Preguntas frecuentes

Lo normal es empezar por el diagnóstico de exposición. Revisamos desde fuera lo que un atacante puede ver de tu empresa: dominios, correo, servicios publicados en internet, contraseñas filtradas, configuración de Microsoft 365 o Google Workspace y estado de las copias. No hay que instalar nada en tus equipos. Recibes un informe para dirección y un plan priorizado, y con eso decides en qué invertir primero.

No. El plan es tuyo y lo puede ejecutar quien quieras, ya sea tu equipo o tu proveedor de informática. Está escrito para eso, con las acciones ordenadas por prioridad. Si más adelante contratas otro servicio con nosotros, partimos de ese diagnóstico. Ten en cuenta que la corrección de los problemas encontrados no entra en el diagnóstico y se presupuesta aparte.

Entre 2 y 3 semanas desde que se firma el alcance, según el número de aplicaciones y sistemas que entren en la prueba. Antes acordamos en una reunión qué se prueba, cuándo y con qué límites, y firmamos la autorización. Al final entregamos un informe ejecutivo para dirección y un informe técnico para tu equipo, y volvemos a comprobar los fallos graves una vez corregidos.

Un análisis de vulnerabilidades es una revisión automática que lista posibles fallos. En un pentest una persona comprueba a mano cuáles se pueden aprovechar de verdad y hasta dónde llegaría un atacante. Cada hallazgo se entrega con su evidencia, su gravedad y la forma de corregirlo. La corrección la hace tu equipo o se presupuesta aparte, porque no forma parte de la prueba.

Depende de lo que entre en la revisión. En el diagnóstico de exposición cuentan el número de dominios y de usuarios; en un pentest, las aplicaciones y los sistemas que se prueban. En esta página no damos importes: llámanos, cuéntanos cómo es tu empresa y te decimos cómo seguir. El precio final queda cerrado por escrito antes de empezar.

Según lo que haya que cubrir. Las cuotas de vigilancia dependen de los equipos y servidores; las copias, del volumen de datos y de los sistemas; Microsoft 365 o Google Workspace, de los usuarios y dominios; la concienciación, del número de personas. En cumplimiento miramos la norma, el tamaño y lo que ya tengas hecho, y el presupuesto cerrado llega por escrito en 48 horas tras el diagnóstico.

El diagnóstico se entrega en 5 días laborables. Microsoft 365 o Google Workspace se refuerza en 1 semana desde que tenemos el acceso de administrador. Las copias se implantan en 2 semanas y la campaña inicial de phishing también arranca en 2 semanas. La vigilancia 24/7 se pone en marcha en 10 días, contados desde que tenemos el inventario de equipos y los accesos necesarios.

No. Los servicios de cuota mensual no tienen permanencia. La vigilancia 24/7 se paga por meses y se puede dejar cuando quieras, y tampoco hay permanencia en las copias de seguridad ni en el responsable de seguridad externo. Se puede pagar por transferencia bancaria o con tarjeta, y los precios que te indiquemos no incluyen IVA (21 %). Si tienes dudas sobre las condiciones, llámanos.

El antivirus bloquea lo que reconoce y deja una alerta. En un SOC gestionado esas alertas se revisan, se investiga lo que el antivirus no ve y se actúa cuando hay un ataque en marcha. Vigilamos las alertas 24 horas los 7 días de la semana, analizamos cada una para descartar falsas alarmas y enviamos un informe mensual de actividad para dirección.

Lo importante es poder recuperar. Probamos tus copias actuales y te decimos si sirven, cuánto tardaría la recuperación y qué falta. Si contratas el servicio, hacemos copias automáticas inmutables fuera de tus instalaciones, que no se pueden modificar ni borrar durante el periodo fijado, y pruebas de recuperación periódicas con el tiempo que tardan por escrito. También vigilamos que cada copia termina bien y avisamos si falla.

Sobre todo el doble factor, que se activa con aviso previo y una guía sencilla. El resto de cambios apenas se notan en el trabajo diario. Antes de tocar nada apruebas un plan de cambios, y la aplicación es escalonada para no bloquear a nadie. Al terminar entregamos un documento con cada cambio y cómo mantenerlo, para tu equipo o tu proveedor de informática.

Dirección sabe en todo momento qué se envía y cuándo. A la plantilla se le explica el programa, pero no la fecha de cada simulación, para que el resultado sea real. El informe para dirección da los resultados agregados, y a quien cae en una simulación le llega una formación breve de refuerzo. Las sesiones son cortas y se pueden hacer en remoto.

Llama a la línea de incidentes cuanto antes; atiende 24 horas los 7 días de la semana. No borres nada ni reinstales equipos: desconéctalos de la red y espera instrucciones, porque las evidencias ayudan a saber qué ha pasado. Damos la primera respuesta en menos de 4 horas en horario laboral. Después contenemos el ataque, investigamos el origen y ayudamos a recuperar la actividad.

Sí. La respuesta a incidentes se puede contratar en el momento, sin tener otro servicio con nosotros. La primera intervención incluye hasta 8 horas de trabajo. Si hace falta más, te damos el presupuesto por escrito antes de seguir. No incluye la reinstalación completa de equipos y aplicaciones, que se presupuesta según el caso, ni la representación legal ante autoridades o juzgados.

Si hay datos personales afectados, el RGPD obliga a notificarlo a la AEPD en 72 horas desde que se conoce, salvo que sea improbable que suponga un riesgo para las personas. También conviene denunciar y avisar al seguro. Te ayudamos a preparar cada aviso, conservamos las evidencias por si hay que denunciar y entregamos un informe final para dirección y para el seguro.

Depende de las copias. Si hay copias que el atacante no ha alcanzado, se recupera desde ellas. Sin copias la recuperación no siempre es posible, y te lo diremos claro desde el principio. Por eso conviene tener copias inmutables, que no se pueden modificar ni borrar durante el periodo fijado, y probar de forma periódica que se puede recuperar desde ellas.

Depende del sector y del tamaño. La Directiva NIS2 se aplica a medianas y grandes empresas de los sectores de sus anexos I y II, y solo en algunos casos a pequeñas. A 6 de noviembre de 2026 la ley española que traspone la directiva no está publicada en el BOE. Podemos revisarlo contigo en una consulta, pero el asesoramiento jurídico sobre si una ley concreta te obliga no entra en nuestro servicio.

En la categoría básica basta una declaración de conformidad, que es una autoevaluación. En las categorías media y alta hace falta una certificación, con la auditoría de una entidad certificadora. Nosotros preparamos a la empresa: análisis de brechas, plan de trabajo, políticas, evidencias y auditoría interna previa. Preparar el cumplimiento lleva de 3 a 6 meses según la norma y el tamaño.

No certificamos: la certificación ISO/IEC 27001 o la del ENS la emite una entidad certificadora independiente. Nosotros preparamos a la empresa y la acompañamos en la auditoría. Si necesitas saber si tenemos una acreditación concreta, pregúntanos por teléfono o por correo. Al comparar proveedores, es buena costumbre pedir el nombre exacto de cada certificación, su alcance y su fecha.

El diagnóstico de exposición sirve como base: te dice qué puedes afirmar hoy y qué conviene corregir antes de responder. La respuesta completa al cuestionario forma parte del servicio de cumplimiento, y también la asume el responsable de seguridad externo (vCISO) si lo tienes contratado. Es una petición habitual, porque las empresas afectadas por NIS2 piden a sus proveedores que demuestren su seguridad.

Es un responsable de seguridad de la información externo. Hace el trabajo de dirección de seguridad que haría un CISO en plantilla, con la dedicación que la empresa necesita. No sustituye a tu equipo de informática: ese equipo mantiene los sistemas, y el vCISO fija las prioridades de seguridad, las coordina y responde ante dirección. Se reúne cada mes con la persona de dirección que designes.

Trabajamos en remoto en toda España y en presencial en la Comunidad de Madrid. Un pentest interno se hace conectados a tu red, en remoto o en persona. Ante un incidente, en la Comunidad de Madrid podemos ir en persona a la empresa si hace falta; en el resto de España trabajamos en remoto. Las sesiones de formación también pueden ser en remoto o presenciales en la Comunidad de Madrid.

No. Ningún proveedor puede asegurar que una empresa no sufrirá un incidente. Lo que sí se puede hacer es reducir lo que queda expuesto, detectar antes, responder con un procedimiento y recuperar con copias probadas. A eso se dedican nuestros servicios, y en cada uno recibes un informe para dirección en lenguaje claro y un plan técnico priorizado, para que sepas en qué punto estás.

Oteo es una empresa de ciberseguridad de Móstoles, en activo desde 2026. Aitor se ocupa de la dirección y de la relación con clientes. Hacemos consultoría de ciberseguridad, auditorías de seguridad informática y un centro de operaciones de seguridad (SOC) gestionado. Nunca publicamos el nombre de un cliente ni los detalles de un incidente sin su autorización escrita, y por eso esta web no enseña casos ni logos.