Pronix Information Technologies

Seguridad pragmática — OSSTMM, ISO 27001 & BSI Grundschutz

Seguridad como control demostrable, no marcar casillas — pruebas medibles OSSTMM, un ISMS ISO 27001 ligero, líneas base de BSI Grundschutz y defensa en profundidad, implementadas pragmáticamente.

Una buena seguridad no es un certificado en la pared — es control que puedes demostrar. Basamos nuestro trabajo en tres estándares contrastados — OSSTMM (pruebas medibles y repetibles), ISO 2700x (un sistema de gestión basado en riesgo) y BSI IT-Grundschutz (un catálogo pragmático de medidas base) — y vivimos la defensa en profundidad: controles en capas, para que ningún fallo aislado sea fatal. Lo que cuenta es la sustancia, no el papeleo: default-deny, auditable, modelado de amenazas, verificable.

Somos certificados OSSTMM/OPSA (OSSTMM Professional Security Analyst); para ISO 27001 y BSI Grundschutz somos practicantes que han construido ISMS repetidamente y llevado organizaciones a la (re)certificación — así que podemos dejarte listo para auditoría, necesites o no el diploma en la pared.

Los estándares que usamos — y qué aporta cada uno, pragmáticamente

Estándar / enfoqueQué aporta — pragmáticamenteDónde se concreta
OSSTMM (ISECOM)Pruebas de seguridad medibles y repetibles — hechos en vez de opiniones, una métrica real de seguridad operativa (el rav). Análisis que demuestra el control, no checklists. Somos certificados OSSTMM/OPSA (Professional Security Analyst).Evaluaciones de seguridad y auditorías · evidencias de auditoría en la Security & Observability Platform
ISO 2700xUn ISMS ligero y basado en riesgo con su catálogo de medidas — gobernanza, tratamiento del riesgo y responsabilidad nombrada, sin la burocracia. Hemos construido ISMS y dirigido (re)certificaciones.Rent-a-Security-Officer · Rent-a-Data-Protection-Officer
BSI IT-GrundschutzUna base pragmática de bloques (Bausteine) y el método BSI 200-x — compatible con ISO 27001, endurecimiento aplicable capa por capa.Endurecimiento de host / red · Sovereign Edge Firewall
Defensa en profundidad (vivida)El principio que une todo — controles en capas, default-deny, para que ningún fallo aislado sea fatal, cada capa auditable de forma independiente.Sovereign Edge Firewall · Abusive HTTP Watch · Sovereign Certificate Authority · Security & Observability Platform

Las preguntas siguientes están agrupadas para el CEO (qué hacer), el CIO (cómo), los estándares y la metodología, y la colaboración.

Para el CEO — qué hacer, y por qué es un tema de dirección

¿Es la seguridad realmente un tema de dirección — o puedo delegarla en TI?
De dirección. Bajo NIS2 (y el RGPD) la supervisión de la seguridad es una responsabilidad explícita de la dirección — los directivos pueden ser considerados personalmente responsables de una gobernanza insuficiente. Una brecha golpea ingresos, reputación y continuidad, no solo la sala de servidores. Puedes delegar el trabajo, no la responsabilidad. → Rent-a-Security-Officer · Acerca de
¿Qué me aporta concretamente una buena seguridad?
Control demostrable: incidentes menos numerosos y más pequeños, recuperación más rápida y evidencias que puedes entregar a auditores, aseguradoras, reguladores y clientes. Convierte la seguridad de un centro de costes y un riesgo en algo que gana licitaciones y acorta ciclos de venta. → Security & Observability Platform
¿No es un certificado (ISO 27001) el objetivo?
El certificado es el recibo, no la seguridad. Hemos construido ISMS y llevado organizaciones a la (re)certificación — y entregamos la sustancia, busques el diploma o no. Si una licitación o un cliente exige ISO 27001, te dejamos listo para certificar; si no, igualmente obtienes control real y demostrable. Sustancia primero, papeleo solo donde compensa. → Consultoría
¿Cuál es el riesgo de no hacer nada — hasta ahora todo bien?
El riesgo se acumula en silencio: exposición sin parchear, sin detección, sin plan de incidentes — hasta el único evento del que no te recuperas barato y para el que no puedes demostrar diligencia razonable. Bajo NIS2, « no habíamos llegado a ello » es en sí un hallazgo. → Rent-a-Security-Officer
¿Por dónde empiezo — cuál es el primer paso?
Una evaluación breve y medible (estilo OSSTMM) de dónde estás realmente, y luego un paso concreto y reversible — no un programa de un año antes de que algo mejore. A menudo un CISO fraccional o una revisión acotada entrega la primera reducción de riesgo en semanas. → Consultoría · Contacto
¿Cuánto deberíamos gastar en seguridad?
Lo suficiente para cubrir tu riesgo real, no más — por eso medimos primero (OSSTMM) y tratamos el riesgo por prioridad (ISO 27005 / BSI). La defensa en profundidad permite invertir capa por capa en vez de una gran apuesta. Lo modelamos según tu exposición real, no según un catálogo de proveedor.

Para el CIO — cómo implementarlo

¿Cómo evaluáis la seguridad sin que sea una checklist?
OSSTMM: pruebas medibles y repetibles de la seguridad operativa real — qué está expuesto, qué está controlado, qué es una limitación real — produciendo una métrica (el rav) que sigues en el tiempo, no un aprobado/suspenso. Hechos en vez de opiniones. → Security & Observability Platform
¿Podemos tener un ISMS sin ahogarnos en burocracia?
Sí — ese es justo el punto. Un ISMS ISO 27001 ligero, acotado a tus riesgos reales: las medidas y registros que de verdad necesitas, bloques BSI-Grundschutz para la base, y nada de papeleo que no reduzca riesgo. Hemos construido varios y los operamos. → Rent-a-Security-Officer
¿Qué significa « defensa en profundidad » en concreto en nuestro stack?
Controles en capas, default-deny — perímetro y segmentación, endurecimiento de host y configuración, aplicación y código, identidad y raíces de confianza, cifrado, y detección/respuesta — cada uno auditable de forma independiente, para que un fallo no sea fatal. → Sovereign Edge Firewall · Sovereign Certificate Authority
¿Cómo sabemos de un incidente antes que nuestros clientes?
Detección centralizada y pistas de auditoría: SIEM/XDR sobre endpoints, servidores, red y cloud, con alertas y una ruta de respuesta probada — más las evidencias consultables para reconstruir lo ocurrido. → Security & Observability Platform
¿Cómo se integra con lo que ya operamos?
Tomamos tu parque como está — basado en estándares (syslog, identidad estándar, API), agentes donde ayudan, endurecimiento aplicado a sistemas existentes. La defensa en profundidad es aditiva; no necesitas borrón y cuenta nueva. → Desarrollo a medida
¿Quién opera la seguridad tras el compromiso?
Tu equipo, idealmente: construimos para que sea operable, documentamos todo, y podemos diseñar perfiles de contratación e incorporar a tu equipo interno de seguridad/arquitectura — u operarlo de forma transitoria mientras te pones al día. → Consultoría · Rent-an-Enterprise-Architect

Estándares y metodología

¿Qué es OSSTMM, en términos sencillos?
El Open Source Security Testing Methodology Manual (ISECOM): una forma rigurosa y neutral de probar la seguridad para que el resultado sea medible y repetible. En vez de la opinión de un auditor, obtienes hechos sobre qué está expuesto y qué está realmente controlado — y una métrica (el rav) que puedes seguir. Seguridad demostrable por construcción.
¿Qué es ISO 2700x?
La familia internacional para la gestión de la seguridad de la información: ISO 27001 (el ISMS certificable — gobernanza, tratamiento del riesgo, controles del Anexo A), 27002 (guía de controles), 27005 (riesgo). El sistema de gestión que hace la seguridad repetible y responsable en vez de heroica.
¿Qué es BSI IT-Grundschutz?
El enfoque de protección base de la Oficina Federal Alemana de Seguridad de la Información: un catálogo de bloques prácticos (Bausteine) más el método BSI 200-x (ISMS, metodología, riesgo). Pragmático y compatible con ISO 27001 — una base concreta de « haz estas cosas » en vez de principios abstractos.
¿OSSTMM vs. ISO vs. BSI — por qué los tres?
Hacen cosas distintas y se refuerzan: OSSTMM mide (pruebas y aseguramiento), ISO 27001 gobierna (el sistema de gestión), BSI Grundschutz aporta la base (los controles concretos). La defensa en profundidad es la arquitectura que une todo. Usamos cada uno donde aporta valor, ninguno como marcar casillas. → ver el mapa de arriba
¿Estáis certificados — OSSTMM, ISO 27001, BSI Grundschutz?
Somos certificados OSSTMM/OPSA (OSSTMM Professional Security Analyst). Para ISO 27001 y BSI Grundschutz somos practicantes — hemos construido ISMS y llevado organizaciones a la (re)certificación — pero Pronix no posee el certificado de empresa en sí; nunca hemos necesitado el diploma en la pared para entregar la sustancia, que es justamente el punto. Donde tú necesitas el certificado para una licitación o cliente, te dejamos listo para certificar y acompañamos la auditoría. → Consultoría
¿Podéis llevarnos a la certificación ISO 27001 / BSI?
Sí — es exactamente lo que hemos hecho repetidamente: acotar el ISMS, cerrar las brechas con líneas base Grundschutz, producir las evidencias y prepararos para la auditoría y la re-certificación. Obtenéis primero un sistema de seguridad operativo, y el certificado como subproducto. → Rent-a-Security-Officer
¿Aplican estos estándares si somos pequeños o no regulados?
Sí, proporcionalmente. La metodología escala hacia abajo: medir lo que importa (OSSTMM), un ISMS bien dimensionado, una base Grundschutz, defensa en profundidad a tu escala. La regulación (NIS2, RGPD) eleva lo que está en juego, pero el control demostrable es un seguro para todos. → Rent-a-Security-Officer

Trabajar con Pronix

¿Cómo empieza un compromiso?
Con una conversación de alcance gratuita de 30–60 minutos. Un párrafo sobre tu situación te da una pregunta de seguimiento, una llamada, o un franco « no encaja — aquí está quién sí ». Sin formularios, sin secuencias de nurturing. → Contacto
¿Qué es un CISO fraccional / « Rent-a-Security-Officer »?
Un rol de seguridad senior contratado de forma fraccional (típicamente 1–4 días/mes) en vez de a tiempo completo — la función nombrada y responsable, y el trabajo concreto, cuando lo necesitas pero aún no puedes justificar o cubrir un puesto a tiempo completo. → Rent-a-Security-Officer
¿Remoto o presencial — y dónde trabajáis?
Remoto primero, en todo el mundo; el alcance y la mayor parte de la entrega ocurren en remoto, presencial donde realmente ayuda. Idiomas de trabajo incluyen alemán e inglés.
¿Cómo fijáis los precios?
Un retainer mensual fijo según la cadencia y cobertura acordadas — no tiempo y materiales que se desvía. Conoces la cifra; nosotros gestionamos el alcance. La respuesta a incidentes se acota por separado.
¿Qué pasa cuando termina el compromiso?
Te quedas con todo: una postura de seguridad operativa, controles y decisiones documentados, el ISMS y sus evidencias. Como construimos abierto y documentamos sobre la marcha, el final es una entrega, no un secuestro. → Acerca de