La ciberseguridad ha dejado de ser una opción
Hace cinco años, la ciberseguridad para empresas medianas era un tema que aparecía después de la auditoría externa, normalmente con prisa y con un presupuesto improvisado. Hoy es un requisito estructural: NIS2 obliga, los seguros piden pruebas, los clientes corporativos exigen certificaciones y los ataques de ransomware han pasado de ser noticia ocasional a riesgo operativo cotidiano. La pregunta no es si tu empresa será objetivo de un intento de ataque — lo es ya, todas lo son — sino si tu organización está preparada para detectarlo, contenerlo y recuperarse sin parar el negocio.
En Impulso Tecnológico diseñamos, desplegamos y operamos planes de ciberseguridad empresarial para empresas medianas en España, Portugal y otros 24 países donde tenemos clientes activos. No vendemos “soluciones de seguridad” sueltas — vendemos un programa coherente que cubre auditoría, prevención, detección, respuesta y formación, con tecnologías líderes (Fortinet, Sophos, Microsoft Defender, Veeam) y un equipo propio con certificaciones activas en cada una de ellas. Cuando el incidente ocurre, atendemos la llamada el primero, no el cuarto.
Auditoría de seguridad: empezar por dónde estás, no por dónde te gustaría estar
Cualquier plan de seguridad empieza con un diagnóstico honesto. Nuestra auditoría de seguridad informática combina análisis técnico y revisión organizativa para producir un mapa completo de la superficie de ataque actual, las vulnerabilidades explotables, las políticas que faltan y las que sobran. No usamos plantillas genéricas — adaptamos el alcance al sector, tamaño y arquitectura del cliente.
El proceso cubre, como mínimo:
- Análisis de infraestructura: revisión de la red, segmentación, configuración de switches y firewalls, puntos de acceso WiFi y arquitectura cloud (Microsoft 365 / Azure / AWS si aplica).
- Inventario de activos críticos: servidores, bases de datos, aplicaciones de negocio, identidades privilegiadas. Cualquier cosa que valga la pena proteger.
- Análisis de identidades y accesos: revisión de cuentas con permisos elevados, uso real de MFA, políticas de contraseñas, accesos huérfanos.
- Tests de vulnerabilidades: escaneo automatizado interno + externo, validación manual de hallazgos críticos, priorización por riesgo real (no por puntuación CVSS aislada).
- Revisión de procesos: respuesta a incidentes, copias de seguridad, gestión de cambios, formación al usuario. El factor humano es responsable de más brechas que cualquier fallo técnico.
- Cumplimiento normativo: encaje con NIS2, Esquema Nacional de Seguridad (ENS), ISO 27001 y RGPD según el perfil del cliente.
El entregable es un informe ejecutivo (para dirección) y un plan técnico priorizado (para sistemas) con plazos realistas y presupuesto cerrado por fase. Sin opacidades.
Firewalls NGFW y segmentación: el perímetro sigue importando
A pesar del paradigma “Zero Trust” y de que la red de oficina ya no es la frontera única, el firewall de nueva generación (NGFW) sigue siendo una pieza central de cualquier arquitectura de seguridad empresarial. La diferencia ahora es que hace mucho más que filtrar puertos: inspecciona tráfico cifrado (SSL/TLS), aplica políticas por aplicación e identidad de usuario, integra IPS/IDS y se comunica con el resto del stack de seguridad.
Trabajamos como partners certificados con las dos plataformas que mejor encajan en empresa media:
- Fortinet FortiGate: nuestra recomendación cuando el cliente busca rendimiento, ecosistema integrado (Security Fabric con FortiSwitch, FortiAP, FortiClient) y un coste de licencia razonable a escala. Excelente para SD-WAN multisede.
- Sophos XGS: nuestra recomendación cuando ya hay Sophos Central para endpoints, porque la respuesta sincronizada entre firewall y endpoint detecta automáticamente comportamiento anómalo y aísla el dispositivo afectado antes de que la amenaza se propague.
El despliegue incluye segmentación interna con VLANs por función (servidores, usuarios, IoT, invitados, cámaras), políticas de aplicación por grupo de Active Directory / Entra ID, inspección SSL donde la legislación y la productividad lo permiten, y monitorización centralizada con alertas que llegan a un técnico de Impulso, no solo a un buzón sin leer.
Protección endpoint, EDR/XDR y respuesta sincronizada
El antivirus tradicional dejó de ser suficiente hace una década. Hoy la protección del puesto de trabajo se llama EDR (Endpoint Detection and Response) o XDR (Extended Detection and Response) según incluya o no telemetría de identidad, correo y red. Desplegamos principalmente:
- Sophos Intercept X con XDR: por madurez del producto, integración con el firewall y por la consola unificada en Sophos Central que permite operar todo desde un único punto.
- Microsoft Defender for Endpoint (Plan 2): cuando el cliente ya tiene Microsoft 365 E5 o licencias compatibles, aprovechando integración nativa con Entra ID, Defender for Office 365 y Defender for Cloud Apps.
La política incluye protección anti-ransomware con rollback automático, control de aplicaciones, cifrado de disco (BitLocker gestionado), control de dispositivos USB y respuesta automatizada ante indicadores de compromiso.
Backup inmutable y plan de recuperación ante desastres
El backup es la última línea de defensa contra el ransomware — y, paradójicamente, es donde casi todas las pymes fallan: copias accesibles desde la misma red que protegen, ventanas de backup obsoletas, retenciones cortas, restauraciones que no se prueban nunca. Nuestro estándar mínimo aplica la regla 3-2-1-1-0:
- 3 copias de los datos (la productiva + 2 backups)
- 2 soportes distintos (disco local + cloud o cinta)
- 1 copia offsite geográficamente separada
- 1 copia inmutable que ningún operador puede borrar dentro de la ventana de retención
- 0 errores en la verificación periódica de restauración
Trabajamos con Veeam Backup & Replication y Acronis Cyber Protect para entornos mixtos (VMware, Hyper-V, Microsoft 365), con replicación a Azure Blob inmutable u Object Lock S3. El plan de recuperación incluye RTOs y RPOs documentados, pruebas trimestrales de restauración y simulacros anuales de incidente completo.
Cumplimiento normativo: NIS2, ENS, ISO 27001, RGPD
La carga normativa en ciberseguridad empresarial ha crecido sustancialmente en los últimos tres años. NIS2 (Directiva UE 2022/2555) afecta a un perímetro de empresas mucho más amplio que su predecesora, incluyendo medianas empresas en sectores esenciales e importantes. El Esquema Nacional de Seguridad (ENS) es obligatorio para proveedores del sector público. ISO 27001 sigue siendo el estándar de referencia para clientes corporativos que exigen certificación a sus proveedores. RGPD es el suelo común desde 2018.
Acompañamos al cliente en todo el recorrido: análisis de aplicabilidad, gap-analysis frente al estándar correspondiente, plan de adecuación, implementación de controles técnicos y organizativos, documentación de políticas, formación al equipo y, cuando se requiere, soporte durante la auditoría externa de certificación.
Formación y concienciación: el eslabón humano
Más del 80 % de las brechas reales empiezan en un usuario que pincha donde no debe. Por eso cualquier plan serio de ciberseguridad incluye un programa continuo de formación antiphishing y concienciación:
- Campañas de phishing simulado mensuales con reportes por departamento.
- Microformaciones de 5 minutos cuando un usuario falla, en el momento.
- Talleres anuales presenciales para perfiles de alto riesgo (dirección, finanzas, RRHH).
- Material adaptado al cliente: ejemplos reales del sector, idioma del usuario (ES, EN, PT), tono que no insulta a la inteligencia.
Cómo trabajamos
Cada cliente entra por la auditoría de seguridad gratuita (2 horas, in situ o remota) → auditoría técnica completa con informe (2-3 semanas) → plan de seguridad informática con fases y presupuesto cerrado → implementación por fases sin parar el negocio → operación continua con SLA 9×5 y guardia 24×7 opcional → revisión trimestral del estado de seguridad con KPIs reales.
Si tu empresa tiene una brecha hoy mismo, llama al +34 91 505 7574. El primer paso lo resolvemos en horas, no en semanas.