Correos falsos y fraude al director
Un correo que parece de un proveedor o de la dirección basta para cambiar una cuenta bancaria o robar una contraseña.
Auditoría · Pentest · Concientización
Sabemos dónde está expuesta tu empresa antes que un atacante
Auditamos tu ciberseguridad por fases, con autorización firmada y sin tocar tu operación. Te entregamos un informe que entiende la dirección y un plan priorizado con costo, esfuerzo y responsable.
- NDA y carta de autorización antes de empezar
- Evidencia cifrada y destruida a los 90 días
- Críticos avisados en menos de 24 h
El riesgo real
Lo que hoy le pasa a empresas como la tuya
La mayoría de los incidentes en empresas medianas no requieren un atacante sofisticado: aprovechan lo que nadie revisó.
Ransomware sin respaldos probados
Si los respaldos no se han restaurado nunca, no sabes si te salvarán el día que los necesites.
Datos personales y LFPDPPP
Expedientes, nómina y bases de clientes tienen obligaciones legales; una fuga se paga en multas y reputación.
Clientes y aseguradoras piden evidencia
Cada vez más contratos y pólizas exigen demostrar controles de seguridad, no solo decir que existen.
Servicios
Del diagnóstico a la mejora continua
La auditoría es la puerta de entrada; después te acompañamos a cerrar lo que encontramos.
Auditoría de ciberseguridad
Diagnóstico integral de tu postura con CIS Controls y NIST CSF 2.0.
- Entrevistas con dirección y TI
- Escaneo externo e interno
- Revisión de nube, identidades, red y respaldos
- Informe ejecutivo y anexo técnico
Pruebas de penetración
Simulamos un ataque controlado sobre lo que más te importa, siempre después del diagnóstico.
- Infraestructura externa
- Aplicaciones web y APIs
- Red interna y Active Directory
- Apps móviles, Wi-Fi e ingeniería social
Remediación
Ejecutamos los quick wins y el plan a 90 días; como casa de software también corregimos tus aplicaciones.
- MFA, respaldos y hardening
- Segmentación y configuración de nube
- Parches y políticas
- Corrección de código en apps propias
Concientización y phishing simulado
Un programa anual que cambia hábitos, medido por área y nunca por persona.
- 12 campañas mensuales
- 4 simulacros de dificultad creciente
- Cursos de ingreso y anual
- Reportes trimestrales
vCISO y monitoreo
Un oficial de seguridad externo y vigilancia continua sin contratar un área completa.
- Comité de seguridad mensual
- Gestión del registro de riesgos
- Escaneo mensual y credenciales filtradas
- Playbook de respuesta a incidentes
Cumplimiento LFPDPPP
Proyecto corto para cumplir con la ley de protección de datos personales.
- Aviso de privacidad
- Inventario de datos
- Procedimiento ARCO
- Plan de respuesta a vulneraciones
Cómo trabajamos
Siete fases con compuertas
Cada fase termina con un entregable que tú aceptas. Ninguna fase abre sin la anterior aprobada, y ninguna prueba técnica empieza sin la carta de autorización firmada.
- 0
Encuadre
3 a 5 díasLlamada de descubrimiento, propuesta, NDA, contrato y carta de autorización (RoE).
Entregable: Propuesta y documentos firmados
- 1
Planeación y kickoff
2 a 3 díasEnlace del cliente, documentación requerida, autoevaluación CIS y ventanas de prueba.
Entregable: Plan de auditoría
- 2
Levantamiento
5 a 7 díasEntrevistas con dirección, TI, RH y finanzas; inventario de activos y mapa de datos.
Entregable: Inventario de activos y matriz documental
- 3
Evaluación técnica
5 a 10 díasReconocimiento y escaneo externo e interno, revisión de configuración, identidades y phishing simulado.
Entregable: Reporte técnico con evidencia
- 4
Análisis de riesgo
3 a 5 díasRegistro único de hallazgos, matriz de riesgo, madurez por función NIST y plan de remediación.
Entregable: Registro de riesgos, scorecard y plan
- 5
Informe y presentación
3 a 4 díasInforme ejecutivo y anexo técnico con revisión cruzada, presentación a dirección y a TI.
Entregable: Informe ejecutivo, anexo y acta de cierre
- 6
Seguimiento
Días 30, 60 y 90Llamadas de avance y re-auditoría a los 90 días con scorecard antes y después.
Entregable: Reporte de re-auditoría
Compuerta: el entregable de cada fase se acepta por escrito antes de avanzar.
Duraciones del paquete Estándar; Esencial las reduce a la mitad e Integral las duplica.
Paquetes
Un alcance a la medida de tu empresa
Tres paquetes según tamaño y complejidad. El precio llega con la propuesta, después de la llamada de descubrimiento.
Esencial
- Para
- 1 a 50 empleados, una sede, sin área de TI formal, SaaS y laptops
- Alcance
- Hasta 30 equipos, 1 red, 5 servicios en nube y 1 sitio web
- Duración
- 2 semanas
- Marco
- CIS Controls v8.1 IG1 (56 salvaguardas)
Estándar
- Para
- 51 a 250 empleados, 1 a 3 sedes, equipo de TI pequeño, servidores o nube, ERP/CRM
- Alcance
- Hasta 150 equipos, 3 redes, 20 servicios, 3 aplicaciones y directorio corporativo
- Duración
- 4 semanas
- Marco
- CIS IG2 + NIST CSF 2.0
Integral
- Para
- Más de 250 empleados o giro regulado (financiero, salud, fintech, gobierno)
- Alcance
- Sin tope fijo: se dimensiona por inventario, incluye nube híbrida y proveedores críticos
- Duración
- 6 a 8 semanas
- Marco
- ISO 27001:2022 Anexo A + CIS IG3 + normativa sectorial
Si manejas datos de tarjetas, de salud o más de 10,000 registros personales, la exposición regulatoria sube el paquete un nivel.
Lo que recibes
Documentos que se usan, no que se archivan
Un solo registro de hallazgos alimenta todo: la dirección lee el ejecutivo en 15 minutos y TI reproduce cada hallazgo con el anexo.
Informe ejecutivo
8 a 12 páginas: nivel de riesgo global, los hallazgos críticos en lenguaje de negocio y tres acciones para esta semana.
Anexo técnico
Cada hallazgo con severidad, evidencia y pasos para reproducirlo y corregirlo.
Scorecard de madurez
Nivel 1 a 4 por función de NIST CSF 2.0 y porcentaje de controles CIS implementados.
Plan de remediación
Quick wins, 90 días y 6 a 12 meses, con esfuerzo, costo estimado y responsable sugerido.
Acta de cierre
Lista de entregables con su huella digital y carta de hallazgos críticos abiertos.
Re-auditoría a 90 días
Volvemos a medir para comprobar lo que se corrigió y comparar antes y después.
Marcos
Estándares internacionales, contexto mexicano
CIS Controls v8.1
Lista operativa de controles
NIST CSF 2.0
Estructura del informe y madurez
ISO/IEC 27001:2022
Cumplimiento y ruta a certificación
OWASP
Aplicaciones web, APIs y móviles
PTES · OSSTMM
Metodología de pruebas de intrusión
LFPDPPP · CNBV · PCI DSS
Capa normativa según tu giro
Confianza
Reglas que protegen a tu empresa
Vamos a conocer tus puntos débiles; por eso trabajamos con reglas escritas que se cumplen en cada proyecto.
Nada sin autorización firmada
NDA, contrato y carta de autorización con alcance, horarios y contacto de emergencia antes de cualquier prueba.
Nunca sacamos tus datos
Al demostrar un impacto nos detenemos; documentamos con una muestra mínima, sin extraer información real.
Personas protegidas
Los resultados de phishing se miden por área, nunca por persona, y nadie es exhibido.
Evidencia cifrada y destruida
Cada archivo lleva su huella digital y cadena de custodia; a los 90 días se destruye y te entregamos un certificado.
Avisos inmediatos
Si encontramos algo crítico lo validamos a mano y te avisamos en menos de 24 horas, sin esperar al informe.
Concientización
Un año para cambiar hábitos
La tecnología no basta si una persona da clic. Nuestro programa anual entrega un tema por mes y mide el avance.
- campañas mensuales
- 12
- simulacros de phishing
- 4
- piezas por campaña
- 6
Ene
Reconocer un correo falso
Simulacro
Feb
Contraseñas y gestor
Mar
Autenticación de dos pasos
Abr
Fraude por WhatsApp, SMS y llamada
Simulacro
May
Información confidencial
Jun
Dispositivos y Wi-Fi
Jul
Fraude al director y a proveedores
Simulacro
Ago
Ransomware y respaldos
Sep
Cómo reportar un incidente
Oct
Mes de la Ciberseguridad
Simulacro
Nov
Compras en línea
Dic
Resultados del año
Autodiagnóstico gratuito
¿Qué necesita tu empresa? Averígualo en 5 minutos
El autodiagnóstico en línea estará disponible pronto. Mientras tanto, escríbenos y hacemos la pre-calificación por teléfono.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Van a entrar a mis sistemas?
Solo a lo que autorices por escrito en la carta de autorización: activos, horarios, técnicas permitidas y prohibidas. Sin ese documento firmado no se ejecuta ninguna prueba técnica.
¿Qué pasa si encuentran algo crítico?
Lo validamos manualmente para descartar falsos positivos y te avisamos en menos de 24 horas, con la recomendación para contenerlo, sin esperar al informe final.
¿La auditoría interrumpe la operación?
No. Las pruebas se hacen en ventanas acordadas, no hacemos pruebas de saturación y nos detenemos al demostrar un impacto. Hay una palabra de paro y un contacto de emergencia.
¿Quién ve mis datos?
Solo el equipo asignado, bajo NDA. La evidencia se guarda cifrada con cadena de custodia, los informes viajan cifrados y la evidencia cruda se destruye a los 90 días del cierre.
¿Cuánto dura?
Entre 2 y 8 semanas según el paquete: Esencial 2 semanas, Estándar 4 e Integral de 6 a 8. El seguimiento continúa a los 30, 60 y 90 días.
¿También corrigen lo que encuentran?
Sí. Ofrecemos la remediación como proyecto aparte: quick wins, configuración, políticas y, como casa de software, corrección de código en tus aplicaciones.
¿Me sirve ante un cliente o una aseguradora?
Sí. El informe, el scorecard y el plan de remediación son evidencia de diligencia, y podemos emitir una carta resumen sin detalles técnicos para terceros.
¿Facturan en México?
Sí. Cerezasys es una empresa mexicana y emite CFDI por cada pago: 50 % de anticipo y 50 % contra el acta de cierre.
Empieza por saber dónde estás
El autodiagnóstico te da un punto de partida hoy; la auditoría, un plan para los próximos 12 meses.