Servicios
Qué hacemos y cuánto cuesta
Siete servicios que encajan entre sí. Puedes contratarlos por separado o como un programa conjunto con un único interlocutor.
Cumplimiento normativo
Identificamos qué leyes y estándares te aplican, medimos la distancia a la que estás de cumplirlos (análisis GAP) y te acompañamos en la adecuación hasta superar auditorías e inspecciones.
Normas y marcos que cubrimos
Qué incluye
- Análisis de aplicabilidad normativa y mapa de obligaciones
- Análisis GAP por norma con nivel de madurez (CMMI 0–5)
- Análisis de riesgos (MAGERIT v3 / ISO/IEC 27005)
- Redacción de políticas, procedimientos y registros
- Preparación y acompañamiento en auditorías de certificación
Entregables
- Informe de aplicabilidad y GAP
- Registro de actividades de tratamiento (art. 30 RGPD)
- Declaración de aplicabilidad (SoA) y plan de tratamiento de riesgos
- Pack documental: política de seguridad, contraseñas, control de accesos, copias, continuidad…
- Plan director de seguridad a 12–24 meses
Planes orientativos
Esencial RGPD
1.900 € pago único
Micropymes y autónomos
- Registro de actividades y análisis de riesgos RGPD
- Textos legales web: aviso legal, privacidad y cookies
- Contratos de encargado del tratamiento
- Formación básica de 2 h
Pyme
4.900 € + 290 €/mes de mantenimiento
Pymes de 10 a 250 empleados
- Todo lo de Esencial
- GAP frente a 3 normas (p. ej. RGPD, LSSI y PCI DSS)
- Políticas y procedimientos completos
- Revisión trimestral y soporte ante inspecciones
Certificación
desde 14.500 € proyecto de 6–9 meses
Empresas que necesitan certificar
- Implantación de SGSI ISO/IEC 27001 o ENS (categoría básica/media)
- Auditoría interna y revisión por la dirección
- Acompañamiento en la auditoría de certificación
- Garantía: repetimos sin coste si hay no conformidades mayores
Precios ficticios y orientativos, IVA/IGIC no incluido. Cada propuesta se ajusta tras el diagnóstico inicial gratuito.
Auditoría y pentesting
Atacamos tus sistemas como lo haría un ciberdelincuente, pero con permiso, alcance pactado y un informe que te dice exactamente qué arreglar y en qué orden.
Qué incluye
- Pentest de aplicaciones web y APIs (OWASP Top 10 y ASVS 4.0)
- Pentest de aplicaciones móviles Android/iOS (OWASP MASVS)
- Auditoría de red interna y Active Directory
- Revisión de configuración cloud (AWS, Azure, Google Cloud) frente a CIS Benchmarks
- Auditoría Wi-Fi, ingeniería social y pruebas físicas
- Escaneos ASV trimestrales y pentest anual para PCI DSS (req. 11)
Entregables
- Informe ejecutivo para dirección (sin tecnicismos)
- Informe técnico con evidencias, CVSS 4.0 y pasos de reproducción
- Plan de remediación priorizado
- Retest gratuito de las vulnerabilidades críticas y altas
- Certificado de realización del ejercicio
Planes orientativos
Web / App
desde 2.400 € por aplicación
Tiendas online y webs corporativas
- Pentest caja gris de una aplicación web o API
- Hasta 3 roles de usuario
- Informe ejecutivo + técnico
- Retest incluido
Infraestructura
5.800 € por ejercicio
Pymes con red y servidores propios
- Pentest externo + red interna
- Active Directory y escalada de privilegios
- Revisión de segmentación (PCI DSS 11.4.5)
- Taller de cierre con tu equipo IT
Red Team
desde 15.000 € ejercicio de 4–6 semanas
Organizaciones maduras
- Simulación de adversario realista con objetivos
- Phishing dirigido, acceso inicial y movimiento lateral
- Medición de detección y respuesta
- Informe de lecciones aprendidas
Precios ficticios y orientativos, IVA/IGIC no incluido. Cada propuesta se ajusta tras el diagnóstico inicial gratuito.
SOC / Blue team 24/7
Nuestro Centro de Operaciones de Seguridad monitoriza tus sistemas en todo momento, detecta comportamientos anómalos y responde antes de que un incidente se convierta en una crisis.
Qué incluye
- Monitorización 24/7/365 con SIEM y correlación de eventos
- EDR/XDR gestionado en servidores y puestos de trabajo
- Detección basada en MITRE ATT&CK y threat intelligence
- Respuesta a incidentes (DFIR) con nuestro equipo de analistas
- Threat hunting proactivo mensual
- Apoyo en notificaciones: AEPD (72 h) e INCIBE-CERT / CCN-CERT (NIS2: 24 h / 72 h / 1 mes)
Entregables
- Cuadro de mando en tiempo real
- Informe mensual de indicadores (MTTD, MTTR, alertas por severidad)
- Informe forense y post-mortem por incidente
- Playbooks de respuesta personalizados
- Revisión trimestral de casos de uso
Planes orientativos
SOC Lite
690 € / mes
Hasta 25 equipos
- Monitorización en horario laboral ampliado (8–22 h)
- EDR gestionado
- Alertas críticas 24/7 por teléfono
- Informe mensual
SOC Pro
1.890 € / mes
Hasta 150 equipos
- Monitorización y respuesta 24/7/365
- SIEM con 90 días de retención
- Threat hunting mensual
- Bolsa de 20 h de respuesta a incidentes
SOC Plus
a medida desde 4.500 €/mes
Empresas medianas y entidades NIS2
- Analista asignado y SLA de 15 min
- Retención de logs de 12 meses
- Integración OT/cloud
- Simulacros de crisis semestrales
Precios ficticios y orientativos, IVA/IGIC no incluido. Cada propuesta se ajusta tras el diagnóstico inicial gratuito.
Purple team
Red team (ataque) y blue team (defensa) en la misma sala. Ejecutamos técnicas reales paso a paso y comprobamos en directo si tu SOC o tus herramientas las detectan, para ajustar reglas al momento.
Qué incluye
- Selección de técnicas MITRE ATT&CK según tu modelo de amenazas
- Emulación de adversarios con herramientas como Atomic Red Team y Caldera
- Validación de reglas SIEM/EDR y creación de nuevas detecciones
- Medición de cobertura antes/después con ATT&CK Navigator
- Formación práctica del equipo defensivo
Entregables
- Mapa de cobertura ATT&CK (antes/después)
- Reglas de detección nuevas o mejoradas (Sigma)
- Informe de brechas de visibilidad
- Plan de mejora de la capacidad de detección
Planes orientativos
Taller
3.200 € 1 jornada
Equipos que empiezan
- 10–15 técnicas ATT&CK
- Validación de EDR
- Informe de cobertura
Ejercicio
9.800 € 5 jornadas
SOC internos o externos
- 40–60 técnicas en 3 escenarios
- Ajuste de reglas en directo
- Mapa ATT&CK antes/después
- Sesión con dirección
Programa anual
24.000 € / año
Organizaciones maduras
- 4 ejercicios trimestrales
- Seguimiento de métricas de detección
- Escenarios basados en amenazas actuales
- Informe anual al consejo
Precios ficticios y orientativos, IVA/IGIC no incluido. Cada propuesta se ajusta tras el diagnóstico inicial gratuito.
Formación y concienciación
La mayoría de incidentes empiezan con un clic. Convertimos a tu plantilla en la primera línea de defensa con formación breve, práctica y medible.
Qué incluye
- Campañas de phishing simulado con plantillas realistas en castellano
- Microcursos de 5–10 minutos (contraseñas, MFA, fraude del CEO, teletrabajo…)
- Talleres presenciales para dirección: responsabilidad bajo NIS2 (art. 20)
- Formación específica en RGPD para personal que trata datos
- Formación técnica en desarrollo seguro para equipos de software
Entregables
- Plan anual de concienciación
- Cuadro de mando de tasas de clic y reporte
- Certificados de asistencia
- Evidencias para auditorías (ISO/IEC 27001 control 6.3, ENS mp.per.3)
Planes orientativos
Concienciación
4 € / empleado / mes
Cualquier tamaño
- Plataforma de microcursos
- 1 campaña de phishing simulado al mes
- Informes por departamento
Talleres
950 € por sesión de 3 h
Equipos y dirección
- Presencial en Gran Canaria o remoto
- Hasta 25 asistentes
- Ejercicios prácticos y caso real
Programa completo
6.500 € / año (hasta 100 empleados)
Pymes que quieren evidencias
- Concienciación + 4 talleres
- Formación RGPD por perfiles
- Simulacro de incidente de mesa (tabletop)
Precios ficticios y orientativos, IVA/IGIC no incluido. Cada propuesta se ajusta tras el diagnóstico inicial gratuito.
Delegado de Protección de Datos (DPO) externo
El art. 37 del RGPD y el art. 34 de la LOPDGDD obligan a muchas organizaciones (centros sanitarios, centros educativos, empresas de servicios de pago, entre otras) a designar un DPO. Te ofrecemos un delegado certificado, independiente y con experiencia.
Qué incluye
- Designación y comunicación del DPO a la AEPD
- Asesoramiento continuo sobre nuevos tratamientos (privacidad desde el diseño)
- Evaluaciones de impacto (EIPD, art. 35 RGPD)
- Atención de derechos de las personas (acceso, rectificación, supresión, oposición, limitación, portabilidad)
- Gestión de brechas y notificación a la AEPD
- Interlocución con la autoridad de control en reclamaciones e inspecciones
Entregables
- Informe anual del DPO a la dirección
- Registro de actividades de tratamiento actualizado
- Registro de brechas y de solicitudes de derechos
- Auditoría anual de cumplimiento RGPD
Planes orientativos
DPO Pyme
190 € / mes
Hasta 50 empleados
- DPO designado
- Bolsa de 3 h/mes
- Atención de derechos
- Revisión anual
DPO Profesional
450 € / mes
50–250 empleados
- Bolsa de 8 h/mes
- 2 EIPD al año incluidas
- Gestión de brechas 24/7
- Comité de privacidad trimestral
DPO Sector sensible
950 € / mes
Salud, educación, fintech
- Datos de categoría especial (art. 9)
- EIPD ilimitadas
- Presencia in situ mensual
- Soporte en inspecciones
Precios ficticios y orientativos, IVA/IGIC no incluido. Cada propuesta se ajusta tras el diagnóstico inicial gratuito.
Gestión de terceros y cadena de suministro
Tu seguridad es tan fuerte como la de tu proveedor más débil. NIS2 (art. 21.2.d), DORA, ISO/IEC 27001 (controles 5.19–5.23) y el RGPD (art. 28) exigen controlar a tus proveedores. Lo hacemos por ti.
Qué incluye
- Inventario y clasificación de proveedores por criticidad
- Cuestionarios de seguridad y revisión de evidencias (ISO 27001, SOC 2, ENS)
- Revisión de contratos de encargado del tratamiento (art. 28 RGPD)
- Cláusulas contractuales de seguridad y transferencias internacionales (CCT)
- Monitorización continua del riesgo y alertas de brechas en proveedores
- Planes de salida (exit plans) para proveedores críticos
Entregables
- Registro de proveedores con nivel de riesgo
- Fichas de evaluación por proveedor
- Modelos de contrato y anexos de seguridad
- Informe trimestral de riesgo de terceros
Planes orientativos
Evaluación puntual
1.200 € hasta 10 proveedores
Primer inventario
- Clasificación por criticidad
- Cuestionario y revisión
- Informe de riesgos
TPRM continuo
590 € / mes
Hasta 60 proveedores
- Evaluación anual de todos los proveedores
- Revisión de contratos art. 28
- Alertas de brechas
- Informe trimestral
Avanzado
a medida
Entidades afectadas por NIS2
- Proveedores ilimitados
- Auditorías in situ a proveedores críticos
- Registro de información DORA
- Planes de salida
Precios ficticios y orientativos, IVA/IGIC no incluido. Cada propuesta se ajusta tras el diagnóstico inicial gratuito.
Preguntas frecuentes
Dudas habituales
¿Mi empresa necesita un DPO?
Es obligatorio si eres autoridad u organismo público, si tu actividad principal implica observación habitual y sistemática de personas a gran escala o el tratamiento a gran escala de categorías especiales de datos (art. 37 RGPD). El art. 34 de la LOPDGDD añade una lista concreta: centros sanitarios, centros docentes, entidades aseguradoras, empresas de servicios de pago, operadores de telecomunicaciones, entre otros. Si no es obligatorio, puede ser igualmente recomendable.
¿NIS2 me afecta si soy una pyme?
Directamente, solo si perteneces a un sector de los anexos I o II y superas el umbral de mediana empresa (50 o más empleados, o más de 10 M€ de volumen de negocio y de balance), salvo excepciones. Indirectamente, casi seguro: tus clientes sujetos a NIS2 te exigirán medidas de seguridad por contrato (art. 21.2.d, cadena de suministro).
¿Qué diferencia hay entre una auditoría y un pentest?
La auditoría comprueba si cumples un marco (ISO 27001, ENS, RGPD) revisando documentos, procesos y evidencias. El pentest es una prueba técnica ofensiva que busca vulnerabilidades explotables. Lo ideal es combinar ambas.
¿Cuánto se tarda en certificar ISO/IEC 27001?
En una pyme bien acompañada, entre 6 y 9 meses: diagnóstico y alcance (1 mes), implantación (3–6 meses), al menos un ciclo de auditoría interna y revisión por la dirección, y la auditoría de certificación en dos fases por parte de una entidad acreditada.
¿Trabajáis fuera de Canarias?
Sí. La mayoría de servicios se prestan en remoto para toda España. Las pruebas físicas, talleres y auditorías in situ fuera del archipiélago se presupuestan aparte.
¿Hablamos de tu caso?
Primera reunión de diagnóstico gratuita y sin compromiso. Te decimos qué normas te aplican, qué riesgos tienes y por dónde empezar.