El precio se calcula por jornadas. Qué mueve el número de jornadas, qué horquillas publican hoy los proveedores que venden en España, tres alcances desglosados y las nueve preguntas que vuelven comparables dos presupuestos.
El camino más barato hacia una empresa no pasa por el firewall: pasa por una persona. Qué es la ingeniería social, en qué se diferencia del test de ingeniería social que se contrata, qué técnicas se ven hoy en España y qué medidas aguantan de verdad.
El Real Decreto 311/2022 nombra las pruebas de penetración exactamente dos veces, y ninguna de ellas es la medida que repite medio mercado. Dónde están, a qué categoría aplican, con qué frecuencia y a qué empresas privadas alcanza el ENS de verdad.
NIS2 no está transpuesta en España y el anteproyecto no ha llegado a las Cortes. Mientras tanto, el Reglamento de Ejecución (UE) 2024/2690 sí es directamente aplicable y exige pruebas de seguridad documentadas. Qué te vincula hoy, con los textos citados uno a uno.
No existe un registro español de empresas de ciberseguridad y la Ley 5/2014 dejó ese régimen sin desarrollar. Repasamos los textos que sí se aplican — Código Penal, RDL 12/2018, LCSP, RGPD y DORA — y decimos con nombre propio qué encargos no podemos aceptar.
El mercado llama «auditoría» a tres actividades distintas del Esquema Nacional de Seguridad, y solo una de ellas está reservada a entidades acreditadas. Qué dice cada norma, y por qué quien implantó tu ENS no puede auditarlo.
Decenas de páginas venden la campaña de phishing simulado como producto y ninguna responde a la pregunta que de verdad frena el proyecto: ¿se puede hacer esto con la representación legal de la plantilla delante? La respuesta está en el art. 87.3 de la LOPDGDD y en una sentencia del Tribunal Supremo de 2024. Aquí tienes el trámite completo, en orden.
Compras un trabajo que solo puedes juzgar cuando ya lo has pagado, y ningún registro filtra a los proveedores por ti. Estas son las nueve preguntas que ordenan la decisión, lo que el contrato tiene que decir y cómo se lee un presupuesto línea a línea.
Un SGSI cubre la mayor parte del artículo 21 de la directiva, pero no el registro, ni los plazos de notificación, ni la responsabilidad del órgano de dirección. Y en España la obligación no llega hoy por una ley: llega por los contratos y por la cadena de suministro.
Uno enumera lo que está desactualizado o mal configurado. El otro demuestra qué es explotable y hasta dónde llega. Qué evidencia produce cada uno, qué pide el art. 32.1.d) del RGPD y por qué el propio ENS los separa en dos puntos distintos.
Un JWT está codificado, no cifrado. Cómo se rompen en un pentest —algorithm confusion, secretos HMAC débiles, inyección en kid y jku, claims sin validar— y qué controles lo impiden.
La IA no es un escudo, es un amplificador. Dónde ayuda de verdad a un equipo de seguridad, dónde falla y por qué una defensa que se apoya en un modelo hay que probarla como el resto.
La IA ha borrado las faltas que delataban un correo fraudulento. Estas son las señales que las sustituyen y qué cambia en una simulación de phishing.
Bastan unos segundos de audio público para producir una voz creíble al teléfono. Las señales de alerta, la devolución de llamada a un número conocido, la doble validación del IBAN y cómo probar todo eso sin señalar a nadie.
El BORME, las cuentas depositadas, los pliegos técnicos, las ofertas de empleo y LinkedIn cuentan más de tu empresa de lo que parece. Cómo se ensambla todo eso en un pretexto y cómo reducir tu huella digital sin dejar de comunicar.
La IA no cambia el objetivo de un atacante, cambia el coste de su preparación. Qué se mueve en el phishing, la voz, el OSINT y la investigación de vulnerabilidades, y qué cambia eso en un test.
Entrar en sistemas ajenos con permiso, un proyecto de cada dos en aplicaciones web, grupos APT financiados por Estados y un SMS que casi cuela a quien vive de detectarlos. El pódcast, en eslovaco; el resumen de la conversación, aquí en español.
Una charla sobre cómo se pasa de la recepción al controlador de dominio y un taller de hacking de aplicaciones Android, en la Talsec AppSec Conf de Praga. Esto es lo que nos llevamos.
Un ataque simulado contra tus propios sistemas, hecho con autorización escrita y sobre un alcance definido. Qué demuestra, cómo transcurre, qué tiene que llevar el informe y las seis cosas que un pentest no hace por ti.
¿Tu asistente de IA aguanta de verdad? Muchas veces basta una frase bien construida para que el modelo se olvide de sus propias reglas. Aquí están las clases de ataque que importan —prompt injection directa e indirecta, jailbreak, fugas por el pipeline RAG, agentes con permisos de más—, por qué un cortafuegos aplicativo no las detiene y qué mira exactamente un pentesting especializado.
Ocho semanas sin las restricciones de alcance de un test de intrusión. El perímetro expuesto aguantó entero; la entrada llegó por una sala de reuniones y una toma de red. Al final del recorrido, administrador de dominio y ni una sola alerta en el camino.
Una auditoría comprueba que tus medidas existen sobre el papel. Un test de intrusión comprueba que aguantan. Qué espera tu auditor como prueba técnica, y cómo dársela antes de que llegue la fecha.
Nuestra investigación midió qué aportan varios LLM a la detección de vulnerabilidades y al análisis de registros de seguridad. El ahorro de tiempo es real; los falsos positivos y el coste, también. Y queda una pregunta entera: por dónde salen tus datos.
Una inyección SQL ejecutada en directo, pares de código PHP vulnerable y corregido, y OWASP entendido como procedimiento y no como lista de riesgos. Crónica de la sesión en la FEI STU.
CVE que vuelven año tras año, el segundo factor en la banca y qué es realmente un test de intrusión cuando se quita el atrezo de película. El pódcast, en eslovaco; el resumen de la conversación, aquí en español.
La técnica de un test y la de un ataque son la misma; lo que cambia es el permiso. Autorización previa, alcance cerrado y divulgación responsable, con los artículos del Código Penal que lo deciden. El pódcast, en eslovaco; el resumen, aquí en español.
