Servicios en detalle

Cómo lo hago

1. Primera reunión gratuita, si quiere en su empresa.
2. Inventario: equipos, cuentas, licencias, copias de seguridad y seguridad. Recibe un resumen breve.
3. Una oferta clara con cuota mensual fija por puesto de trabajo.
4. Configuro el acceso remoto y documento su IT.
5. Soporte continuo: me escribe por email, teléfono o WhatsApp y le respondo en 24 horas en días laborables.

Qué recibe

• Basis: soporte remoto para su equipo, gestión de Microsoft 365, control de actualizaciones y copias de seguridad, altas y bajas de empleados (cuentas, equipos, accesos).
• Plus: todo lo de Basis, más una visita en persona al mes y una revisión de seguridad cada trimestre.
• Pro: todo lo de Plus, más una formación sobre phishing al año y un informe de seguridad para la dirección.
• Una documentación actualizada de su IT.

Qué no hago

• No cambio nada importante sin su permiso.
• Sin costes ocultos: los trabajos extra, solo si los acordamos.

Qué necesito de usted

• Una persona de contacto en su empresa.
• Acceso a los sistemas que debo gestionar.

Cómo lo hago

1. Busco información pública: subdominios, tecnología que usa, datos en buscadores y contraseñas filtradas de su dominio.
2. Compruebo qué es realmente suyo. Si algo no está claro, le pregunto.
3. Reviso los servicios abiertos en sus servidores (con poca carga).
4. Reviso la configuración: certificados HTTPS, cabeceras de seguridad y protección del email (SPF, DKIM, DMARC).
5. Busco software desactualizado y archivos expuestos (por ejemplo, copias de seguridad).

Qué recibe

• Un informe breve (3–6 páginas) con los riesgos principales y medidas concretas.
• Mi recomendación sobre si merece la pena una prueba completa.

Qué no hago

• No exploto vulnerabilidades.
• No pruebo los inicios de sesión.
• Nada de escaneos agresivos.

Qué necesito de usted

• Su(s) dominio(s).
• Confirmación de qué servidores y servicios son suyos.

Cómo lo hago

1. Acordamos qué sistemas reviso.
2. Recojo la configuración con herramientas de auditoría probadas y la comparo con recomendaciones reconocidas (CIS Benchmarks).
3. Reviso los resultados a mano para que no lleguen falsas alarmas al informe.
4. Microsoft 365: por ejemplo, verificación en dos pasos para todos, número de administradores, reglas de reenvío, compartir hacia fuera.
5. Servidores y Active Directory: por ejemplo, reglas de contraseñas, cuentas de administrador, protocolos antiguos, actualizaciones.

Qué recibe

• Una lista de medidas ordenada por prioridad.
• Para cada medida: instrucciones para aplicarla y el riesgo si no hace nada.

Qué no hago

• No cambio configuraciones por mi cuenta. La aplicación se puede contratar aparte.

Qué necesito de usted

• Una cuenta con acceso de lectura (o una sesión acompañada).
• La lista de sistemas y quién los gestiona.

Cómo lo hago

1. Recorro toda la aplicación y hago un mapa: funciones, roles de usuario e interfaces.
2. Reviso el inicio de sesión: reglas de contraseñas, bloqueo tras intentos fallidos, recuperación de contraseña, verificación en dos pasos.
3. Reviso las sesiones: cookies, cierre de sesión, caducidad.
4. La parte más importante: compruebo si un usuario puede ver datos de otro o conseguir permisos de administrador.
5. Pruebo las entradas con ataques típicos como XSS e inyección SQL, también en la subida de archivos.
6. Reviso la lógica de negocio, por ejemplo si se pueden saltar pasos o cambiar precios.
7. Confirmo cada hallazgo una segunda vez y al final borro todos los datos de prueba.

Qué recibe

• Un informe completo: cada hallazgo con prueba, gravedad (CVSS) y solución concreta.
• Un plan de medidas: inmediato, en 30 días, en 90 días.
• Una reunión final en la que le explico todo.
• Si quiere, una repetición de la prueba (retest) a precio reducido.

Qué no hago

• Ninguna prueba que tumbe su aplicación (sin DoS).
• Ningún ataque a otros clientes de su proveedor de hosting.
• Nada de phishing sin encargo expreso.
• Ninguna prueba en producción en horas punta sin acordarlo.

Qué necesito de usted

• La(s) dirección(es) de la aplicación.
• Dos cuentas de prueba por rol (por ejemplo, 2 usuarios normales y 1 administrador).
• Si es posible, un entorno de pruebas (staging).

Cómo lo hago

1. Usted me dice qué puntos ha corregido y cuándo.
2. Repito exactamente la prueba del informe y una o dos variantes, para que no se haya corregido solo el síntoma.
3. Para cada punto anoto: solucionado, solucionado en parte o no solucionado.

Qué recibe

• Un informe actualizado con tabla de estado, como prueba para auditorías, aseguradoras o sus clientes.

Qué no hago

• No busco vulnerabilidades nuevas: eso sería una prueba nueva.

Qué necesito de usted

• El informe original y la lista de sus correcciones.

Cómo lo hago

1. Recuperación de datos: recibo el soporte con un acta de entrega (número de serie, foto, su firma).
2. Lo conecto solo en modo lectura y primero hago una copia completa. Ya no trabajo sobre el original.
3. Sobre la copia recupero particiones y archivos.
4. Borrado seguro: borro según el estándar NIST SP 800-88, con el método adecuado para disco duro, SSD, memoria USB o tarjeta SD.
5. Después compruebo que de verdad ya no se puede leer nada.

Qué recibe

• Recuperación: sus datos en un soporte nuevo y una lista de lo que se ha podido recuperar.
• Si no se puede recuperar nada, solo paga el diagnóstico.
• Borrado seguro: un certificado de borrado por soporte (modelo, número de serie, método, fecha, firma).

Qué no hago

• No abro equipos dañados. Si hay daño físico (ruidos, caída, agua), le recomiendo un laboratorio especializado.
• No miro el contenido de sus archivos: solo compruebo que se abren.

Qué necesito de usted

• El soporte y una descripción de qué datos son importantes.

Cómo lo hago

1. Hablamos del objetivo, las páginas, los textos, las imágenes y los idiomas.
2. Le hago una propuesta de diseño (una ronda de cambios incluida).
3. Construyo una web estática: sin base de datos y sin scripts innecesarios, así hay muy poco que atacar.
4. Preparo el aviso legal y la política de privacidad según la ley suiza. Sin cookies de seguimiento por defecto.
5. Publico la web con HTTPS y una configuración de seguridad estricta, también para los emails de su dominio.
6. Compruebo la web con pruebas independientes y le enseño los resultados.

Qué recibe

• Una web terminada y un informe con los resultados de las pruebas.
• Todos los accesos a su nombre: el dominio es suyo.
• Si quiere, mantenimiento: revisión mensual y cambios pequeños.

Qué no hago

• Ni tiendas online ni áreas de clientes (para eso hago una oferta aparte).

Qué necesito de usted

• Sus textos e imágenes (o los preparamos juntos).