Anti-Phishing

Si se hace sin probar, sí. Por eso trabajamos en ventanas controladas, con entornos de staging que replican producción, y con rollback preparado. Los cambios se aplican incrementalmente, validando funcionalidad en cada paso. En 2 años de experiencia, los incidentes por hardening mal aplicado son raros y reversibles.

Son guías publicadas por el Center for Internet Security con configuraciones seguras para sistemas operativos, bases de datos, navegadores, cloud providers y más. Cada benchmark tiene centenares de controles validados por la comunidad. Son el estándar de facto para hardening profesional y cumplen muchos requisitos de ISO 27001 y PCI DSS.

Recomendamos una revisión completa anual y revisiones parciales cada vez que hay cambios mayores (nueva versión de OS, nueva aplicación, cambio de topología). Entre revisiones, el monitoreo continuo y los parches automatizados mantienen el baseline. Los benchmarks se actualizan periódicamente y los seguimos.

Una auditoría revisa configuraciones, procesos y cumplimiento contra un estándar (ISO, NIST, PCI). Un pentest simula un ataque real: explota vulnerabilidades para demostrar hasta dónde puede llegar un atacante. Idealmente se hacen juntos — la auditoría detecta debilidades en el papel, el pentest las valida en la práctica.

Las pruebas se ejecutan en ventanas de tiempo acordadas. Para sistemas críticos trabajamos en entornos de staging que replican producción. Cuando probamos contra producción, evitamos técnicas de denegación de servicio y coordinamos con tu equipo de TI en tiempo real vía un canal dedicado.

Con dos reportes: un resumen ejecutivo en español para dirección (riesgos de negocio, impacto, recomendaciones priorizadas) y un reporte técnico para TI (pasos exactos de reproducción, comandos, capturas, código de prueba de concepto y fixes concretos por hallazgo). Al final presentamos los resultados en una reunión con tu equipo.

Sí, cuando lo autoriza la dirección de la empresa con una carta de autorización formal. Es parte de programas de seguridad aceptados globalmente. Lo que NO es legal es ejecutarlo sin autorización escrita. Nosotros exigimos ese documento antes de iniciar y trabajamos con reglas éticas claras (no exposición pública de individuos, foco en aprendizaje).

En el momento del click, ven una página de aprendizaje que explica qué fue la simulación, qué señales había en el correo y cómo reconocerlo la próxima vez. Los resultados a nivel individual se mantienen confidenciales entre el empleado y RRHH — no se publican listas. A nivel agregado, la dirección ve tendencias por área para enfocar capacitación.

Equipos sin entrenamiento previo típicamente tienen tasas de click del 20-40%. Después de capacitación focalizada y 2-3 ciclos de simulación, baja al 5-10%. Más importante: sube la tasa de "reporte" (empleados que reciben el correo y lo reportan a IT), que es la métrica más útil operativamente.

Las tres funcionan y las ofrecemos según tu preferencia. Presencial tiene mayor engagement y permite ejercicios grupales más ricos. Remota sincronica funciona bien para equipos distribuidos. Grabada/asincrónica para empresas grandes con horarios imposibles de coordinar. Recomendamos mezcla: introducción grabada + taller en vivo + práctica posterior.

Programas de awareness general: 2-3 horas iniciales + 15 minutos mensuales (píldoras de actualización). Capacitaciones técnicas específicas: 1-2 días según el tema. La clave no es volumen de horas sino consistencia: mejor 15 minutos mensuales regulares que una jornada completa una vez al año.

Sí. Cada participante recibe certificado nominal con horas, temas cubiertos y fecha. La empresa recibe un reporte consolidado con asistencia, resultados de evaluaciones y evidencia documental — aceptado por auditores de ISO 27001, SOC 2 y marcos similares como evidencia de control de awareness training.

Depende del tamaño, alcance y madurez actual. PYMES con buenas prácticas ya implementadas: 6-9 meses. Empresas que parten de cero en seguridad formal: 12-18 meses. El tiempo se define por ritmo de implementación interna tanto como por nuestro trabajo; si dirección prioriza recursos, los plazos se acortan.

No. La certificación oficial la emite una certificadora acreditada (BSI, TÜV, Bureau Veritas, DNV, etc.) — es un requisito de independencia. Nosotros preparamos a tu empresa para pasar esa auditoría. Tenemos experiencia con varias certificadoras y sabemos qué esperan en práctica, no solo en teoría.

ISO 27001 es estándar internacional, reconocido globalmente, común en Europa, LATAM y Asia. SOC 2 es específico del mercado norteamericano, muy exigido por clientes B2B en EE.UU. Si vendés a empresas estadounidenses, SOC 2. Si tus clientes son globales o europeos, ISO 27001. Muchas empresas hacen las dos en paralelo porque comparten 70% de controles.