Seguridad integradaen tus aplicaciones y datos.

No. Construimos aplicaciones con seguridad integrada desde el diseño; no hacemos pentest ni firmamos una auditoría de seguridad independiente. Para un pentest o una auditoría regulatoria (ENS, ISO 27001, SOC 2, requisitos contractuales de tu cliente) trabajamos con consultoras especializadas que firman el informe y coordinamos la parte técnica: preparamos entornos, reproducimos hallazgos, aplicamos remediaciones y volvemos a probar. El hardening previo que construimos por defecto evita que el pentest encuentre lo obvio.

Son tres cosas distintas. ISO 27001 es una certificación voluntaria de cómo gestiona la seguridad una empresa, y cada vez más clientes grandes la piden a sus proveedores. El ENS (Esquema Nacional de Seguridad) es obligatorio para quien presta servicios tecnológicos a la Administración pública. NIS2 es la directiva europea que obliga a sectores esenciales, como la fabricación de medicamentos, a vigilar la seguridad de sus proveedores, y por eso llega también a pymes que no están obligadas directamente. Las tres se acreditan a nivel de organización ante una entidad certificadora: nosotros no certificamos. Lo que sí depende del software y del alojamiento es buena parte de los controles técnicos que se revisan: control de accesos, registros de actividad, copias, cifrado y proveedores de nube certificados. Eso lo construimos y lo documentamos para que tengas las evidencias cuando te las pidan.

Porque depende del alcance: cuántas aplicaciones hay que revisar, dónde están alojadas, qué datos tratan y si hay pagos por medio. Con esas cuatro respuestas preparamos una propuesta cerrada. Buena parte del trabajo va dentro del desarrollo o del contrato de mantenimiento, no como un proyecto separado.

No cubre auditorías ni el hardening de tu aplicación. Cubre dos soluciones del catálogo: "Puesto de Trabajo Seguro" (protección del dispositivo del empleado) y "Servicio de Ciberseguridad Gestionada" (monitorización continua). Hoy el programa no admite solicitudes nuevas (estado del programa); si tienes un bono concedido, te decimos qué cubre. Para empresas que ya tienen aplicación web crítica, lo combinamos con hardening específico de esa aplicación.

El proveedor cloud protege su infraestructura: centros de datos, red física, hipervisor. Todo lo que está por encima es responsabilidad tuya: la configuración de los servicios, los accesos, las dependencias y el código de la aplicación. La mayoría de incidentes en cloud vienen de esa capa, no de la infraestructura del proveedor, y es la que revisamos y endurecemos.

Nuestro equipo, en horario laboral; fuera de él, la monitorización y las alertas automáticas avisan y el equipo actúa al inicio de la siguiente jornada. Si necesitas una persona de guardia fuera de horario, se contrata como opción. Por defecto: ventana de respuesta inicial de 4 horas para CVE alta, parche disponible en menos de 48 horas y comunicación al cliente desde el primer momento; si el impacto es una brecha de datos personales, activamos también la notificación a la AEPD en 72 horas. Para vigilancia continua de la infraestructura más allá de la aplicación, encaja el Servicio de Ciberseguridad Gestionada del Kit Digital.

No. Las pruebas se hacen sobre un entorno de staging que replica producción y los cambios de configuración (cabeceras, CSP, TLS, versiones de dependencias) se despliegan en una ventana acordada contigo y con vuelta atrás preparada. Sobre producción solo hacemos comprobaciones de lectura: cabeceras, certificado, versiones expuestas.

En la capa técnica: cifrado en tránsito (TLS 1.2/1.3) y en reposo (BD y backups); control de accesos por rol con MFA en accesos sensibles; registro de actividades de tratamiento (logs auditables del acceso a datos personales); gestión de cookies con consentimiento real, no dark patterns; flujos de borrado y portabilidad de datos accesibles al usuario; plan de notificación a la AEPD en 72 horas ante brecha. La parte organizativa (DPO, política de privacidad, evaluaciones de impacto) la firma una asesoría legal aparte.