Consultoría tecnológica

Auditoria it cumplimiento

Si tu empresa entra en el ámbito de NIS2 o trabaja para quien sí entra, te van a pedir evidencias de que vigilas y respondes. Te ayudamos a que esas evidencias salgan de la operación diaria y no de un documento escrito para la ocasión.

Ensayar un ransomware sobre la mesa cuesta una mañana; vivirlo sin ensayo puede costar semanas. Preparamos simulacros con dirección, sistemas y comunicación para que las decisiones difíciles no se tomen por primera vez en plena crisis.

La transformación digital no fracasa por la tecnología, fracasa por proyectos que nadie cierra. Proponemos una gobernanza ligera, con revisiones periódicas y criterios para parar lo que no aporta.

Pide una propuesta

Cuándo tiene sentido Auditoria it cumplimiento

Un aviso del banco o de una autoridad

Te notifican actividad sospechosa asociada a tu IP o tu dominio. Necesitas saber rápido si es real, qué equipo está implicado y cómo cortarlo.

Firewall heredado sin documentar

El firewall lo configuró alguien que ya no está. Tiene reglas que nadie se atreve a borrar y no sabéis cuáles siguen haciendo falta.

Credenciales y secretos en el código

Contraseñas de bases de datos y claves de servicios aparecen en repositorios y ficheros de configuración compartidos.

Dudas sobre volver a cambiar

Tras una transformación costosa, dirección no sabe si se obtuvieron los beneficios esperados y duda antes de aprobar la siguiente fase.

Un cliente exige una prueba de intrusión

Para cerrar un contrato o renovarlo, te piden el informe de un pentest reciente sobre la aplicación o la infraestructura que vas a usar con ellos.

Cómo lo hacemos

Mapa del flujo de publicación

Revisamos cómo llega el código a producción: repositorios, integración continua, imágenes y despliegue.

Controles automáticos

Añadimos análisis de dependencias, de secretos y de código en los puntos del flujo donde menos estorban.

Criterios de bloqueo

Acordamos con el equipo qué hallazgos detienen una publicación y cuáles generan solo una tarea.

Revisión y ajuste

Revisamos los falsos positivos y el tiempo añadido al flujo, y ajustamos para que el equipo no desactive los controles.

¿Hablamos de tu caso?

Te enviamos una propuesta por fases para que empieces por lo que más riesgo reduce y avances a tu ritmo.

Pide tu propuesta

Qué te llevas al terminar

Definición de indicadores para cuadros de mando: fórmula, fuente de datos, frecuencia y responsable.
Informe de due diligence tecnológica con riesgos, dependencias y estimación de inversión pendiente.
Análisis de código, dependencias y secretos integrado en el flujo de publicación, con criterios de bloqueo acordados.
Revisión de reglas del firewall: las que sobran, las demasiado abiertas y las que necesitan justificación.
Plantilla de relevo de guardia con incidentes abiertos, acciones intentadas y decisiones pendientes.
Playbook de cuenta de Microsoft 365 comprometida: contención, revisión de reglas y consentimientos, y vuelta a la normalidad.
Análisis de brecha frente a las medidas de gestión de riesgos de NIS2, con lo cubierto, lo parcial y lo pendiente.

Por sectores

Clínicas (gestión administrativa): Agenda y citas como servicio crítico, sin tratar datos clínicos. Runbooks para recuperar la agenda y mensajes preparados para avisar a los pacientes de retrasos.
Clínicas y centros privados (gestión administrativa): Trabajamos sobre los sistemas administrativos, la agenda y el correo, sin tratar datos clínicos. El foco es que una cuenta comprometida no sirva para suplantar al centro ante pacientes.
Hostelería: Redes compartidas entre clientes, terminales de cobro y equipos de gestión. Separamos lo que no debe verse entre sí y vigilamos los equipos que tocan pagos y reservas.
Entidades sin ánimo de lucro: Pocas personas técnicas, a menudo voluntarias. Documentamos lo esencial para que la operación no dependa de una sola persona.

Automatizado de principio a fin

Lo que montamos queda documentado y se puede repetir, no depende de una persona.

forgenex

$ desplegar tuempresa

✓Versión de la aplicación verificada

✓Base de datos creada

✓Aplicación arrancada y sana

✓Primer administrador creado

✓Dominio configurado

✓Certificado TLS emitido

Listo: https://tuempresa.forgenex.com

Preguntas que deberías hacer a cualquier proveedor

Que antes de asumir un servicio pase una lista de aceptación y te diga qué falta.
Que la salida sea fácil: que al terminar el contrato te quedes con la documentación, las reglas y los accesos.
Que acepte trabajar con tu proveedor actual y reparta responsabilidades por escrito.
Que documente para que la operación no dependa de nadie en concreto, tampoco de él.
Que te diga qué no hacer, no solo qué comprar.

Para saber más

Ciberseguridad avanzada

Pentesting y Hacking Ético: Auditoría Ofensiva en Arquitecturas Críticas

FAQs: Preguntas Frecuentes de Arquitectos y CISOs

¿El pentesting interrumpirá nuestros servicios en producción? No. Utilizamos tácticas de evasión cuidadosas y controlamos rigurosamente los exploits de tipo DoS. Establecemos ventanas de mantenimiento y protocolos de comunicación directa con el Blue Team para pruebas de estrés.

Leer la guía completa

Ciberseguridad y SOC

Ciclo de vida de detecciones SIEM: de hipótesis a señal útil

Métricas que permiten mejorar

Mide cobertura de fuentes, alertas revisadas, proporción escalada, tiempo hasta triaje, falsos positivos confirmados y detecciones sin datos suficientes. Interpreta las métricas junto al impacto y a la carga del equipo: el objetivo no es maximizar alertas, sino detectar antes y con evidencia útil. Cada regla necesita…

Leer la guía completa

Ciberseguridad y SOC

demo-interactiva-simulador-ransomware-soc.md

La diferencia entre sobrevivir o cerrar

En un ataque real, el software de cifrado puede encriptar miles de archivos por minuto. Si dependes de una alerta por correo para que un técnico humano se conecte, investigue y detenga el proceso, llegarás tarde.

Leer la guía completa

Preguntas frecuentes

¿Podéis trabajar con mi proveedor de informática actual?+

Sí. Lo habitual es repartir funciones por escrito: él mantiene los sistemas y nosotros vigilamos y respondemos a los incidentes de seguridad, con un canal de coordinación entre ambos.

¿Necesito un SOC si soy una empresa pequeña?+

Necesitas que alguien vigile y responda, no necesariamente un SOC propio. Para una pyme suele bastar con un servicio externo que reciba las alertas importantes, las investigue y te avise con una recomendación clara.

¿Qué diferencia hay entre un antivirus y un EDR?+

El antivirus clásico bloquea ficheros conocidos como maliciosos. Un EDR registra lo que hacen los procesos en el equipo y permite detectar comportamientos sospechosos, investigar qué pasó y aislar el equipo a distancia.

¿Cómo sé si una aplicación conectada es peligrosa?+

Mirando qué permisos tiene, quién la aprobó, si la usa alguien y si el editor es verificable. Una aplicación con acceso a todo el correo que nadie reconoce se retira mientras se investiga.

¿Qué pasa si no puedo parchear un sistema antiguo?+

Se aísla en un segmento propio, se limita quién y qué puede hablar con él y se vigila de cerca. Además se deja documentado como riesgo aceptado, con fecha de revisión y un plan de sustitución.

¿Para qué sirve un simulacro de ransomware?+

Para que dirección, sistemas y comunicación practiquen las decisiones antes de necesitarlas: qué se apaga, quién habla con clientes, cómo se sigue operando. Los huecos que aparecen se convierten en tareas.

Auditoria it cumplimiento por ciudades

Pide una revisión inicial de tu exposición a internet y de tus cuentas de correo, y decide después si quieres seguir.

Hablar con nosotros