Lo que me preguntan
las gestorías y las pymes.

Es un examen de todo lo que tu negocio deja ver desde fuera, sin tocar tus sistemas. Se revisan siete capas: dominio, correo, web, credenciales filtradas, marca, analítica y continuidad. El resultado no es una lista de alertas: es un documento que dice qué hay expuesto, con qué evidencia se sostiene cada afirmación y qué conviene arreglar primero.

La diferencia con un escáner automático es que un escáner produce hallazgos sueltos, y aquí se lee cómo encajan entre sí. El riesgo casi nunca vive en una sola capa.

No. La auditoría de exposición digital es pasiva: se hace únicamente con información de acceso público, sin entrar en ningún sistema, sin probar contraseñas y sin realizar acciones intrusivas.

Nunca voy a pedirte una contraseña. Si en algún momento un trabajo requiriera acceso, se acuerda por escrito y siempre mediante un usuario propio con permisos mínimos, nunca compartiendo tus credenciales.

Sobre todo para ti. Una gestoría maneja datos fiscales, laborales y de identidad de decenas de empresas: es un objetivo concentrado, y sus clientes empiezan a preguntarle por escrito cómo protege esa información.

El problema habitual no es que la gestoría esté mal protegida. Es que no tiene forma de demostrar que lo está cuando alguien se lo pide.

La exprés revisa dominio, correo y web pública, y da un primer diagnóstico en menos de una semana. La completa cubre las siete capas y entrega un informe técnico-pericial con evidencias selladas y un plan de remediación priorizado.

La exprés no está pensada como producto final, sino como puente: su importe se descuenta íntegramente de la completa si la contratas dentro de los treinta días siguientes.

Depende de qué te pida exactamente, y esa es la primera pregunta que hago. Si tu cliente exige una certificación acreditada —ISO 27001, ENS o similar—, eso lo emite una entidad de certificación acreditada, y yo no lo soy. Te lo diré desde el principio.

Si lo que te piden es acreditar que has revisado tu exposición, quién lo hizo, cuándo y con qué resultado, entonces sí: el informe está pensado exactamente para eso, con la metodología declarada y cada hallazgo trazable a la comprobación que lo sostiene.

Ningún informe es «válido en juicio» por sí mismo: quien valora la prueba es el tribunal. Lo que sí puedo garantizar es cómo está construido.

Los informes periciales se elaboran conforme a los criterios de UNE 197001 y UNE 197010, con cadena de custodia documentada, evidencias selladas mediante hash SHA-256 y sellado de tiempo, y separación explícita entre hecho probado, inferencia razonable y lo que no se puede sostener. Y sí, comparezco a ratificar el informe en sala si hace falta.

Cualquiera que te prometa que su informe «resiste en juicio» te está prometiendo algo que no controla.

Sí. El informe es tuyo y puedes usarlo como quieras: enseñarlo a un cliente que te lo exige, aportarlo en una negociación, remitirlo a tu correduría o llevarlo a tu asesoría jurídica.

Por eso el entregable incluye siempre un resumen ejecutivo en lenguaje llano además de la parte técnica: para que quien lo lea no necesite un traductor.

Entonces el informe dice que no se ha identificado exposición relevante en las capas revisadas, y explica cómo se ha comprobado cada una. Eso no es un informe fallido: es precisamente el documento que necesitas cuando alguien te pide acreditar que estás en orden.

Lo que no voy a hacer es inflar hallazgos menores para que el informe parezca más valioso.

No es el objetivo, y el vocabulario del informe está pensado para evitarlo: se habla de hallazgos, discrepancias y posibles desviaciones, nunca de incumplimientos, negligencia o culpables.

La mayoría de lo que aparece no es culpa de nadie: son cosas que se configuran una vez, al montar la web, y que nadie vuelve a mirar en cinco años porque no forman parte del mantenimiento habitual. Muchas agencias agradecen el informe porque les da una lista concreta de trabajo.

El antivirus protege tus equipos y las copias te permiten recuperarte. Ninguno de los dos ve lo que tu negocio enseña desde fuera.

Un antivirus no detecta que tu dominio permite que cualquiera envíe correo en tu nombre, ni que hay un dominio parecido al tuyo registrado por otra persona, ni que las credenciales de un empleado aparecen en una filtración pública. Son cosas distintas que se comprueban de forma distinta.

Y sobre las copias: la pregunta útil no es si las tienes, sino si has probado alguna vez a restaurarlas. Una copia sin restaurar es una suposición, no una copia.

El Kit Digital financió la implantación de soluciones, y su justificación acredita que se entregaron. No acredita que estén bien configuradas ni que sigan funcionando, y quien presenta esa justificación es el mismo proveedor que cobró.

Para eso existe una revisión específica, más acotada y más barata que la auditoría completa. Ver la revisión post-Kit Digital →

La exprés, menos de una semana. La completa, entre dos y tres semanas según el tamaño del negocio.

Recibes un informe técnico con cada hallazgo trazado a la comprobación que lo acredita, un resumen ejecutivo en lenguaje llano, y un plan de remediación ordenado por prioridad, distinguiendo lo que puedes hacer tú, lo que debe hacer tu proveedor y lo que conviene delegar.

Puedo, pero nunca en el mismo encargo y nunca sobre lo que yo mismo haya construido. Es la regla que no negocio: puedo construir, y puedo subsanar lo que he auditado, pero no audito lo que he construido yo.

La evidencia exige distancia. Un informe firmado por quien hizo el trabajo no tiene valor defensivo si algún día alguien lo discute, y eso te perjudica a ti más que a mí.