VALLURIS
Ciberseguridad para pymes en España y Portugal

Tres planes, y el precio está publicado

Tener antivirus, copias y Microsoft 365 no es lo mismo que saber que funcionan. Lo que añade un plan es alguien que confirme, cada mes, que eso sigue funcionando — con prueba fechada.

No mantenemos una lista. Mantenemos el estado de la seguridad.

Pedir diagnóstico Comparar los planes

¿Aún no sabe cuál encaja? Empiece por las 10 preguntas de la autoevaluación.

Ver lo que está expuesto

Insight

Sepa cuándo algo cambia

109 €/mes
Anual: 1.090 € — dos meses sin coste
Cobertura
4 de 15 dominios, uno parcial
Horas/año
14,0 h/año
Visitas
sin visitas
1.ª respuesta
Primera respuesta en 72 h hábiles

Para quien todavía no tiene a nadie pidiéndole pruebas, y no tiene quien pueda exportar una lista.

Composición completa
Lo que se ve cada mes
  • Exposición en Internet: credenciales filtradas en fugas públicas — las nuevas del mes, servicios y direcciones públicas que responden, certificados a punto de caducar
  • Seguridad del correo, en parte: autenticación del dominio verificada desde fuera
  • Cuentas y accesos, mediante la exportación que ustedes nos envían
  • Vigilancia de disponibilidad: el aviso automático les llega a ustedes, y nosotros revisamos el mes
Lo que queda por escrito
  • Boletín mensual con prioridades, tres puntos como máximo
  • Consejo para el equipo — un correo breve, para reenviar sin explicaciones
  • Informe de seguimiento trimestral, breve
  • Declaración de Seguimiento, una al año
Cuando pasa algo
  • Triaje y orientación inicial: qué está ocurriendo, qué pueden hacer ya, y la recomendación escrita de escalado
  • Franquicia de 30 minutos al mes, no acumulable
Dónde para este plan
  • No sirve como prueba para el seguro. Acompaña cuatro de los quince dominios, y uno de ellos parcialmente. Lo decimos de frente, y no lo vendemos como tal.
  • La comparación de cuentas va por exportación suya. Es prueba válida, pero más débil: quien la produce es quien está siendo verificado.
  • Sin accesos y sin visitas. Es visibilidad para quien todavía no necesita demostrar nada a nadie. Sirve en cualquier punto de la Península.
Pedir diagnóstico
El producto
Validar que funciona

Essential

Sepa si los controles siguen funcionando

269 €/mes
Anual: 3.228 € — servicio adicional y precio cerrado durante 24 meses
Cobertura
15 de 15 dominios con prueba fechada
Horas/año
66 h/año
Visitas
2 visitas al año
1.ª respuesta
Primera respuesta en 48 h hábiles

Para quien tiene informática — interna o proveedor — y alguien al otro lado que pueda exportar una lista.

Composición completa
Los quince dominios, con prueba fechada
  • Identidad y autenticación · cuentas y accesos · protección de los equipos · vulnerabilidades y fin de soporte
  • Exposición en Internet · seguridad del correo · configuración segura y cifrado · copias de seguridad
  • Protección de las copias · recuperación probada a distancia · concienciación y simulación semestral
  • Registro y visibilidad · control de fraude financiero · respuesta y continuidad documentada · proveedores críticos
No preguntamos. Comparamos
  • Comparación mensual de cuentas: quién ha entrado, quién ha salido, quién ha pasado a administrador, qué cuentas se han quedado paradas
  • Equipos que existen frente a equipos protegidos — tener la licencia no es lo mismo que tenerlo instalado
  • Lo que la consola de copias dice que se ha ejecutado frente a lo que se esperaba. La ausencia de informe también es un hallazgo
  • Restauración de verdad, comparada con el original y cronometrada. El número que queda escrito es el tiempo real de reposición
Lo que queda por escrito
  • Estado de Seguridad mensual — los quince dominios, el estado de cada uno y la fecha de la última prueba
  • Sesión mensual de decisión, quince minutos: no venimos a preguntar qué ha cambiado, venimos a decir qué ha cambiado
  • Informe de seguimiento trimestral completo, con el mapa de validez de sus pruebas
  • Declaración de Seguimiento, dos al año · respuesta asistida a cuestionario, una al año
  • Mapa de Responsabilidades anual: treinta capacidades y, para cada una, quién la ejecuta y quién la verifica
  • Inventario, registro de incidentes y procedimiento de salida — de los primeros que pide un auditor
Cuando un hallazgo se cierra
  • Aceptación independiente contra criterio escrito antes de que empiece quien ejecuta
  • Evidencia fechada, no la palabra de quien ejecutó
  • Coordinación con su proveedor de informática — trabajamos con él, no contra él. La ejecución es suya, o es proyecto presupuestado aparte
Dónde para este plan
  • Exige a alguien al otro lado. Sin quien pueda exportar una lista, la mitad de las verificaciones no se ejecuta. En ese caso lo decimos y proponemos Insight.
  • Mantiene. No implementa. Detectar que el DMARC está en p=none está incluido. Cambiarlo toca la entrega de su correo, es trabajo con ventana, prueba y reversión, y se presupuesta.
  • Las visitas dependen de que haya circuito activo. Fuera de él el servicio es el mismo — mismas horas, mismos 15 de 15, misma prueba — entregado íntegramente a distancia.
Pedir diagnóstico
Supervisar el riesgo

Executive

Mantenga el riesgo bajo control

desde 429 €/mes
Anual: 5.148 € — servicio adicional y precio cerrado durante 24 meses
Cobertura
15 de 15 con mayor profundidad
Horas/año
102 h/año
Visitas
4 visitas al año
1.ª respuesta
Primera respuesta en 24 h hábiles

Para quien tiene obligación regulatoria, varias sedes o entidades legales, o un cliente grande que audita.

Composición completa
Todo lo que hace Essential, y además:
  • Primera respuesta en 24 horas hábiles · 4 visitas al año, de dos horas, con Acta de Inspección
  • Declaración de Seguimiento, tres al año · respuesta asistida a cuestionario, dos al año
  • Concienciación y simulación trimestral, en vez de semestral — con dos o más al año se ve la curva, no la foto
Gobernanza y responsabilidad
  • Mapa de Responsabilidades con las líneas sin dueño llevadas a la dirección — y quedan firmadas
  • Configuración segura y cifrado en profundidad completa, no ligera
  • Recuperación probada in situ, no a distancia
Continuidad y proveedores
  • Plan de respuesta y continuidad probado con ejercicio de mesa una vez al año — la ley habla de plan probado, y escrito no es lo mismo que probado
  • Acta del ejercicio, con tiempos medidos, con la dirección, el proveedor y quien paga en la misma sala
  • Registro de proveedores críticos con revisión, no solo registro
Cumplimiento mantenido vivo
  • Registro de actividades revisado · matriz de encargados actualizada · política revisada
  • Seguimiento del plan NIS2 cuando sea aplicable — la NIS2 puede aplicarse; quien lo determina es la entidad
  • Las pruebas valen 12 meses. Esto es lo que las mantiene válidas
Dónde para este plan
  • Varias sedes o entidades se presupuestan caso a caso. El precio sube con sedes, entidades legales y alcance. Nunca con el número de personas.
  • Revisión de alcance antes de proponer. Más cuentas, más equipos y más líneas en las comparaciones mensuales consumen horas. La revisión confirma si el alcance sigue cabiendo en las horas del plan; lo que no quepa se presupuesta como módulo.
  • La supervisión por los órganos de dirección no se delega. Aprobar las medidas y hacerles seguimiento es de la dirección. Producimos lo que necesita para decidir; no decidimos por ella.
Pedir diagnóstico

Es el importe a pagar. Sin coste de instalación y sin tasas adicionales. Los mismos importes en España y en Portugal. Las visitas dependen de que su ubicación esté en un circuito activo; fuera de él el servicio es el mismo — mismas horas, misma cobertura, misma prueba — entregado a distancia. A los importes indicados se añaden impuestos solo cuando sean legalmente exigibles, al tipo vigente en la fecha de la factura.

Antes de elegir

Tres preguntas que deciden el plan.

No hay selector por tamaño: el plan sale de lo que necesita demostrar, y a quién.

  1. 1

    ¿Alguien le pide ya pruebas?

    Si nadie las pide, y nadie de su lado puede exportar una lista de cuentas, Insight muestra lo que está expuesto — y dice con claridad lo que no cubre.

  2. 2

    ¿Hay quien lleve la informática y pueda exportar una lista?

    Interna o proveedor: es lo que permite validar, cada mes, que los controles siguen funcionando. Es Essential.

  3. 3

    ¿Hay obligación regulatoria, varias sedes o entidades jurídicas, o un cliente grande que audita?

    Entonces hay que supervisar el riesgo — gobierno, proveedores, continuidad probada. Es Executive.

Ninguna de estas preguntas decide sola: el plan se confirma en el Diagnóstico.

Antes de cualquier plan

No acompañamos un entorno que todavía no conocemos.

El Diagnóstico es obligatorio, se presupuesta aparte, y su importe cuenta como instalación inicial de cualquiera de los tres planes. Publicado desde 390 €. El plan sale de lo que el Diagnóstico encontró — nunca de una tabla.

Pedir diagnóstico
Los tres planes

Tres funciones distintas, no tres niveles

Insight ve lo que está expuesto. Essential valida que los controles siguen funcionando. Executive supervisa el riesgo. El plan sale del Diagnóstico, no de una tabla.

Essential
269 € /mes
La función
Validar que funciona
Mensual
269 €
Anual
3.228 € — servicio adicional y precio cerrado 24 meses
Dominios de la metodología Valluris
15 de 15
Horas al año
66
Visitas
2/año · 1h30
Primera respuesta
48 h hábiles
Franquicia de triaje
1 h/mes
Boletín mensual y consejo para el equipo
Estado de Seguridad mensual
Sesión mensual de decisión
✓ 15 min
Informe de seguimiento
Trimestral, completo
Declaración de Seguimiento
2/año
Respuesta asistida a cuestionario
1/año
Aceptación independiente de la corrección
Mapa de Responsabilidades
Anual
Recuperación probada
A distancia
Concienciación y simulación
Semestral
Respuesta y continuidad
Documentado
Cumplimiento mantenido vivo

Es el importe a pagar. Sin coste de instalación y sin tasas adicionales. Los mismos importes en España y en Portugal. A los importes indicados se añaden impuestos solo cuando sean legalmente exigibles, al tipo vigente en la fecha de la factura.

La metodología

Los quince dominios, y lo que acompaña cada plan

Un dominio no es una tarea: contiene varias verificaciones, y las verificaciones evolucionan sin que el número cambie. Essential y Executive: 15 de 15 dominios de la metodología Valluris, con prueba fechada. Insight: 4 de 15, uno parcial.

  1. 01Identidad y autenticación
    Mensual · N1+N2
    insight
    essential
    executive
  2. 02Cuentas y accesos
    Mensual · N0/N1
    insight
    delegada
    essential
    executive
  3. 03Protección de los equipos
    Mensual · N0/N1
    insight
    essential
    executive
  4. 04Vulnerabilidades y fin de soporte
    Mensual · N1
    insight
    essential
    executive
  5. 05Exposición en Internet
    Mensual · N0
    insight
    essential
    executive
  6. 06Seguridad del correo
    Mensual · N0/N1
    insight
    parcial
    essential
    executive
  7. 07Configuración segura y cifrado
    Semestral · N1
    insight
    essential
    ligera
    executive
    completa
  8. 08Copias de seguridad
    Mensual · N0
    insight
    essential
    executive
  9. 09Protección de las copias
    Inicio + cada restauración · N2
    insight
    essential
    executive
  10. 10Recuperación probada
    Semestral · N2
    insight
    essential
    a distancia
    executive
    in situ
  11. 11Concienciación y simulación
    1/año · semestral · trimestral · N2
    insight
    1/año
    essential
    semestral
    executive
    trimestral
  12. 12Registro y visibilidad
    Trimestral · N1
    insight
    essential
    executive
  13. 13Control del fraude financiero
    Trimestral · N2
    insight
    essential
    executive
  14. 14Respuesta y continuidad
    Anual · N2
    insight
    essential
    documentado
    executive
    probado
  15. 15Proveedores críticos
    Anual + revisión · N2
    insight
    essential
    registro
    executive
    registro + revisión
Cómo se lee un estado

El visto no es un estado

Controlado

Existe, y hay prueba fechada producida por sus sistemas

Fuente, fecha, alcance

Implementado, prueba insuficiente

Existe, pero la evidencia es declarada o no es reproducible

Lo que falta para pasar a controlado

Parcial

Existe para parte del alcance

Qué parte queda fuera, con número

Ausente

No está implementado

Riesgo, responsable sugerido, plazo recomendado

No verificado

No ha sido posible obtener evidencia

La causa, nombrada: sin fuente, sin acceso, sin respuesta

Excepción aceptada

Conocida, documentada y firmada por la dirección

Motivo, fecha, plazo de revisión

Valluris certifica lo que ha verificado, no lo que presume.
La ausencia de evidencia se registra como ausencia de verificación, nunca como prueba de que el control existe.
Qué acceso pedimos

Nunca una contraseña

Verificamos pruebas producidas por sus sistemas; no operamos esos sistemas. Una tarea que no quepa en estos tres niveles no entra en la cuota.

N0

Sin acceso alguno. Fuentes públicas, o prueba que su consola nos remite

N1

Cuenta nominal de lectura. Ve miembros, segundo factor y registro de eventos. No descifra un elemento ni lee un mensaje. Aparece en su registro y pueden revocarla en cualquier momento

N2

Sesión acompañada. La conduce quien tiene la cuenta, en su propia consola. Nosotros leemos, anotamos y orientamos. No ejecutamos nada

La frontera

Lo que la cuota no es

No somos un centro de operaciones. No hay vigilancia humana permanente y no hay turno de noche. La vigilancia de disponibilidad detecta que un servicio se ha caído o que un certificado va a caducar — no detecta intrusión, exfiltración ni fraude.

La cuota mantiene. No implementa. Detectamos que el DMARC está en p=none; cambiarlo toca la entrega de su correo, es trabajo con ventana, prueba y reversión, y se presupuesta. Tampoco administramos sistemas, no damos soporte a usuarios, no vendemos software ni pólizas, no emitimos certificación ni dictamen jurídico, y no garantizamos la ausencia de incidentes.

Ver la página de los límites
Sobre el seguro

Los dominios de la metodología Valluris se han diseñado para reducir la exposición al riesgo y para acompañar temas que se evalúan con frecuencia en los procesos de suscripción de ciberseguro. Las aseguradoras pueden exigir controles adicionales o distintos, según la póliza, el sector, la dimensión, la facturación y el perfil de riesgo.

Valluris ayuda a reunir y organizar evidencia. No determina la asegurabilidad del cliente y no garantiza aceptación, renovación, condiciones ni cobertura de ninguna póliza.

Cuando fallamos nosotros

Si fallamos, el contrato dice lo que ocurre

Si una tarea no se ejecuta en un mes, queda marcada como atrasada y se ejecuta al mes siguiente, sin coste. Si la misma tarea falla dos meses seguidos, recibe un abono de una doceava parte de la cuota, automáticamente — no depende de reclamación.

Si fallamos tres plazos de respuesta en doce meses, se va cuando quiera, sin preaviso y sin penalización, con devolución de la parte no utilizada. Y si quien hace el trabajo está ausente más de quince días, suspende la cuota sin coste durante ese periodo. Baja ordinaria: 30 días de preaviso.

Preguntas

Lo que preguntan antes de decidir

El plan sale del Diagnóstico, no de una tabla.

Un plan recomendado sin diagnóstico es una corazonada con precio. Se empieza por lo pequeño: el Diagnóstico, publicado desde 390 €, cuyo importe cuenta como instalación inicial de cualquier plan.

Pedir diagnóstico