Ciberseguridad para empresas
Un correo normal. Un clic normal. Un lunes que no lo es.
Muchas intrusiones empiezan con algo cotidiano. Te ayudamos a decidir qué proteger primero, lo protegemos contigo y vigilamos para que, si pasa algo, no te enteres por un cliente.
Barcelona y Madrid · Sin permanencia
¿Está tu empresa protegida? Cinco preguntas. Contesta con sinceridad.
¿Sabrías decir, hoy, quién puede entrar en el correo de tu empresa?
Identidades y accesos · doble factor (MFA) · cuentas de antiguos empleados
¿Cuándo se restauró por última vez una copia de seguridad? Restaurarla. No ver que sale en verde.
Recuperación probada · copias aisladas e inmutables · RTO y RPO
Si mañana no pudieras facturar, ¿cuántos días aguantarías?
Análisis de impacto en el negocio (BIA) · continuidad
¿Qué datos de clientes ha pegado tu equipo en una IA esta semana?
IA en la sombra (shadow AI) · fuga de datos · política de uso
A las tres de la madrugada, ¿quién decide qué se desconecta?
Plan de respuesta · roles y escalado · decisiones fuera de horario
Si has dudado en alguna, no es culpa tuya. Es que nadie te lo había preguntado.
Tener esas respuestas antes de necesitarlas: a eso lo llamamos estrategia de ciberseguridad.
Cómo empieza un ciberataque: No hace falta un ataque brillante. Basta un día con prisa.
6 de cada 10
intrusiones observadas en la UE empezaron con phishing: un correo, un mensaje o una llamada que parecían normales.
Así empieza. Así se alarga.
Escenario ilustrativo, sin nombres reales. Uno de los engaños más habituales: la factura falsa.
Lunes, 09:12
Llega un correo de un proveedor de siempre. Pide revisar una factura.
Phishing · suplantación de proveedor
09:14
Alguien abre el enlace y escribe su contraseña. Iba con prisa; abrir facturas es su trabajo.
Robo de credenciales
11:30
Desde fuera, alguien entra en ese buzón con esa contraseña. No salta ningún aviso.
Acceso sin segundo factor · sin alertas
Miércoles
Crea una regla que oculta ciertas respuestas y lee en silencio las conversaciones con clientes.
Persistencia · regla de buzón oculta
Viernes
Un cliente recibe un cambio de cuenta bancaria. Desde tu correo. Parece real. Paga.
Compromiso del correo empresarial (BEC)
Una semana sin que nadie note nada.
Día 12
Te enteras. Por el cliente.
Detección por terceros
12 días de exposición. Una contraseña.
Y es un caso corto.
241 días
tardan de media las organizaciones en identificar y contener una brecha de datos.
IBM, Cost of a Data Breach Report 2025 · media global (se abre en una pestaña nueva)
Después empieza lo difícil: saber qué han visto, explicárselo a tus clientes y volver a fiarte de tu propio correo. Si hay datos personales afectados, el RGPD da 72 horas desde que lo sabes para notificarlo (art. 33).
Plan de respuesta a incidentes: El mismo lunes, con un plan.
09:12
Llega el mismo correo. Tu equipo ya ha visto otros parecidos en las simulaciones.
09:14
Aun así, alguien pica. Pasa.
09:14
La contraseña sola no abre la puerta: falta el segundo factor.
Esa mañana
Salta una alerta. Alguien la revisa, cierra la sesión y cambia la contraseña.
Antes de comer
Sabes qué ha pasado, qué no y qué se ha cambiado. Por escrito.
Tiempo de exposición
- Sin plan
- 12 días
- hasta enterarte, y por un cliente
- Con plan
- Unas horas
- y lo sabes por quien vigila, no por un cliente
Escenario ilustrativo. No son cifras de un caso real.
La diferencia no fue la suerte. Fue lo que se decidió antes.
Impulsando el éxito de
Estrategia de ciberseguridad: La seguridad no se compra. Se decide.
122.223
incidentes de ciberseguridad gestionó INCIBE en España en 2025, un 26 % más que en 2024.
INCIBE, balance de ciberseguridad 2025 (9 de febrero de 2026) (se abre en una pestaña nueva)
Los incidentes crecen y el presupuesto no es infinito. Antes de instalar nada, hay seis decisiones que solo puede tomar la dirección. Te ayudamos a tomarlas y a dejarlas por escrito.
Lo caro no es protegerse. Es improvisar.
Un plan pone orden en el presupuesto: primero lo que más te expone, después lo demás, y sin pagar herramientas que nadie mira. En el sector se llama plan director de seguridad. Nosotros lo llamamos saber por dónde empezar.
Normativa de ciberseguridad: NIS2, DORA, ENS y RGPD. Ya no es un asunto de IT. Es un asunto de dirección.
La directiva europea NIS2 pide que la dirección apruebe las medidas de ciberseguridad, supervise que se aplican y se forme. Y prevé que pueda ser responsable si no lo hace (art. 20).
- NIS2
- Directiva (UE) 2022/2555. Afecta, en general, a medianas y grandes empresas de 18 sectores críticos (entidades esenciales o importantes), y sus exigencias llegan a sus proveedores. Alerta temprana de incidentes significativos en 24 horas; notificación, en 72. En España, la ley que la traspone sigue en tramitación y aún no se ha publicado en el BOE (octubre de 2026).
- DORA
- Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025 a entidades financieras. Sus proveedores tecnológicos lo notan en los contratos.
- ENS
- Esquema Nacional de Seguridad (Real Decreto 311/2022). Obligatorio para el sector público y para las empresas que le prestan servicios o soluciones tecnológicas. Se apoya en las guías CCN-STIC del Centro Criptológico Nacional.
- ISO/IEC 27001
- La norma internacional de gestión de la seguridad de la información. Cada vez más clientes y licitaciones la piden.
- RGPD
- Ante una brecha de datos personales que suponga un riesgo, 72 horas para notificarla a la AEPD (art. 33).
- Reglamento de IA
- Reglamento (UE) 2024/1689. Desde el 2 de febrero de 2025, las empresas que usan IA deben tomar medidas para que su equipo sepa usarla (art. 4). La reforma de julio de 2026 (Reglamento (UE) 2026/1744) suavizó esta obligación, pero no la eliminó.
Puede que hoy NIS2, DORA o el ENS no te apliquen. A tus clientes grandes, probablemente sí. Y te lo van a preguntar.
Te decimos qué te aplica, qué te van a pedir y preparamos las evidencias para demostrarlo.
Hablar de mi caso (se abre en una pestaña nueva)Ciberseguridad gestionada: Lo que hacemos. Sin siglas.
Two Rockets es un partner IT para empresas de Barcelona y Madrid. Su ciberseguridad gestionada da servicio a equipos de 15 a 80 personas, y también a organizaciones más grandes: estrategia, protección, vigilancia, respuesta y recuperación, con una cuota mensual y sin permanencia.
Organizado según las seis funciones del NIST Cybersecurity Framework 2.0.
01
Un plan, por escrito.
Qué proteger primero, quién decide y cuánto invertir. Con reglas claras para usar la IA sin exponer datos. Y revisado contigo cada cierto tiempo.
Gobernar · plan director, políticas y gestión de riesgos
02
Saber qué tienes.
Equipos, cuentas, datos, proveedores y quién accede a qué. Lo que no se ve no se puede proteger.
Identificar · inventario y auditoría de exposición
03
Cerrar las puertas fáciles.
Doble factor, permisos mínimos, correo y equipos protegidos, configuraciones revisadas. Y tu equipo, entrenado con simulaciones de phishing.
Proteger · MFA, bastionado, protección de equipos (EDR/XDR), antiphishing, formación
04
Que alguien mire.
Las alertas llegan a una persona, no a una bandeja que nadie abre.
Detectar · monitorización, correlación de eventos (SIEM), SOC gestionado
05
Saber qué hacer cuando pasa.
Un plan para la primera hora, y alguien al otro lado cuando toca usarlo.
Responder · gestión de incidentes y análisis posterior
06
Volver a funcionar.
Copias separadas, protegidas contra el borrado y revisadas. Para que un mal día no se convierta en una mala semana.
Recuperar · copias inmutables 3-2-1 y continuidad de negocio
Copias y continuidad
Para entornos críticos sumamos capas a medida: vigilancia 24/7 con un centro de operaciones de seguridad, protección web y contra DDoS, y retención centralizada de registros. En el sector: SOC, WAF y SIEM.
Cómo trabajamos.
- Gestionamos, no solo instalamos.
- Hablamos con la dirección, no solo con IT.
- Lo documentamos todo.
- Sin permanencia: te quedas por el criterio, no por el contrato.
Preguntas frecuentes sobre ciberseguridad para empresas
¿Qué incluye vuestro servicio de ciberseguridad gestionada?
La ciberseguridad gestionada de Two Rockets incluye un plan de seguridad por escrito que revisamos contigo de forma periódica; protección de cuentas, correo y equipos (doble factor, acceso condicional, permisos mínimos, protección de equipos con detección y respuesta —EDR/XDR— y bastionado (hardening) de Microsoft 365 o Google Workspace); vigilancia de alertas; un plan de respuesta ante incidentes; copias de seguridad aisladas y revisadas, y formación con simulaciones de phishing. Trabajamos sobre lo que ya tienes, en la nube o en entornos híbridos. Si tu entorno lo requiere, sumamos capas avanzadas: centro de operaciones de seguridad 24/7 (SOC), protección web (WAF) y retención centralizada de registros (SIEM).
¿Cómo sé si mi empresa está protegida contra ciberataques?
Hazte cinco preguntas: quién puede entrar hoy en el correo de tu empresa y con qué protección, cuándo se restauró por última vez una copia de seguridad, cuántos días aguantarías sin facturar, qué datos sube tu equipo a herramientas de IA y quién decide qué se desconecta si hay un incidente fuera de horario. Cada «no lo sé» es un riesgo sin dueño. Una evaluación de ciberseguridad lo convierte en una lista priorizada: qué arreglar primero, con qué esfuerzo y con qué coste.
¿Qué es un plan director de seguridad y lo necesita mi empresa?
Un plan director de seguridad es la hoja de ruta de ciberseguridad de una empresa: qué es crítico, qué riesgos tiene, qué medidas se aplican y en qué orden, con responsables y presupuesto. INCIBE ofrece una guía para elaborarlo. Su valor está en evitar el error más caro: comprar herramientas sin saber qué riesgo cubren. En una empresa de 15 a 80 personas no tiene que ser un tomo: bastan unas pocas páginas claras que la dirección apruebe y que se revisen cuando cambia el negocio. Alguien tiene que liderarlo; si no hay un responsable de seguridad (CISO) en plantilla, puede asumir ese papel un partner externo.
¿Cuánto debería invertir una empresa en ciberseguridad?
No hay un porcentaje que sirva para todas, y conviene desconfiar de quien lo dé sin conocer tu empresa. La inversión razonable sale de dos preguntas: cuánto te cuesta un día parado y qué datos no pueden salir. Con eso se priorizan las medidas: primero las que cierran las puertas más usadas (correo, contraseñas, equipos sin actualizar y copias), que suelen ser las más asequibles, y después las capas avanzadas si tu sector o tus clientes las exigen. Lo sensato es una hoja de ruta de 12 a 24 meses, con un presupuesto ligado a riesgos concretos.
¿Qué hago en la primera hora de un ciberataque?
No apagues los equipos: desconéctalos de la red para frenar la propagación sin borrar evidencias. Avisa a tu responsable de IT o a tu proveedor de seguridad y cambia las contraseñas afectadas desde un dispositivo limpio. No pagues ningún rescate ni contestes a los atacantes sin asesoramiento. Anota qué has visto y cuándo. Si hay datos personales afectados y la brecha supone un riesgo para las personas, el RGPD da 72 horas desde que lo sabes para notificarlo a la AEPD, y si tu empresa está sujeta a NIS2, los incidentes significativos exigen una alerta temprana en 24 horas. INCIBE ofrece ayuda gratuita y confidencial en el 017. Todo esto sale mucho mejor si está escrito antes en un plan de respuesta.
¿Cómo se protege una empresa contra el ransomware?
Con defensa en capas, porque ninguna medida basta por sí sola: impedir la entrada (doble factor, filtrado del correo y equipos actualizados), frenar la ejecución (protección de equipos con detección y respuesta, EDR, vigilada por personas), limitar el daño (permisos mínimos y segmentación de red) y poder volver (copias inmutables y aisladas, siguiendo la regla 3-2-1, con restauraciones probadas). Lo que convierte un ransomware en un susto o en una crisis es la última capa: cuánto tardas en recuperarte. Y la formación importa: según el informe ENISA Threat Landscape 2025, alrededor de 6 de cada 10 intrusiones observadas en la UE entre julio de 2024 y junio de 2025 empezaron con phishing.
¿Pueden mis empleados usar ChatGPT u otras IA con datos de clientes?
Pueden, pero no de cualquier manera. Pegar datos de clientes en una herramienta de IA personal o gratuita puede suponer cederlos a un tercero sin base legal y perder el control sobre dónde acaban. Según el informe Cost of a Data Breach 2025 de IBM, una de cada cinco organizaciones estudiadas sufrió una brecha relacionada con el uso de IA no autorizada, y el 63 % de las que sufrieron una brecha no tenía una política de gobierno de la IA o aún la estaba preparando. Lo sensato es elegir herramientas corporativas con garantías de privacidad, decidir qué datos se pueden usar, poner controles contra fugas (DLP) y formar al equipo: desde febrero de 2025, el Reglamento europeo de IA obliga a tomar medidas para que quien la usa sepa hacerlo. No se trata de prohibirla: se trata de que la usen bien.
¿Qué es NIS2 y a qué pymes obliga?
NIS2 es la Directiva (UE) 2022/2555 de ciberseguridad. Afecta, en general, a medianas y grandes empresas (desde 50 personas o más de 10 millones de euros de facturación y de balance) de sectores de alta criticidad, como energía, transporte, banca, salud, agua o infraestructura digital, y de otros sectores críticos, como alimentación, química, fabricación o servicios postales, que la directiva clasifica como entidades esenciales o importantes; algunas entidades quedan incluidas sea cual sea su tamaño. Exige gestión de riesgos, seguridad en la cadena de suministro, formación, alerta temprana de incidentes significativos en 24 horas y notificación en 72, y que la dirección apruebe y supervise las medidas. Los Estados debían trasponerla a más tardar el 17 de octubre de 2024. En España, la ley que la traspone sigue en tramitación y aún no se ha publicado en el BOE (octubre de 2026); en julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE por el retraso. Mientras, sigue vigente el Real Decreto-ley 12/2018, que traspuso la primera directiva NIS. Aunque tu empresa no esté obligada, tus clientes pueden estarlo y exigírtelo como proveedor.
¿Realizáis auditorías de seguridad informática?
Sí. En Two Rockets todo empieza con una auditoría de ciberseguridad: revisamos identidades y accesos, correo, configuración de la nube, equipos, red, copias, proveedores con acceso y exposición a internet, con un enfoque Zero Trust (nunca confiar, siempre verificar). Entregamos un informe en lenguaje de dirección, con los riesgos ordenados por impacto y un plan de corrección con coste, antes de proponer nada más. Si hace falta una prueba más profunda, coordinamos un test de intrusión (pentest): como mínimo una vez al año sobre lo que está expuesto a internet, y con más frecuencia si cambias infraestructura crítica o trabajas en un sector regulado.
¿Qué diferencia hay entre EDR, XDR y SIEM?
EDR (detección y respuesta en el endpoint) vigila y frena lo que pasa en portátiles y servidores. XDR amplía esa vigilancia y cruza las señales de los equipos con las del correo, las identidades, la red y la nube para detectar ataques que saltan de una capa a otra. SIEM centraliza y conserva los registros de toda la infraestructura para investigar incidentes y cumplir la normativa. Para una empresa de 50 personas o más, lo habitual es EDR como mínimo, XDR como paso recomendado y SIEM si hay requisitos normativos. Más que la sigla, lo decisivo es quién mira las alertas y responde.
¿Cuánto cuesta un SOC gestionado para una pyme de 50 empleados?
Depende de tres cosas: la cobertura (horario laboral o 24/7), las licencias de protección de equipos incluidas y el número de equipos y servidores. Más que el precio, importa el modelo: una cuota fija mensual, con tiempos de detección y respuesta comprometidos por escrito, evita sorpresas y alinea incentivos. Y la inversión adecuada sale de tu plan de riesgos: no todas las empresas necesitan vigilancia 24/7 desde el primer día. En el diagnóstico te decimos qué cobertura necesitas y cuánto cuesta en tu caso.
¿Cuánto tarda implantar un servicio de ciberseguridad gestionada?
En una empresa de 15 a 80 personas, entre 30 y 60 días: diagnóstico inicial (de 5 a 10 días), protección de equipos y bastionado del correo y la nube (de 10 a 15 días), configuración de alertas y registros (de 5 a 10 días) y puesta en marcha bajo vigilancia (de 5 a 10 días). Desde el primer día ganas visibilidad; la cobertura completa llega al final del despliegue.
Evaluación de ciberseguridad: Lo que decidas hoy decide cuánto dura ese lunes.
Empieza por una conversación. Te decimos dónde estás más expuesto y qué haríamos primero. Después, si quieres, un plan por escrito y con coste. Sin compromiso.
Barcelona y Madrid · Sin permanencia
