Encuentra tus puntos débiles antes que los atacantes
Auditorías de seguridad, pruebas de penetración, Red Team y preparación para la certificación internacional. Pruebas principalmente manuales, informes basados en estándares reconocidos y un alcance acordado por escrito antes de empezar cualquier trabajo.
- WSTG, ASVS, API Top 10
- OWASPWSTG, ASVS, API Top 10
- Puntuación de severidad
- CVSS 3.1Puntuación de severidad
- Proceso de proyecto estructurado
- PTESProceso de proyecto estructurado
- Alcance antes de cualquier prueba
- Por escritoAlcance antes de cualquier prueba
Todo el ciclo de vida de la seguridad de la información
Desde una evaluación puntual hasta un acompañamiento continuo: cubrimos la seguridad de tu infraestructura, tus aplicaciones y tus procesos.
Auditoría de seguridad y documentación
Evaluación integral de la infraestructura, las configuraciones, los procesos y la documentación, con un informe priorizado.
- Revisión de redes, servidores y nube
- Auditoría de políticas, procedimientos y procesos
- Informe con plan de remediación
Pruebas de penetración
Un ataque controlado en modo black-box, grey-box o white-box. Buscamos lo que explotaría un atacante real.
- Web, móvil, API y perímetro externo
- Pentest interno y segmentación
- Reevaluación tras la remediación
Red Team
Un ataque simulado con un objetivo concreto, según un escenario acordado. Pone a prueba a la vez a tu gente, tus procesos y tus defensas.
- OSINT e ingeniería social
- Phishing y acceso físico
- Evaluación de la respuesta del Blue Team
Respuesta a incidentes
Ayuda cuando ocurre un incidente: investigación, contención y recuperación, con un tiempo de respuesta garantizado en el contrato de retainer.
- Triaje e investigación forense de incidentes
- Apoyo en la contención y la recuperación
- Análisis de la causa raíz y lecciones aprendidas
Preparación para la certificación
Construimos los procesos y la documentación para los estándares internacionales y te acompañamos hasta la certificación.
- ISO 27001, SOC 2, PCI DSS, GDPR
- Políticas, procedimientos y un registro de riesgos
- Acompañamiento en la auditoría de certificación
Formación y concienciación
Aumentamos la resistencia de tu equipo frente a los ataques: formaciones, simulaciones de phishing y verificación de conocimientos.
- Simulaciones de phishing
- Formación en seguridad para el personal
- Desarrollo seguro
Un proceso transparente, de la solicitud al resultado
Definición del alcance
Definimos los límites de la evaluación, los objetivos y el modelo de amenazas. Se acuerdan los plazos y las reglas de actuación.
Evaluación
Auditoría y prueba de penetración: buscamos las vulnerabilidades y los caminos que tomaría un atacante.
Informe
Un informe priorizado: qué encontramos, por qué importa y cómo corregirlo.
Acompañamiento
Te ayudamos a remediar y realizamos una reevaluación para confirmar que los riesgos quedan cerrados.
Profesionales, no teóricos
Además de hacer pruebas, construimos nuestros propios productos e infraestructura, así que entendemos el riesgo desde ambos lados.
Profesionales que prueban a mano, como lo haría un atacante real. Las herramientas ayudan, pero no sustituyen el criterio.
Vexaro desarrolla software e infraestructura, así que sabemos dónde suelen fallar las cosas.
No un volcado de escáner, sino prioridades, riesgo de negocio y pasos concretos.
Acompañamos la remediación y reevaluamos las correcciones sin coste adicional, dentro del plazo fijado en el Statement of Work (SoW).
Listos para los estándares internacionales y la certificación
Formatos y plazos realistas
Duraciones orientativas. El alcance final depende del volumen y del modelo de amenazas acordado.
Pruebas de penetración
Web, móvil, API o perímetro externo.
Auditoría de seguridad y documentación
Infraestructura, configuraciones y procesos.
Red Team
Simulación de ataque dirigido según un escenario acordado.
Preparación para ISO 27001
Implantación del SGSI, documentación y auditoría interna.
SOC 2 Type II
Implantación de controles más el periodo de observación.
PCI DSS
Preparación para la evaluación QSA.
El tipo de problemas que buscamos
Escenarios ilustrativos basados en tipos de hallazgos habituales. No son casos de clientes.
Pentest de la API de pagos
Ilustrativo: una condición de carrera que elude los límites de transferencia y manipula el importe. Es justo el tipo de fallo lógico que una prueba manual de API debe encontrar antes del lanzamiento.
Auditoría de la red de sucursales
Ilustrativo: paneles de administración de cajas expuestos a Internet y una red plana entre oficinas, detectados con pruebas externas e internas y cerrados con segmentación y bastionado del perímetro.
Preparación para ISO 27001
Ilustrativo: la construcción del SGSI (procesos, políticas, procedimientos y formación del personal), listo para las auditorías de Etapa 1 y Etapa 2 de un organismo acreditado.
Lo que encontramos queda entre nosotros
Cada proyecto comienza con un acuerdo de confidencialidad. Los detalles de tu infraestructura, nuestros hallazgos y los informes solo están al alcance de las personas que trabajan en tu proyecto, incluido cualquier subcontratista, que está sujeto a una confidencialidad equivalente. No se revelan a nadie más salvo que la ley lo exija.
Firmamos un acuerdo de confidencialidad antes de recibir cualquier acceso.
Los accesos, artefactos e informes se almacenan cifrados.
El acceso a los datos se limita a los miembros del proyecto, estrictamente según el principio de necesidad de conocer.
Los datos de trabajo se eliminan o devuelven al terminar el periodo de conservación acordado, y se retiran los accesos temporales.
Preguntas frecuentes
Una auditoría evalúa la seguridad de configuraciones, procesos y arquitectura. Un pentest es un ataque controlado que comprueba cómo se podría penetrar realmente. A menudo se realizan juntos.
Lo diseñamos para que lo sea. Primero acordamos el modelo de amenazas, los límites y las reglas; las pruebas de carga o potencialmente disruptivas solo se realizan en una ventana acordada. Probar activamente sistemas en producción siempre conlleva algún riesgo de interrupción, así que planificamos teniendo en cuenta tus copias de seguridad y tus periodos críticos.
Un informe con hallazgos priorizados, una evaluación del riesgo de negocio y pasos concretos de subsanación. Además de acompañamiento en la remediación y una reevaluación gratuita de los hallazgos corregidos, dentro del plazo fijado en el Statement of Work (SoW).
Sí. Asesoramos a tu equipo en la subsanación y reprobamos para confirmar que los riesgos quedan cerrados.
ISO 27001, SOC 2, PCI DSS, GDPR, OWASP ASVS, NIST CSF y otros. Construimos los procesos y la documentación para el estándar y acompañamos hasta el certificado.
Plazos realistas: pentest (1-3 semanas), auditoría de seguridad (2-4 semanas), preparación para ISO 27001 (6-9 meses) y PCI DSS (3-6 meses). SOC 2 Type II requiere 3 meses de implantación más un periodo de observación de 3 a 12 meses.
Firmamos un NDA antes de empezar. Los hallazgos y las evidencias se guardan cifrados en sistemas con control de acceso, el acceso sigue el mínimo privilegio, los informes se entregan por canales seguros y los datos de trabajo se eliminan o devuelven al terminar el periodo de conservación acordado.