige en 5 días hábiles, con una nota de rectificación fechada anexa al informe original, que no se sustituye: el archivo de pruebas solo vale si muestra también los errores. No ofrecemos cláusulas penales — ofrecemos crédito de servicio y derecho de salida.
Lo que vale para los tres planes
Servicio
- Atención en días laborables, de 10:00 a 19:00 (España peninsular).
- Plazo de respuesta en horas hábiles, hasta la primera interlocución cualificada — no hasta la resolución.
- Franquicia de triaje no acumulable: no pasa de un mes al siguiente.
- Diagnóstico previo obligatorio, presupuestado aparte, antes de la activación.
- Essential y Executive no se activan sin la Matriz de Fuentes firmada.
- Con más de 100 personas, revisión de alcance antes de proponer. No cambia el precio por sí sola: confirma si las horas bastan.
- Visitas sujetas a que su ubicación esté en un circuito activo; fuera de él, el mismo servicio a distancia.
Contrato
- Mensual: baja en cualquier momento, con 30 días de preaviso.
- Anual: el beneficio del compromiso no se acumula con otro descuento. En baja anticipada se devuelve la parte no utilizada, a la cuota mensual normal.
- Tareas sobre sus sistemas solo al amparo del Anexo II del contrato — activos autorizados, cuentas concedidas e interlocutores. La cuenta de lectura es nominal y revocable en cualquier momento.
- La simulación de fraude se rige por una autorización propia, firmada antes de la primera campaña.
- Es el importe a pagar. Sin coste de instalación y sin tasas adicionales.
Los quince dominios, y lo que acompaña cada plan
Un dominio no es una tarea: contiene varias verificaciones, y las verificaciones evolucionan sin que el número cambie. Essential: los 15 dominios de la metodología Valluris, con prueba fechada. Executive: los mismos 15, con mayor profundidad. Insight: 4 de los 15, uno parcial.
Ver cómo verificamos: dominios, estados y accesos
- 01Identidad y autenticaciónMensual · Solo lectura + Acompañado
Segundo factor en el correo, los accesos remotos y los administradores. Gestor de contraseñas: miembros, cuentas inactivas, elementos compartidos, registro de eventos. La salud de las contraseñas la comprueba su administrador y nos envía solo las cifras — nunca vemos una contraseña suya
- insight
- essential
- executive
- 02Cuentas y accesosMensual · trimestral (terceros y cuentas de servicio) · Sin acceso / Solo lectura
Comparación mensual: altas, bajas, cambios de privilegio, cuentas inactivas. Accesos privilegiados de terceros — nominales, con segundo factor, y de personas que siguen trabajando con ustedes. Cuentas de servicio, claves y tokens, que no aparecen en las listas de usuarios y no caducan nunca
- insight
- por exportación
- essential
- executive
- 03Protección de los equiposMensual · Sin acceso / Solo lectura
Cuántos equipos existen frente a cuántos están protegidos. Tener la licencia no es lo mismo que tenerla instalada. Donde hay EDR, se verifica la cobertura — no se opera ni se investiga con él
- insight
- essential
- executive
- 04Vulnerabilidades y fin de soporteMensual · Solo lectura
Actualizaciones pendientes, vulnerabilidades con explotación confirmada, sistemas sin soporte. Comparado con el mes anterior. Sin fuente de datos, la ausencia de fuente es el hallazgo
- insight
- essential
- executive
| # | Dominio | Cadencia | Acceso | Insight | Essential | Executive |
|---|---|---|---|---|---|---|
| 01 | Identidad y autenticación Segundo factor en el correo, los accesos remotos y los administradores. Gestor de contraseñas: miembros, cuentas inactivas, elementos compartidos, registro de eventos. La salud de las contraseñas la comprueba su administrador y nos envía solo las cifras — nunca vemos una contraseña suya | Mensual | Solo lectura + Acompañado | |||
| 02 | Cuentas y accesos Comparación mensual: altas, bajas, cambios de privilegio, cuentas inactivas. Accesos privilegiados de terceros — nominales, con segundo factor, y de personas que siguen trabajando con ustedes. Cuentas de servicio, claves y tokens, que no aparecen en las listas de usuarios y no caducan nunca | Mensual · trimestral (terceros y cuentas de servicio) | Sin acceso / Solo lectura | por exportación | ||
| 03 | Protección de los equipos Cuántos equipos existen frente a cuántos están protegidos. Tener la licencia no es lo mismo que tenerla instalada. Donde hay EDR, se verifica la cobertura — no se opera ni se investiga con él | Mensual | Sin acceso / Solo lectura | |||
| 04 | Vulnerabilidades y fin de soporte Actualizaciones pendientes, vulnerabilidades con explotación confirmada, sistemas sin soporte. Comparado con el mes anterior. Sin fuente de datos, la ausencia de fuente es el hallazgo | Mensual | Solo lectura | |||
| 05 | Exposición en Internet Credenciales expuestas en fugas públicas — las nuevas del mes, no el acumulado, porque el acumulado nunca baja. Servicios y direcciones públicas que responden. Certificados a punto de caducar. Vigilancia de disponibilidad: el aviso automático les llega a ustedes y nosotros revisamos el mes — detecta que un servicio se ha caído, no que alguien ha entrado | Mensual | Sin acceso | |||
| 06 | Seguridad del correo Autenticación del dominio: SPF, DKIM y DMARC, con la política declarada, verificados desde fuera. Filtrado, cuarentena y marcado de los mensajes externos | Mensual | Sin acceso / Solo lectura | parcial | ||
| 07 | Configuración segura y cifrado Configuración de los servicios en uso, carpetas compartidas abiertas, cifrado de discos y de dispositivos móviles | Semestral | Solo lectura | ligera | completa | |
| 08 | Copias de seguridad Lo que la consola dice que se ha ejecutado frente a lo esperado: días cubiertos, trabajos fallidos, último punto válido, distancia al objetivo. La ausencia de informe también es un hallazgo | Mensual | Sin acceso | |||
| 09 | Protección de las copias ¿Puede alterar o borrar las copias quien entre en sus sistemas? Inmutabilidad o aislamiento — es distinto de verificar que se ejecutan | Inicio + cada restauración | Acompañado | |||
| 10 | Recuperación probada Restauración de verdad, comparación del archivo restaurado con el original, y cronómetro. La cifra que importa es el tiempo real de reposición | Semestral | Acompañado | a distancia | in situ | |
| 11 | Concienciación y simulación Simulación de fraude diseñada para su sector. Resultado agregado, nunca con fines disciplinarios — quien hace clic es víctima, no culpable, y así consta en el acuerdo firmado antes. Con dos o más al año se muestra la curva, no la foto | 1/año · semestral · trimestral | Acompañado | 1/año | semestral | trimestral |
| 12 | Registro y visibilidad Qué registros existen, durante cuánto tiempo, y si alguien puede consultarlos cuando haga falta | Trimestral | Solo lectura | |||
| 13 | Control del fraude financiero Circuito de cambio de datos bancarios y de aprobación de pagos. Es el vector con más siniestros en la pyme, y es organizativo antes que técnico | Trimestral | Acompañado | |||
| 14 | Respuesta y continuidad A quién contactar, en qué orden, qué hacer en los primeros minutos. Documentado en Essential; probado con un ejercicio de mesa en Executive — la ley habla de plan probado, y escrito no es lo mismo que probado | Anual | Acompañado | documentado | probado | |
| 15 | Proveedores críticos Registro de los proveedores, a qué accede cada uno, y qué está contratado con cada uno | Anual + revisión | Acompañado | registro | registro + revisión |
El visto no es un estado
Existe, y hay prueba fechada producida por sus sistemas
Fuente, fecha, alcance
Existe, pero la evidencia es declarada o no es reproducible
Lo que falta para pasar a controlado
Existe para parte del alcance
Qué parte queda fuera, con número
No está implementado
Riesgo, responsable sugerido, plazo recomendado
No ha sido posible obtener evidencia
La causa, nombrada — una de cinco: fuera del alcance contratado · acceso no concedido · corresponde a un tercero · sin fuente de evidencia · sin respuesta del proveedor
Conocida, documentada y firmada por la dirección
Motivo, fecha, plazo de revisión
Valluris registra lo que ha verificado, no lo que presume.
La ausencia de evidencia se registra como ausencia de verificación, nunca como prueba de que el control existe.
Nunca una contraseña
Verificamos pruebas producidas por sus sistemas; no operamos esos sistemas. Una tarea que no quepa en estos tres niveles no entra en la cuota.
Sin acceso alguno. Fuentes públicas, o prueba que su consola nos remite
Cuenta nominal de lectura. Ve miembros, segundo factor y registro de eventos. No descifra un elemento ni lee un mensaje. Aparece en su registro y pueden revocarla en cualquier momento
Sesión acompañada. La conduce quien tiene la cuenta, en su propia consola. Nosotros leemos, anotamos y orientamos. No ejecutamos nada
Lo que la cuota no es
No somos un centro de operaciones. No hay vigilancia humana permanente y no hay turno de noche. La vigilancia de disponibilidad detecta que un servicio se ha caído o que un certificado va a caducar — no detecta intrusión, exfiltración ni fraude.
La cuota verifica y acompaña; los cambios se hacen aparte. Si encontramos un fallo — por ejemplo, que su correo puede ser falsificado por terceros —, le decimos qué es y hacemos seguimiento hasta que esté resuelto; el cambio en sí tiene su propio presupuesto, aprobado antes de empezar. Tampoco administramos sistemas, no damos soporte a usuarios, no vendemos software ni pólizas, no emitimos certificación ni dictamen jurídico, y no garantizamos la ausencia de incidentes.
Los dominios de la metodología Valluris se han diseñado para reducir la exposición al riesgo y para acompañar temas que se evalúan con frecuencia en los procesos de suscripción de ciberseguro. Las aseguradoras pueden exigir controles adicionales o distintos, según la póliza, el sector, la dimensión, la facturación y el perfil de riesgo.
Valluris ayuda a reunir y organizar evidencia. No determina la asegurabilidad del cliente y no garantiza aceptación, renovación, condiciones ni cobertura de ninguna póliza.
Lo que preguntan antes de decidir
El plan sale del Diagnóstico, no de una tabla.
Un plan recomendado sin diagnóstico es una corazonada con precio. Se empieza por lo pequeño: el Diagnóstico, publicado desde 390 €. El Diagnóstico es la instalación: si contratan un plan en los 90 días siguientes al informe final, no hay nada más que pagar para empezar.
Pedir diagnóstico