Sabemos qué tienes expuesto.
Identificamos la superficie real de ataque y las vulnerabilidades que existen hoy, no las que deberían existir según un inventario desactualizado.
Producto principal
Del informe de pentesting al cierre verificado
Security Closure reúne auditoría, priorización, acompañamiento en la corrección y retest. Acordamos el alcance, ayudamos a tu equipo a ejecutar el plan y dejamos evidencia del resultado de cada hallazgo. Si ya tienes un informe de otro proveedor con pruebas reproducibles, empezamos revisando ese material.
Para quién
Tiene sentido si te reconoces aquí.
- Tenéis un informe de pentesting con hallazgos que siguen abiertos.
- Sabéis que hay problemas, pero no quién los arregla ni en qué orden.
- Vuestro equipo ha corregido cosas y nadie ha vuelto a comprobarlas.
- Un cliente, un auditor o un seguro os pide pruebas, no promesas.
- No tenéis a nadie dedicado a seguridad y las tareas compiten con el resto.
Qué recibes
- Informe ejecutivo — qué riesgo teníais, qué riesgo tenéis ahora y qué decisión queda pendiente. Legible por dirección.
- Informe técnico — cada hallazgo con evidencia reproducible, impacto y corrección concreta.
- Plan de remediación priorizado — qué se toca primero y por qué, con esfuerzo estimado.
- Acompañamiento durante la corrección — dudas resueltas mientras vuestro equipo aplica los cambios.
- Informe de verificación — retest de cada hallazgo dado por resuelto, con su estado final.
- Evidencia de cierre — el documento que puedes enseñar fuera, con el Closure Rate del ciclo.
Cómo funciona
Seis fases con un estado por hallazgo.
En cualquier momento del ciclo puedes preguntar por un hallazgo concreto y saber exactamente en qué punto está. Eso es la mitad del producto.
No todas las vulnerabilidades importan igual.
Ordenamos los hallazgos por riesgo real: severidad técnica, explotabilidad, exposición del activo y qué significa ese activo para tu negocio. Un crítico en un entorno de pruebas aislado no es un crítico.
Convertimos los hallazgos en acciones concretas.
Aquí es donde la mayoría de auditorías terminan y donde nosotros seguimos. Trabajamos con tu equipo o con tu proveedor: qué hay que tocar, en qué orden, con qué cambio concreto y qué esperar después.
Volvemos a probar. Corregido no es lo mismo que cerrado.
Repetimos la prueba sobre cada hallazgo que se ha dado por resuelto. Un cambio puede mitigar el síntoma y dejar el problema, o abrir uno nuevo. Hasta que no lo comprobamos, sigue abierto.
Documentamos qué se cerró y qué riesgo queda.
Un documento que puedes enseñar a un cliente, a un auditor o a tu consejo: qué se encontró, qué se corrigió, qué se verificó y qué riesgo se ha aceptado conscientemente.
El estado de ayer no describe el sistema de hoy.
Cuando tiene sentido, mantenemos el ciclo abierto: nuevas versiones, nuevos activos, nuevas vulnerabilidades. La seguridad no es un proyecto que termina, es un estado que se mantiene.
Alcance
Qué probamos.
El alcance se acuerda antes de empezar y se escribe. Lo que queda fuera también, para que nadie confunda «no encontramos nada» con «no lo miramos».
Aplicaciones y APIs
Tu producto y todo lo que expone. Es donde suelen estar los hallazgos que de verdad importan: acceso a datos de otros clientes, escaladas de privilegio, lógica de negocio que se puede saltar.
Infraestructura y cloud
Lo que hay detrás: servicios expuestos, configuración de la nube, permisos demasiado amplios y todo lo que se quedó abierto «temporalmente» hace dos años.
Detalle técnico: metodología, pruebas y entregables
Marcos de referencia
- OWASP WSTG para aplicación web y OWASP API Security Top 10 para APIs.
- PTES como estructura de ejecución del trabajo ofensivo.
- MITRE ATT&CK para describir técnicas cuando el alcance lo justifica.
- CVSS v3.1 como referencia de severidad, siempre ajustada al contexto del activo.
Qué se prueba
- Autenticación, gestión de sesión y recuperación de cuenta.
- Control de acceso horizontal y vertical, incluido a nivel de objeto en APIs.
- Inyección (SQL, NoSQL, comandos, plantillas), deserialización y SSRF.
- Lógica de negocio: flujos que se completan en un orden que nadie previó.
- Configuración de infraestructura, cabeceras, TLS y exposición de servicios.
- Secretos filtrados en repositorios, artefactos y respuestas de la propia aplicación.
Estados de un hallazgo
El Closure Rate del ciclo se calcula como hallazgos en estado VERIFIED CLOSED dividido entre los que requerían acción. Es una métrica interna de InmunoSec para medir evolución, no un estándar del sector.
Inversión
Desde 1.490 €, según complejidad.
El precio del ciclo depende del alcance real: cuántas aplicaciones, cuántos endpoints, cuánta infraestructura y cuánto acompañamiento necesita tu equipo en la fase de remediación. No pagas por el número de vulnerabilidades que encontremos, sino por el alcance que auditamos: eso evita el incentivo perverso de preferir que encontremos pocas.
1.490 €
Un activo o ámbito acotado. Startups y equipos pequeños con superficie limitada.
2.490 €
Varios activos, web + API. El tamaño más habitual de los ciclos que hacemos.
3.990 €
Múltiples aplicaciones, APIs e infraestructura o cloud en el mismo ciclo.
5.000 €+
Superficie amplia, varios entornos o requisitos de acompañamiento extensos.
El alcance de la remediación acompañada también tiene un límite explícito: por ejemplo, hasta 10 vulnerabilidades de severidad media/alta incluidas. Las críticas o los trabajos de corrección más complejos se presupuestan aparte, y se dice antes de empezar, no al final.
- Precio cerrado antes de empezar, con el alcance por escrito.
- El retest de los hallazgos del ciclo va incluido: no se cobra aparte lo que da sentido al servicio.
- Si al hablar vemos que lo que necesitas es más pequeño de lo que pensabas, te lo decimos.
Quién hace qué
Al terminar el ciclo dispones de un estado verificable por hallazgo, las pruebas realizadas y las excepciones que siguen abiertas. Acordamos las responsabilidades antes de empezar.
| Actividad | Responsabilidad que se acuerda |
|---|---|
| Definir activos, accesos y ventanas | InmunoSec y tu responsable técnico |
| Identificar y priorizar hallazgos | InmunoSec, con el contexto del negocio |
| Aplicar cambios | Tu equipo o proveedor; ejecución por InmunoSec solo si entra en la propuesta |
| Resolver dudas durante la corrección | InmunoSec dentro del acompañamiento contratado |
| Repetir pruebas y documentar el resultado | InmunoSec, sobre el entorno y alcance acordados |
| Aceptar un riesgo que permanece | La persona responsable designada por tu organización |
Preguntas antes de contratar
¿Puedo traer un informe de otra empresa?
Sí. Revisamos si contiene la información necesaria para entender y reproducir los hallazgos. Acordamos contigo qué parte se puede remediar y verificar con ese material.
¿InmunoSec aplica todas las correcciones?
El servicio incluye acompañamiento. La propuesta especifica quién aplica cada cambio y qué trabajos de ejecución están incluidos.
¿Qué pasa si un hallazgo sigue abierto?
Se documenta su estado y la prueba realizada. Se propone el siguiente paso o se deja constancia de una aceptación de riesgo por el responsable autorizado. Un riesgo aceptado no equivale a una corrección verificada.
¿Cómo demostráis el cierre?
Repetimos las pruebas acordadas y registramos su resultado, fecha y entorno. Una prueba que no se ha podido realizar se identifica como tal.
¿Un retest garantiza que ya no existe ningún riesgo?
Verifica los hallazgos y escenarios del alcance acordado. No equivale a garantizar que todo el sistema esté libre de vulnerabilidades.
¿El trabajo sirve para responder a un cliente o auditor?
Puede aportar evidencia técnica. Antes de contratar revisamos qué exige ese tercero; la aceptación de la evidencia depende de sus requisitos.
Para seguir avanzando
Ya tengo un informe
Revisamos el material disponible para preparar un plan de cierre.
Qué hacer después de un pentest
Pasos y plantilla para organizar responsables, correcciones y pruebas.
Un caso real en Bizkaia
Qué encontró el retest después de limpiar y migrar un WordPress comprometido.
¿Cuántos hallazgos tienes abiertos ahora mismo?
Si la respuesta es «no lo sé con certeza», ese ya es el primer dato. Hablemos media hora y te decimos por dónde empezaríamos.
Respondemos en menos de 24 horas laborables. Primera conversación sin coste y sin compromiso.