Ciberseguridad para Empresas y Pymes en Madrid

E2D Web & Growth

Ciberseguridad para empresas y pymes en Madrid: phishing controlado a tu plantilla, formación, auditoría de seguridad web y SPF, DKIM y DMARC en tu correo.

Desde 290€

¿Qué Incluye?

Campañas de phishing controlado con autorización por escrito de la dirección

Informe de resultados agregado, pensado para formar y no para señalar

Formación a empleados en contraseñas, correos sospechosos y dispositivos

Nociones básicas de RGPD para quien maneja datos de clientes

Auditoría de seguridad web: CMS, plugins, cabeceras, SSL/TLS y formularios

Configuración de SPF, DKIM y DMARC para que nadie suplante tu dominio

Desde 290€; el precio final depende del número de empleados y del alcance

Ciberseguridad para empresas que no tienen un departamento de informática

La mayoría de los incidentes en una pyme no empiezan con un ataque sofisticado. Empiezan con un correo que parece de un proveedor, una contraseña repetida en cinco sitios o un plugin de WordPress que lleva dos años sin actualizarse. Son fallos corrientes y por eso se repiten tanto.

Nuestro servicio de ciberseguridad para empresas se centra en esos puntos. Trabajamos con pymes y autónomos de Madrid y del resto de España en cuatro frentes: phishing controlado para medir cómo reacciona la plantilla, formación práctica, auditoría de la web y protección del correo con SPF, DKIM y DMARC. No vendemos antivirus ni montamos un centro de operaciones. Hacemos lo que una empresa pequeña puede aplicar al día siguiente.

¿Sabes qué haría tu equipo con un correo falso?

Cuéntanos cuántas personas sois y qué herramientas usáis. Te proponemos por dónde empezar.

Hablar de mi caso

Qué incluye nuestro servicio de ciberseguridad para pymes

Phishing controlado

Enviamos a la plantilla correos de phishing simulados, parecidos a los que llegan de verdad, y medimos quién abre el enlace y quién rellena el formulario. Después entregamos un informe y damos una formación basada en lo que ha pasado. Más abajo explicamos cómo se hace y con qué límites.

Formación a empleados

Sesiones cortas y prácticas, adaptadas a cómo trabaja tu equipo. Tratamos contraseñas y gestores de contraseñas, cómo reconocer un correo sospechoso, qué hacer con el móvil y el portátil fuera de la oficina y las nociones básicas de RGPD que necesita cualquiera que maneje datos de clientes.

Auditoría de seguridad web

Revisamos tu web como lo haría alguien que busca una puerta abierta: versión del CMS y de los plugins, actualizaciones pendientes, cabeceras de seguridad, configuración SSL/TLS, política CSP, formularios y copias de seguridad. Te entregamos lo que hemos encontrado ordenado por prioridad.

Protección del correo

Configuramos SPF, DKIM y DMARC en tu dominio. Con eso es mucho más difícil que alguien mande correos haciéndose pasar por tu empresa, ya sea a tus clientes o a tu propio equipo.

Phishing controlado: cómo es una campaña paso a paso

Una campaña de phishing simulado muestra cómo responde tu equipo ante un correo engañoso antes de que llegue uno real.

1. Autorización y alcance

No enviamos nada sin una autorización por escrito de la dirección de la empresa. En ese documento se fija el alcance: qué personas o departamentos participan, qué fechas, qué tipo de escenarios se usan y quién recibe el informe. La empresa decide también qué se comunica a la plantilla y cuándo, de acuerdo con la normativa de protección de datos (RGPD y LOPDGDD).

2. Planificación de escenarios

Elegimos situaciones que tengan sentido para tu negocio: una factura pendiente, un aviso de entrega, un cambio de contraseña. Las plantillas son realistas, pero no usamos marcas de terceros reales sin su permiso. Trabajamos con nombres inventados o con escenarios internos que la dirección haya aprobado.

3. Envío

Mandamos los correos de forma escalonada para que no lleguen todos a la vez y se comente en el pasillo.

4. Medición

Registramos dos cosas: quién hace clic en el enlace y quién envía el formulario. No recogemos contraseñas. La página a la que lleva el enlace es una página de formación que explica qué señales tenía ese correo, y el formulario no guarda lo que se escribe en los campos. Solo se anota que hubo un envío.

5. Informe

Los resultados se entregan agregados: porcentajes por departamento o por escenario, qué tipo de correo funcionó mejor y en qué momento del día. El objetivo es formar, no señalar ni sancionar a nadie. Si la dirección necesita otro nivel de detalle, se acuerda en el alcance inicial y dentro de lo que permite la normativa.

6. Formación

Con el informe en la mano, preparamos una sesión que parte de los correos que se usaron. Es mucho más útil enseñar el mensaje que engañó a medio departamento que una presentación genérica sobre amenazas.

7. Repetición

Una campaña aislada da una foto. Varias campañas espaciadas muestran si el equipo mejora. Proponemos repetirlas con escenarios distintos para que nadie se aprenda el truco.

Una campaña de phishing controlado, con todo por escrito

Autorización, alcance, escenarios e informe. Te lo explicamos antes de empezar para que no haya sorpresas.

Pedir propuesta

Auditoría de seguridad web: qué revisamos

Una web de empresa suele tener datos de contacto, formularios y, a veces, un área de clientes o una tienda. Es la parte más expuesta de tu negocio en internet y la que menos se revisa. Si quieres ver el enfoque general antes de entrar en seguridad, lo contamos en nuestra guía de auditoría de una página web.

En la auditoría de seguridad comprobamos:

CMS y plugins. Versiones instaladas, plugins abandonados por su autor, temas sin soporte y extensiones que nadie usa pero siguen activas.
Actualizaciones. Qué está pendiente y qué riesgo tiene actualizar o no hacerlo.
Cabeceras de seguridad. Si el servidor envía las cabeceras que limitan lo que un atacante puede hacer desde el navegador del visitante.
SSL/TLS. Que el certificado esté bien instalado, que no se acepten protocolos antiguos y que todo el tráfico vaya por HTTPS.
CSP. Si existe una política de seguridad de contenidos y si de verdad protege o deja pasar cualquier script.
Formularios. Protección contra envíos automáticos, validación de datos y adónde va lo que escribe el visitante.
Copias de seguridad. Si existen, dónde se guardan, cada cuánto se hacen y si alguien ha probado alguna vez a restaurarlas.

El resultado es un informe con cada hallazgo, su prioridad y cómo se corrige. Las correcciones las puedes hacer con tu proveedor actual o con nosotros. Si prefieres que alguien se ocupe de forma continua, lo encajamos con nuestro servicio de mantenimiento web.

Qué es DMARC y por qué tu dominio lo necesita

Cualquiera puede enviar un correo que diga venir de tu empresa. El protocolo del correo electrónico se diseñó sin comprobar el remitente, y tres registros DNS se encargan de cubrir ese hueco:

SPF indica qué servidores tienen permiso para enviar correo en nombre de tu dominio.
DKIM añade una firma digital a cada mensaje, de modo que el destinatario puede comprobar que no se ha modificado por el camino.
DMARC le dice al servidor que recibe el correo qué hacer cuando un mensaje no pasa las comprobaciones de SPF o DKIM: entregarlo igualmente, mandarlo a spam o rechazarlo. También permite recibir informes de quién está enviando correo con tu dominio.

DMARC se activa por fases. Se empieza en modo observación (p=none), se revisan los informes para detectar herramientas legítimas que envían en tu nombre, como el programa de facturación o la plataforma de newsletters, y cuando todo está en orden se pasa a cuarentena y después a rechazo. Saltarse ese orden es la forma más rápida de que tus propias facturas dejen de llegar.

Hay otro motivo práctico: los grandes proveedores de correo piden cada vez más estos registros para entregar con normalidad, sobre todo a quien hace envíos masivos. Si haces campañas, en nuestro artículo sobre email marketing para empresas explicamos cómo encaja con lo demás.

Formación a empleados: lo que de verdad se usa

Las sesiones son cortas y no exigen conocimientos técnicos. Estos son los temas habituales, que ajustamos a cada empresa:

Contraseñas y gestores de contraseñas. Por qué repetir contraseñas es el problema y cómo usar un gestor sin complicarse. Verificación en dos pasos en las cuentas que importan.
Correos sospechosos. Remitentes que se parecen al bueno, urgencias inventadas, enlaces que no van adonde dicen y adjuntos que nadie esperaba. Y, sobre todo, a quién avisar.
Dispositivos. Bloqueo de pantalla, actualizaciones, redes wifi públicas y qué hacer si se pierde un portátil o un móvil con correo de empresa.
RGPD básico. Qué datos personales se tratan en el día a día, cómo enviarlos con cuidado y qué hacer si se envía algo a quien no debía. Si tu web recoge datos o usa cookies, te puede servir también nuestra guía sobre RGPD y cookies en webs en España.

Cuánto cuesta la ciberseguridad para una pyme

No cuesta lo mismo una campaña de phishing para ocho personas que para ochenta, ni auditar una web corporativa sencilla que una tienda online con área de clientes. Estos son los precios orientativos; el importe final depende del número de empleados y del alcance.

Servicio	Plazo	Precio orientativo
Campaña de phishing controlado, hasta 25 personas (2 escenarios e informe agregado)	2-3 semanas	Desde 490€
Campaña de phishing controlado, de 26 a 100 personas	3-4 semanas	690€ - 1.290€
Programa anual de phishing: 3 campañas espaciadas con comparativa, hasta 25 personas	12 meses	Desde 1.190€/año
Formación práctica para la plantilla: sesión de 2 horas, online o presencial en Madrid, hasta 20 personas	1 sesión	Desde 390€
Sesión de formación adicional	1 sesión	290€
Auditoría de seguridad de una web corporativa	1-2 semanas	Desde 490€
Auditoría de seguridad de una tienda online o web con área de clientes	2-3 semanas	Desde 990€
SPF, DKIM y DMARC de un dominio, con 3 meses de seguimiento de informes	3 meses	Desde 290€
Dominio de correo adicional	—	150€

Pack Seguridad esencial, desde 990€: campaña de phishing con informe, sesión de formación tras la campaña y SPF, DKIM y DMARC con 3 meses de seguimiento. Para hasta 25 personas y un dominio; por separado serían 1.170€. Precios sin IVA.

Para cerrar la propuesta necesitamos saber cuántas personas tiene la plantilla, qué servicios de correo y qué web usáis, y qué servicios te interesan. Se pueden contratar por separado o combinados. Te enviamos el presupuesto por escrito, con lo que incluye y lo que no.

Qué incluye / Qué no incluye

Incluido

Reunión inicial para definir el alcance
Documento de autorización y alcance para las campañas de phishing
Informes escritos con hallazgos y prioridades
Sesiones de formación adaptadas a tu equipo
Configuración de SPF, DKIM y DMARC en tu dominio y seguimiento de los primeros informes

No incluido (se presupuesta aparte)

Corrección de los fallos encontrados en la auditoría, si la hacemos nosotros
Mantenimiento continuado de la web
Licencias de herramientas de terceros, como gestores de contraseñas
Respuesta a incidentes ya en curso o análisis forense

Preguntas frecuentes sobre ciberseguridad para empresas

¿Es legal hacer phishing a mis empleados?

Una simulación con fines de formación se puede hacer, pero con condiciones: autorización por escrito de la dirección, un alcance definido, sin recoger contraseñas reales y respetando la normativa de protección de datos. También conviene decidir qué se informa a la plantilla y cuándo. Lo dejamos todo por escrito antes de enviar el primer correo. Si tienes dudas sobre tu caso concreto, consúltalo con tu asesoría laboral o de protección de datos.

¿Cada cuánto conviene repetir las campañas?

Depende del tamaño de la empresa y de cómo salga la primera. Lo habitual es espaciarlas varios meses y cambiar los escenarios cada vez. También tiene sentido repetir cuando entra personal nuevo o cambian las herramientas que usáis.

¿Qué es DMARC y por qué lo necesito?

Es un registro DNS que indica a los servidores de correo qué hacer con los mensajes que dicen venir de tu dominio y no pasan las comprobaciones de SPF y DKIM. Sin él, es más fácil que alguien mande correos en nombre de tu empresa a tus clientes. Además, los grandes proveedores de correo lo piden cada vez más para entregar con normalidad.

¿Vais a ver las contraseñas de mi equipo?

No. En las campañas de phishing controlado el formulario no guarda lo que se escribe, solo que hubo un envío. En la formación tampoco pedimos contraseñas a nadie.

¿Cuánto cuesta?

La configuración de SPF, DKIM y DMARC parte de 290€, una campaña de phishing para hasta 25 personas de 490€, la formación de 390€ y la auditoría web de 490€. El pack con phishing, formación y DMARC parte de 990€. El precio final depende del número de empleados y del alcance: cuéntanos cuántas personas sois y qué te interesa, y te enviamos una propuesta por escrito.

Servicios relacionados

Mantenimiento web: actualizaciones, copias y seguridad continua de tu web
Desarrollo web a medida: webs con código propio y menos dependencias
Software a medida: herramientas internas con control de accesos

Empieza por lo que más riesgo tiene

Una campaña de phishing, una auditoría de la web o el DMARC de tu dominio. Te ayudamos a decidir el orden.