Servicios Especializados en Ciberseguridad

auditor@optimizaria:~$

01Diagnóstico

Antes de comprar nada, medir dónde está el riesgo.

~/opt-sec-018/evaluacion-seguridad.md 01/24

OPT-SEC-018Diagnóstico

Evaluación de la situación actual de ciberseguridad

Análisis detallado del estado real de tu seguridad: vulnerabilidades, amenazas y nivel de cumplimiento, con una visión clara de los riesgos y cómo mitigarlos.

01 Descripción

Es el punto de partida de toda la carpeta. Antes de contratar pentesting, SOC o certificaciones, conviene saber en qué estado estás: es frecuente que la brecha más grave no sea técnica sino un procedimiento que nadie sigue.

Duración: 3 a 5 semanas
Marcos: ISO 27001, NIST CSF y regulación sectorial
Cobertura: Tecnología, procesos y personas
Salida: Informe con recomendaciones accionables

02 Alcances

Análisis de infraestructura y sistemasSe examinan servidores, redes, endpoints y dispositivos conectados para identificar configuraciones inseguras, software obsoleto y posibles puntos de entrada. Se evalúan segmentación, accesos y mecanismos de protección activos.
Revisión de políticas y procedimientosSe analizan las políticas de seguridad, los controles implementados y el nivel de cumplimiento con ISO 27001, NIST CSF y la regulación específica de tu sector, incluidos los protocolos de respuesta ante incidentes.
Pruebas de vulnerabilidades y riesgosEscaneos y pruebas de penetración sobre sistemas y aplicaciones críticas, más la evaluación de riesgos por configuraciones incorrectas, accesos privilegiados y gestión de parches.
Evaluación de la cultura y concienciaciónSe mide el conocimiento y la preparación del personal mediante encuestas, simulaciones de phishing y sesiones de sensibilización.
Recomendaciones accionablesInformes con una guía práctica y priorizada para mejorar la postura, no un listado de hallazgos sin orden de ejecución.

EntregablesInforme de diagnósticoMatriz de brechasPlan de mitigación

auditor@optimizaria:~$

02Ciberseguridad ofensiva

Atacamos tus sistemas, con autorización, antes que otro lo haga.

~/opt-sec-008/ethical-hacking.md 02/24

OPT-SEC-008Ciberseguridad ofensiva

Ethical Hacking

Análisis de seguridad ofensiva sobre el objetivo que definas, ejecutado según la OWASP Testing Guide y clasificado con OWASP Top 10, CWE y CVSS 3.1.

01 Descripción

Es el servicio raíz de toda la carpeta: alguien ataca tus sistemas con autorización, antes de que lo haga alguien sin ella. Según cuánta información entregues, el ejercicio se acerca más a una auditoría exhaustiva o a un ataque real.

Modalidades: Caja blanca, caja gris o caja negra
Informe: Al día hábil siguiente del cierre
Retest: Hasta seis meses después
Contratación: Por proyecto o bolsa de horas anual

02 Alcances

Caja blancaAcceso total o parcial a sistemas, recursos y servicios: entregas credenciales, código fuente y diagramas de arquitectura. Es la modalidad que más cobertura logra por hora invertida.
Caja grisSolo lo mínimo para analizar los flujos de los objetivos a evaluar. El equilibrio habitual entre realismo y profundidad.
Caja negraSimulación cien por ciento real: las mismas actividades que ejecutaría un grupo de ciberdelincuentes sin antecedentes previos de tu organización.
Informe técnicoSe remite al día hábil siguiente de terminada la evaluación ofensiva. Puedes pedir una reunión preliminar de avance antes de la entrega final.
Reunión de asesoramientoSesión explicativa del informe con la totalidad o parte del equipo de pentesters, donde se responden las preguntas que requieran detalle técnico.
Retest de hallazgosDentro de los seis meses siguientes puedes solicitar una nueva prueba de las vulnerabilidades informadas para comprobar que la mitigación funcionó.
Bolsa de horasHoras anuales de libre disposición para actividades de ethical hacking, que usas cuando las necesitas en vez de contratar proyecto por proyecto.

EntregablesInforme ejecutivoInforme técnicoPrueba de conceptoActa de retest

~/opt-sec-001/pentesting-web.md 03/24

OPT-SEC-001Ciberseguridad ofensiva

Pentesting de aplicaciones web y APIs

Atacamos tu aplicación como lo haría un adversario real, con autorización y alcance por escrito, y te entregamos cada hallazgo con su prueba de concepto reproducible.

01 Descripción

Una automatización mal expuesta es una puerta abierta. Antes de conectar tus procesos críticos a chatbots, APIs e integraciones, verificamos que nadie más pueda entrar por ahí. El ejercicio cubre la aplicación, sus APIs, la lógica de negocio y los flujos de autenticación.

Modalidad: Caja negra, gris o blanca
Duración: 2 a 4 semanas según alcance
Metodología: OWASP WSTG · PTES · NIST SP 800-115
Severidad: CVSS 3.1 y 4.0 + CWE/CAPEC

02 Alcances

Reconocimiento y mapeo de superficie de ataquesubdominios, endpoints, bundles JS, specs OpenAPI y repositorios expuestos.
Explotación de los Top 10 de OWASPinyecciones (SQL, NoSQL, SSTI), XSS, SSRF, deserialización y carga de archivos.
Fallas de autorización y lógica de negocioBOLA/IDOR, escalamiento horizontal y vertical, manipulación de precios y flujos.
Auditoría de sesión y tokensJWT, OAuth 2.0, cookies, expiración y revocación.
Revisión de la capa de IAinyección de prompts, fuga de instrucciones del sistema y abuso de herramientas del agente.
Encadenamiento de vulnerabilidades para demostrar el impacto real, no el teórico.

EntregablesInforme ejecutivoInforme técnicoPoC por hallazgoRegistro de evidenciasActa de reverificación

~/opt-sec-002/pentesting-movil.md 04/24

OPT-SEC-002Ciberseguridad ofensiva

Auditoría de aplicaciones móviles (APK)

Descompilamos, instrumentamos y atacamos tu aplicación Android para encontrar lo que un análisis de tienda jamás vería.

01 Descripción

El código que instalas en el teléfono de un cliente está en manos del atacante. Verificamos qué secretos guarda, qué puede modificarse y qué se puede invocar desde otra aplicación.

Alcance: APK / AAB + backend asociado
Duración: 2 a 3 semanas
Metodología: OWASP MASVS y MASTG
Dispositivos: Físicos rooteados y emulados

02 Alcances

Descompilación y análisis estático del bytecode con trazado origen-destino.
Revisión del manifiestocomponentes exportados, deep links e inyección de intents.
Búsqueda de secretos, llaves de API y credenciales embebidas.
Análisis criptográficoalgoritmos débiles, IV fijos y almacenamiento inseguro.
Instrumentación dinámica con Fridaevasión de certificate pinning y detección de root.
Repackaging para demostrar manipulación de la lógica del cliente.

EntregablesInforme técnicoPoC ejecutablesMatriz MASVS

~/opt-sec-010/purple-team.md 05/24

OPT-SEC-010Ciberseguridad ofensiva

Red Team y Purple Team

Evaluación adversarial completa y trabajo colaborativo con tu equipo defensivo, mapeado a MITRE ATT&CK, para fortalecer las defensas donde de verdad ceden.

01 Descripción

El Red Team ataca sin avisar y mide la detección real. El Purple Team hace lo mismo, pero con el equipo defensor mirando la pantalla: cada técnica se ejecuta, se observa si dispara alerta y se ajusta la regla en el momento. Uno mide, el otro enseña.

Marco: MITRE ATT&CK
Duración: 4 a 8 semanas
Red Team: Ejercicio sigiloso, sin aviso al equipo interno
Purple Team: Ejercicio colaborativo, atacante y defensor juntos

02 Alcances

ReconocimientoSe recopila información sobre el entorno objetivo para identificar activos, relaciones y vulnerabilidades aprovechables.
PlanificaciónSe desarrollan estrategias y tácticas específicas para alcanzar los objetivos definidos en el entorno objetivo.
Análisis de vulnerabilidadesSe identifican debilidades en sistemas y aplicaciones que puedan explotarse para lograr esos objetivos.
ExplotaciónSe aplican activamente técnicas y tácticas para aprovechar las vulnerabilidades identificadas durante la planificación.
Post-explotaciónSe busca mantener el acceso y ampliar el control sobre el entorno comprometido tras la intrusión inicial.
ExfiltraciónSe transfieren datos desde el entorno comprometido a ubicaciones controladas, para demostrar el impacto real de la brecha.
Sesión PurpleEjecución conjunta con tu equipo de defensa: cada técnica se lanza, se revisa si generó alerta y se corrige la detección en el momento.

EntregablesInforme de operaciónMatriz de detecciónReglas propuestas

~/opt-sec-009/apt.md 06/24

OPT-SEC-009Ciberseguridad ofensiva

Ejercicios tipo APT

Simulación de amenazas avanzadas y persistentes para medir cómo resiste tu organización frente a los escenarios más sofisticados, en caja blanca o caja negra.

01 Descripción

Un pentest mide si tus sistemas se pueden romper. Un ejercicio APT mide otra cosa: si tu organización se da cuenta, cuánto tarda y qué hace al respecto. Se simula un adversario con tiempo, recursos y un objetivo concreto.

Duración: Desde 100 horas de ejecución
Coordinación: Entre 2 y 3 meses de anticipación
Modalidad: Caja blanca o caja negra
Entregable: Informe técnico y ejecutivo con línea temporal

02 Alcances

Ataques de ingeniería socialSe simula una campaña de phishing dirigida: correos y mensajes persuasivos que buscan obtener información confidencial. Mide la conciencia de seguridad del equipo y la resistencia al engaño digital.
Ataques de malwareSe evalúa la resistencia de las defensas ante intrusiones, replicando las tácticas que emplean los adversarios para propagar y ejecutar código. El malware utilizado no causa daño a la organización.
Simulación de incidente críticoUn ejercicio a gran escala —una violación de datos o un ataque dirigido— para evaluar la capacidad de detectar, contener y mitigar, y de coordinar la respuesta técnica y comunicacional.
Línea temporal de eventosEl entregable reconstruye qué ocurrió y cuándo, destacando las estrategias de contención aplicadas y dónde se perdieron minutos valiosos.

EntregablesInforme ejecutivoInforme técnico

auditor@optimizaria:~$

03Factor humano

La puerta más usada sigue siendo un correo bien escrito.

~/opt-sec-023/red-team.md 07/24

OPT-SEC-023Factor humano

Phishing simulado y concientización

Medimos cómo responde tu gente, no tu software: campañas controladas de ingeniería social que terminan en capacitación con los casos reales del ejercicio.

01 Descripción

El eslabón más débil rara vez es un servidor. Simulamos campañas de phishing, pretexting telefónico y accesos físicos para medir la reacción real de tu equipo.

Duración: 4 a 8 semanas
Marco: MITRE ATT&CK
Modalidad: Sigilosa o coordinada con el equipo interno
Reporte: Métricas por área y por persona anonimizada

02 Alcances

Campañas de phishing y spear phishing con infraestructura propia.
Pretexting telefónico y por WhatsApp con guiones aprobados.
Simulación de adversario mapeada a MITRE ATT&CK.
Medición de detección y tiempo de respuesta del equipo interno.
Sesión de concientización posterior con los casos reales del ejercicio.

EntregablesInforme de campañaMaterial de concientización

auditor@optimizaria:~$

04Investigación y respuesta

Cuando ya pasó: contener, entender y dejar evidencia.

~/opt-sec-011/forense-digital.md 08/24

OPT-SEC-011Investigación

Análisis forense digital

Respuestas rápidas y precisas cuando ya ocurrió algo: qué entró, por dónde, cuándo y qué se llevó, con evidencia válida para un proceso legal.

01 Descripción

Después de un incidente, la diferencia entre saber qué pasó y suponerlo está en las primeras horas y en cómo se recolectó la evidencia. Un disco mal copiado deja de servir como prueba, aunque contenga la respuesta.

Activación: Contacto directo, sin ticket
Alcance: Discos, memoria, registros y dispositivos móviles
Evidencia: Con cadena de custodia documentada
Entrega: Informe forense con línea de tiempo

02 Alcances

Investigación profundaAnálisis forense exhaustivo del incidente para identificar el origen, el alcance real de la intrusión y la información necesaria para decidir con fundamento.
Recopilación y preservación de evidenciaTécnicas de adquisición que garantizan la integridad y autenticidad de los datos recolectados, con cadena de custodia documentada para su uso en investigaciones legales.
Análisis de malware y amenazasEstudio detallado del código malicioso encontrado para comprender su funcionalidad, origen y tácticas, lo que permite responder con precisión y prevenir la reinfección.
Informes claros y accionablesTraducimos los hallazgos técnicos a información comprensible para quien debe tomar decisiones, con medidas correctivas y preventivas concretas.

EntregablesInforme forenseCadena de custodia

~/opt-sec-006/incidentes.md 09/24

OPT-SEC-006Respuesta

Respuesta a incidentes y análisis forense

Cuando algo ya pasó, contenemos, investigamos qué ocurrió y te dejamos con lo necesario para que no vuelva a pasar.

01 Descripción

Ransomware, filtración de datos, acceso no autorizado o un correo que no debió salir. Las primeras horas definen el costo total del incidente.

Activación: Contacto directo, sin tickets
Modalidad: Remota, terreno en Región Metropolitana
Alcance: Contención, análisis, erradicación y cierre
Entrega: Informe forense con línea de tiempo

02 Alcances

Contención inmediata y aislamiento de sistemas comprometidos.
Preservación de evidencia con cadena de custodia.
Análisis forense de discos, memoria y registros.
Reconstrucción de la línea de tiempo del ataque y del vector de entrada.
Erradicación, endurecimiento y plan de recuperación.
Apoyo en la notificación a la autoridad cuando la ley lo exige.

EntregablesInforme forensePlan de recuperación

auditor@optimizaria:~$

05Ciberseguridad defensiva

Vigilar, endurecer y detectar antes del daño.

~/opt-sec-012/csirt.md 10/24

OPT-SEC-012Ciberseguridad defensiva

Creación de tu CSIRT

Diseñamos, implementamos y entrenamos el equipo de respuesta ante incidentes de seguridad informática de tu organización, para que la capacidad quede dentro de casa.

01 Descripción

Contratar respuesta a incidentes cada vez que algo pasa funciona hasta que pasa seguido. A partir de cierto tamaño conviene tener el equipo adentro: gente tuya, con procedimientos propios y herramientas que ya sabe usar.

Duración: 6 a 10 meses
Modalidad: Equipo propio, mixto o externalizado
Incluye: Capacitación asociada a cada implementación
Resultado: Capacidad instalada, no dependencia

02 Alcances

Monitoreo continuoCapacidad de vigilancia constante de sistemas y redes con herramientas avanzadas, para detectar y responder a amenazas en tiempo real ante cualquier actividad sospechosa.
Investigación de incidentesTu CSIRT podrá investigar a fondo cada incidente, identificando alcance, causas y medidas correctivas mediante análisis forense y técnicas avanzadas.
Coordinación de respuestaEl equipo actúa como punto central de comunicación entre las áreas internas, los proveedores de servicios y las autoridades competentes.
Mejora continuaIdentificación de brechas en políticas, procedimientos y controles, con retroalimentación detallada después de cada incidente.
Capacitación asociadaCada actividad o implementación de este servicio viene con su capacitación correspondiente: el equipo no recibe una herramienta, recibe la competencia para usarla.

EntregablesManual del CSIRTPlan de respuestaInforme de simulacros

~/opt-sec-013/soc.md 11/24

OPT-SEC-013Ciberseguridad defensiva

Security Operation Center

Creación e implementación de una unidad centralizada que monitorea, detecta, responde y mitiga amenazas en tiempo real, en tus dependencias y con tu personal capacitado.

01 Descripción

Un SOC no es una herramienta: es gente, procesos y tecnología funcionando de forma coordinada todo el año. Implementarlo requiere planificación, recursos y el compromiso explícito de la alta dirección, sin el cual el proyecto se detiene a mitad de camino.

Cobertura: 24/7, los 365 días
Tecnologías: SIEM, IDS, firewalls y analítica con IA
Duración: 4 a 9 meses según alcance
Modalidad: En tus dependencias o híbrido

02 Alcances

Monitoreo 24/7 y detección de amenazasIdentificación de actividades sospechosas y anomalías en la red. Con sistemas SIEM y analítica basada en inteligencia artificial se procesan grandes volúmenes de datos para detectar patrones maliciosos antes de que escalen.
Respuesta a incidentes y gestión de crisisActivación de protocolos inmediatos: se analiza el impacto, se contiene la propagación, se aplican parches y se restaura la operación afectada minimizando el daño al negocio.
Análisis forense y mejora continuaInvestigación detallada posterior a cada evento, con reportes y recomendaciones que fortalecen la postura de seguridad de la organización.
Inteligencia de amenazas y automatizaciónIntegración de fuentes externas y bases de conocimiento sobre amenazas nuevas, adaptando las defensas en tiempo real.
Informes de actividadReportes periódicos con la información necesaria para tomar decisiones informadas y fortalecer la resiliencia cibernética.
Acceso a expertosUn equipo de especialistas disponible para consultas y asesoramiento continuo, no solo cuando hay una alerta encendida.
SOC a medidaLa operación se adapta a tus necesidades y al entorno específico que se requiera, en lugar de imponer un modelo estándar.

EntregablesDiseño del SOCPlaybooksInformes de actividad

~/opt-sec-014/monitoreo.md 12/24

OPT-SEC-014Ciberseguridad defensiva

Monitoreo de seguridad digital

Supervisión constante de todos tus activos digitales, con defensa proactiva contra las amenazas del entorno y reportes que se entienden.

01 Descripción

Es la versión ligera del SOC: sin montar una unidad completa dentro de tu empresa, tus activos quedan bajo vigilancia permanente y alguien mira las alertas de verdad. Para muchas organizaciones es el paso previo natural.

Cobertura: Todos los activos digitales
Tecnología: Basada en Elastic
Infraestructura: La nuestra o la tuya, tú eliges
Operación: 24/7

02 Alcances

Cobertura integralTodos tus activos digitales quedan bajo vigilancia constante, con una defensa activa contra las amenazas presentes en el entorno digital.
Flexibilidad de implementaciónPuedes elegir entre nuestra infraestructura de monitoreo o la tuya propia. La solución se adapta a tus necesidades y tú mantienes el control sobre dónde vive el servicio.
Vigilancia continuaDetección y respuesta proactiva mediante tecnologías avanzadas basadas en Elastic, las 24 horas, los 7 días de la semana.
Reportes detalladosInformes periódicos y personalizados sobre la actividad de monitoreo, con lectura clara de las amenazas detectadas y las acciones tomadas.

EntregablesTablero de monitoreoReporte periódico

~/opt-sec-015/hardening-servidores.md 13/24

OPT-SEC-015Ciberseguridad defensiva

Hardening de servidores

Endurecimiento integral de tus servidores: configuración optimizada, gestión de actualizaciones y auditorías periódicas para cerrar la puerta antes de que alguien la pruebe.

01 Descripción

Un servidor recién instalado viene abierto por diseño: servicios que nadie usa, cuentas por defecto, cifrado débil y permisos amplios. El hardening consiste en cerrar todo eso sin romper lo que sí se necesita.

Alcance: Linux y Windows Server
Marcos: CIS Benchmark y guías del fabricante
Duración: 2 a 4 semanas
Seguimiento: Auditorías periódicas

02 Alcances

Fortalecimiento integralMedidas exhaustivas de endurecimiento sobre cada servidor, para asegurar una protección robusta frente a vulnerabilidades conocidas y amenazas activas.
Configuración óptima del sistemaAjuste de la configuración de sistemas operativos y aplicaciones para cumplir estándares de seguridad, minimizando la superficie de ataque y aumentando la resistencia ante intrusiones.
Actualizaciones y parchesGestión proactiva del ciclo de parches, manteniendo los servidores al día para mitigar los riesgos derivados de vulnerabilidades ya publicadas.
Auditorías periódicasRevisiones regulares que evalúan si las medidas aplicadas siguen vigentes y detectan cualquier punto de vulnerabilidad emergente.

EntregablesInforme antes y despuésGuía de configuración

~/opt-sec-003/hardening-cloud.md 14/24

OPT-SEC-003Ciberseguridad defensiva

Hardening de nube: GCP, AWS y Azure

Revisamos tu cuenta completa contra el benchmark CIS, corregimos lo que autorices y te mostramos el antes y el después con un puntaje de postura.

01 Descripción

La mayoría de las filtraciones en la nube no son hackeos: son configuraciones por defecto que nadie revisó. Un bucket público, una llave sin rotar, una regla de firewall abierta al mundo.

Nubes: Google Cloud, AWS, Azure
Duración: 1 a 2 semanas
Marco: CIS Benchmark + MITRE ATT&CK Cloud
Remediación: Solo con aprobación previa

02 Alcances

Reconocimiento completo del proyecto, cuenta o suscripción.
IAMprivilegios excesivos, cuentas de servicio huérfanas y llaves antiguas.
Redreglas de firewall abiertas, balanceadores expuestos y falta de segmentación.
Almacenamientobuckets públicos, cifrado en reposo y políticas de retención.
Registro y monitoreotrazabilidad suficiente para investigar un incidente.
Revisión de infraestructura como códigoTerraform, CloudFormation, Bicep.

EntregablesInforme de posturaPlan de remediaciónScripts de corrección

auditor@optimizaria:~$

06Nube e infraestructura

La base sobre la que corre todo lo demás.

~/opt-sec-019/servicios-cloud.md 15/24

OPT-SEC-019Nube

Servicios cloud: migración y arquitectura

Migración, diseño de arquitectura, implementación, optimización de recursos y gestión de cuentas en AWS, Google Cloud y Azure, con la seguridad puesta desde el primer día.

01 Descripción

Migrar a la nube sin diseño previo suele terminar en una factura que sube todos los meses y una superficie expuesta que nadie mapeó. El orden correcto es al revés: primero la arquitectura, después el traslado.

Nubes: AWS, Google Cloud y Azure
Alcance: Migración, arquitectura y operación
Duración: 6 a 16 semanas
Incluye: Optimización de costos y cuentas

02 Alcances

Migración segura y efectivaTraslado de datos y aplicaciones sin interrupciones, con foco en la seguridad: la integridad y confidencialidad de tu información se mantienen durante todo el proceso.
Diseño de arquitectura adaptativaArquitecturas personalizadas, escalables y seguras, que se ajustan a tus necesidades específicas y aseguran un rendimiento óptimo con una gestión eficiente de recursos.
Implementación y optimización continuaDespliegue meticuloso de las soluciones y ajuste permanente del consumo, que es donde se recupera buena parte del costo de la nube.
Gestión integral de cuentasAdministración detallada desde la configuración inicial hasta la supervisión constante, manteniendo la seguridad y el cumplimiento normativo mientras tú te concentras en operar.

EntregablesDiseño de arquitecturaPlan de migraciónInforme de optimización

~/opt-sec-020/conectividad-redes.md 16/24

OPT-SEC-020Infraestructura

Conectividad y redes

Interconectamos tu organización con el mundo de forma segura: cableado estructurado, seguridad de red y estaciones de trabajo ordenadas.

01 Descripción

Buena parte de los problemas que llegan como incidentes de seguridad empiezan en la capa física: una red plana donde todo ve a todo, un rack sin orden y cables sin identificar que nadie se atreve a desconectar.

Alcance: Cableado, red y estaciones de trabajo
Estándares: Cableado estructurado certificado
Duración: Según metros cuadrados y puntos
Incluye: Documentación de la red

02 Alcances

Cableado estructuradoSoluciones de última generación para interconectar la organización de manera eficiente y confiable, respaldadas por estándares de calidad que optimizan el rendimiento de los sistemas.
Cableado de servidores a medidaDiseño e instalación de soluciones específicas para tus servidores, con una gestión eficiente de los datos y comunicación óptima entre los distintos componentes.
Seguridad integral de redSegurización de la red con medidas avanzadas: desde firewalls hasta sistemas de detección de intrusiones, para proteger la integridad y confidencialidad de la información sensible.
Organización eficiente de estaciones de trabajoOptimización del espacio de trabajo mediante una disposición ordenada de las estaciones, que mejora la productividad y reduce los errores de operación.

EntregablesRed operativaDocumentación

auditor@optimizaria:~$

07Gobierno de seguridad

Dirección, plan y norma: seguridad que se sostiene en el tiempo.

~/opt-sec-016/plan-seguridad.md 17/24

OPT-SEC-016Gobierno de seguridad

Plan de seguridad de la información

Un plan propio, alineado con tus objetivos de negocio: riesgos evaluados, políticas escritas a medida y una cultura de seguridad que llega a todos los colaboradores.

01 Descripción

Las políticas descargadas de internet se firman y se guardan. Un plan sirve cuando nace de los riesgos reales de tu operación y alguien queda a cargo de cada control con un plazo escrito al lado.

Duración: 6 a 10 semanas
Marcos: ISO 27001 y NIST CSF
Alcance: Riesgos, políticas y formación
Resultado: Plan aprobado por la gerencia

02 Alcances

Planificación estratégica de seguridadUn plan alineado con los objetivos estratégicos de la empresa, no un anexo técnico: la seguridad se define desde lo que el negocio necesita proteger.
Evaluación integral de riesgosIdentificación de amenazas y vulnerabilidades en los sistemas de información, con la priorización que da base a todo lo demás.
Diseño personalizado de políticasPolíticas que abarcan desde el manejo de datos hasta el acceso a sistemas críticos, redactadas para cumplir estándares y regulaciones aplicables a tu sector.
Formación y concientizaciónProgramas para los colaboradores que fortalecen la cultura de seguridad en toda la organización, porque una política que nadie conoce no protege nada.

EntregablesPlan de seguridadCuerpo normativoMatriz de riesgos

~/opt-sec-017/roadmap-ciber.md 18/24

OPT-SEC-017Gobierno de seguridad

Roadmap de ciberseguridad

Un plan estratégico a corto, mediano y largo plazo que establece prioridades, define acciones concretas y asigna recursos, alineado con los objetivos del negocio.

01 Descripción

Sin hoja de ruta, la inversión en seguridad se decide por urgencia: se compra lo que vendió el último proveedor que llamó. Un roadmap ordena esa inversión por riesgo real y la reparte en el tiempo.

Horizonte: 12 a 36 meses
Duración: 4 a 6 semanas
Salida: Iniciativas priorizadas con presupuesto
Seguimiento: Indicadores y revisiones periódicas

02 Alcances

Evaluación de la situación actualAnálisis del estado presente de la seguridad, identificando brechas, riesgos y necesidades específicas, y revisando las normativas que te aplican.
Definición de objetivos y priorizaciónMetas claras a partir del análisis previo, considerando criticidad, impacto en la operación y costo de implementación, para que la madurez avance de forma progresiva y no a saltos.
Hoja de ruta y plazosDiseño del calendario de implementación: qué se hace primero, qué depende de qué y cuánto cuesta cada tramo.
Monitoreo y mejora continuaMecanismos para evaluar el progreso en el tiempo, con indicadores clave, auditorías periódicas y revisiones estratégicas.

EntregablesRoadmapModelo de madurezTablero de indicadores

~/opt-sec-007/vciso.md 19/24

OPT-SEC-007Gobierno de seguridad

vCISO: tu jefe de seguridad, sin contratarlo

Un oficial de seguridad de la información con horas comprometidas al mes, que responde por el gobierno, el riesgo y el cumplimiento de tu empresa ante el directorio y ante tus clientes.

01 Descripción

Un CISO con contrato cuesta lo que una empresa mediana no puede justificar, pero el vacío se paga igual: nadie firma las políticas, nadie prioriza el presupuesto de seguridad y cuando un cliente corporativo manda su cuestionario de proveedor, no hay quién lo responda. El vCISO ocupa ese asiento por una fracción del costo.

Modalidad: Bolsa de horas mensual
Duración: Contrato anual renovable
Marcos: ISO 27001 · NIST CSF · CIS Controls
Incluye: Comité de seguridad y reporte al directorio

02 Alcances

Política de seguridad de la información y normativa interna, redactada y mantenida.
Registro de riesgos con dueños, plazos y seguimiento real, no una planilla muerta.
Preparación y acompañamiento a certificación ISO 27001 o adecuación a NIST CSF.
Gestión de seguridad de proveedoresevaluación, cláusulas contractuales y revisión periódica.
Respuesta a cuestionarios de seguridad de clientes, licitaciones y auditorías externas.
Plan anual de seguridad con presupuesto priorizado por riesgo.
Comité de seguridad periódico y reporte de indicadores al directorio.
Coordinación técnica de pentesting, hardening y respuesta a incidentes.

EntregablesCuerpo normativoRegistro de riesgosPlan anual de seguridadTablero de indicadoresRespuestas a clientes

~/opt-sec-024/iso-27001.md 20/24

OPT-SEC-024Gobierno de seguridad

Implementación de ISO/IEC 27001:2022

Llevamos a tu organización desde el estado actual hasta un Sistema de Gestión de Seguridad de la Información listo para auditarse y certificarse.

01 Descripción

Certificar ISO 27001 dejó de ser un adorno: cada vez más clientes corporativos y licitaciones lo exigen como condición para contratar. La versión 2022 reorganizó los controles del Anexo A en cuatro temas y sumó once controles nuevos, así que una implementación basada en la edición antigua ya no sirve.

Norma: ISO/IEC 27001:2022 y Anexo A
Duración: 8 a 14 meses según alcance
Equipo: Senior Lead Implementer certificado
Salida: SGSI listo para auditoría de certificación

02 Alcances

Análisis de brechasContraste del estado actual contra cada requisito de la norma y cada control del Anexo A, con el porcentaje de cumplimiento real por cláusula.
Alcance y contextoDefinición del alcance del SGSI, las partes interesadas y sus requisitos, que es donde se decide cuánto costará todo lo demás.
Gestión de riesgosMetodología de evaluación y tratamiento, inventario de activos, riesgos valorados con dueños asignados y Declaración de Aplicabilidad.
Cuerpo documentalPolítica del SGSI, procedimientos obligatorios, registros y evidencia, redactados para tu operación y no copiados de una plantilla.
Implementación de controlesAcompañamiento técnico en los controles del Anexo A que exigen trabajo real: accesos, criptografía, respaldo, registro, desarrollo seguro y proveedores.
Concientización y competenciasFormación al personal y a la alta dirección, con la evidencia que el auditor pedirá.
Auditoría interna y revisiónEjecución de la auditoría interna, tratamiento de no conformidades y revisión por la dirección antes de convocar al ente certificador.
Acompañamiento en certificaciónPreparación de la etapa 1 y la etapa 2, y apoyo durante la auditoría del organismo certificador.

EntregablesManual del SGSIDeclaración de AplicabilidadMatriz de riesgosCuerpo documentalInforme de auditoría interna

~/opt-sec-025/auditoria-27001.md 21/24

OPT-SEC-025Gobierno de seguridad

Auditoría interna ISO/IEC 27001:2022

Auditamos tu Sistema de Gestión de Seguridad de la Información con el mismo rigor con que lo hará el organismo certificador, para que no aparezcan sorpresas el día de la auditoría real.

01 Descripción

La norma exige auditorías internas a intervalos planificados, y no es un trámite: es el mecanismo que detecta las desviaciones antes de que lo haga un tercero. También sirve como ensayo general si aún no te certificas, y como control sobre proveedores críticos que declaran cumplir y nadie ha verificado.

Norma: ISO/IEC 27001:2022 · cláusula 9.2
Duración: 3 a 6 semanas
Modalidad: Auditoría interna o de proveedores
Salida: Informe con no conformidades y plan

02 Alcances

Programa de auditoríaPlanificación del ciclo anual: qué procesos se auditan, cuándo, con qué criterios y con qué independencia respecto de quien los opera.
Revisión documentalContraste del cuerpo documental —política, procedimientos, Declaración de Aplicabilidad y registros— contra lo que la norma exige en cada cláusula.
Auditoría de campoEntrevistas, observación y muestreo de evidencia real: no basta con que el procedimiento exista, hay que comprobar que se ejecuta como está escrito.
Verificación de controles del Anexo ARevisión técnica de los controles declarados aplicables, incluidos accesos, criptografía, respaldos, registro, desarrollo seguro y gestión de proveedores.
Hallazgos clasificadosNo conformidades mayores, menores y observaciones, cada una con la cláusula incumplida, la evidencia que la respalda y su impacto.
Plan de acciones correctivasAnálisis de causa raíz y acciones con responsable y plazo, redactadas para cerrar el hallazgo y no solo para responderlo.
Seguimiento del cierreVerificación posterior de que las acciones se implementaron y fueron eficaces, con acta de cierre por hallazgo.
Auditoría a proveedoresLa misma metodología aplicada a terceros críticos que tratan tu información y declaran cumplir la norma.

EntregablesPrograma de auditoríaLista de verificaciónInforme de auditoríaPlan de acciones correctivasActa de cierre

auditor@optimizaria:~$

08Cumplimiento normativo

Ley 21.719 y Ley 21.595, sin abogado en la sala de servidores.

~/opt-sec-004/cumplimiento.md 22/24

OPT-SEC-004Cumplimiento normativo

Cumplimiento Ley 21.719 y Ley 21.595

Preparamos a tu empresa para la ley chilena de datos personales antes de que la fiscalización llegue, con documentación contrastada contra el texto oficial.

01 Descripción

La nueva ley de datos personales cambia las reglas para toda empresa chilena que trate datos de personas. Auditamos tus sistemas, identificamos qué datos tratas y generamos la documentación exigible.

Vigencia: Ley 21.719 rige desde diciembre de 2026
Duración: 3 a 6 semanas
Sanciones: Hasta 4% de los ingresos anuales
Alcance: Auditoría + documentación + capacitación

02 Alcances

Auditoría técnica del repositorio y las bases de datosqué datos personales existen y dónde.
Registro de Actividades de Tratamiento (RAT).
Política de privacidad, términos y cláusulas de consentimiento.
Contratos de encargo de tratamiento (DPA) con tus proveedores.
Evaluación de Impacto en Protección de Datos (EIPD) cuando corresponde.
Modelo de prevención de delitos económicos, Ley 21.595, ya vigente.

EntregablesPaquete documentalInforme de brechasPlan de adecuación

auditor@optimizaria:~$

09Tecnología

Las herramientas y el hardware correctos, bien configurados.

~/opt-sec-021/herramientas.md 23/24

OPT-SEC-021Tecnología

Herramientas de seguridad

Licenciamiento y puesta en marcha de las herramientas ofensivas y defensivas más usadas del mercado, con el apoyo técnico para que rindan de verdad.

01 Descripción

Comprar la licencia es la parte fácil. La herramienta rinde cuando alguien la configura contra tu entorno real, define qué se escanea y con qué frecuencia, y sabe leer los resultados para separar el hallazgo del ruido.

Modalidad: Licencia más implementación
Herramientas: Nessus, Checkmarx, Burp Suite Pro, Elastic
Incluye: Configuración y capacitación
Soporte: Acompañamiento técnico permanente

02 Alcances

NessusEscáner automatizado que identifica y ayuda a reparar con rapidez las vulnerabilidades detectadas: parches faltantes, defectos de software, malware y configuraciones erróneas en sistemas operativos, dispositivos y aplicaciones.
Checkmarx SASTAnálisis estático que descubre vulnerabilidades críticas en el código de tus aplicaciones y muestra exactamente cuáles corregir, dando flexibilidad para entregar software seguro sin frenar el desarrollo.
Burp Suite ProfessionalLa herramienta de referencia para automatizar pruebas repetitivas y ejecutar actividades de seguridad semiautomáticas y manuales, diseñada por y para especialistas ofensivos.
Elastic SearchMotor de búsqueda y analítica distribuido, núcleo del Elastic Stack: almacena de forma central tus datos para búsquedas veloces, relevancia refinada y analítica que escala.
Implementación y capacitaciónNo entregamos una llave de licencia: configuramos la herramienta contra tu entorno y entrenamos a quien la va a operar.

EntregablesHerramienta operativaManual de operación

~/opt-sec-022/equipamiento.md 24/24

OPT-SEC-022Tecnología

Equipamiento tecnológico

Equipos computacionales, servidores y herramientas especializadas para hacking físico, con asesoría de arquitectura incluida.

01 Descripción

Comprar hardware sin arquitectura previa termina en equipos sobredimensionados en un rack y subdimensionados en otro. Antes de cotizar conviene definir qué tiene que soportar cada pieza y por cuántos años.

Alcance: Equipos, servidores, gabinetes y dispositivos
Volumen: Venta al por mayor
Perfil: Organizaciones medianas y grandes
Incluye: Asesoría y diseño de arquitectura

02 Alcances

Computadores y notebooksVenta al por mayor de equipamiento computacional para organizaciones medianas y grandes, con la configuración adecuada al uso real de cada perfil.
Servidores y routersEquipamiento de almacenamiento y comunicaciones para medianas y grandes empresas, dimensionado según la carga proyectada.
Gabinetes de comunicaciónRacks y gabinetes diseñados para optimizar el rendimiento, la ventilación y el orden físico de tus sistemas.
Dispositivos para hacking físicoEquipamiento ofensivo para pruebas de penetración físicas, como Flipper Zero, Piña WiFi y otros dispositivos de uso profesional en evaluaciones autorizadas.
Asesoría y diseño de arquitecturaDiseño de la arquitectura informática de tu organización con tecnología de punta y estándares de seguridad, antes de que se emita la primera orden de compra.

EntregablesDiseño de arquitecturaEquipamiento

Servicios Especializadosen Ciberseguridad

Primero, entendemos tu red.

Encontramos por dónde se entra.

Cerramos cada camino.

Y nos quedamos vigilando.

Todo lo que hacemos,abierto en pantalla.

01Diagnóstico

Evaluación de la situación actual de ciberseguridad

01 Descripción

02 Alcances

02Ciberseguridad ofensiva

Ethical Hacking

01 Descripción

02 Alcances

Pentesting de aplicaciones web y APIs

01 Descripción

02 Alcances

Auditoría de aplicaciones móviles (APK)

01 Descripción

02 Alcances

Red Team y Purple Team

01 Descripción

02 Alcances

Ejercicios tipo APT

01 Descripción

02 Alcances

03Factor humano

Phishing simulado y concientización

01 Descripción

02 Alcances

04Investigación y respuesta

Análisis forense digital

01 Descripción

02 Alcances

Respuesta a incidentes y análisis forense

01 Descripción

02 Alcances

05Ciberseguridad defensiva

Creación de tu CSIRT

01 Descripción

02 Alcances

Security Operation Center

01 Descripción

02 Alcances

Monitoreo de seguridad digital

01 Descripción

02 Alcances

Hardening de servidores

01 Descripción

02 Alcances

Hardening de nube: GCP, AWS y Azure

01 Descripción

02 Alcances

06Nube e infraestructura

Servicios cloud: migración y arquitectura

01 Descripción

02 Alcances

Conectividad y redes

01 Descripción

02 Alcances

07Gobierno de seguridad

Plan de seguridad de la información

01 Descripción

02 Alcances

Roadmap de ciberseguridad

01 Descripción

02 Alcances

vCISO: tu jefe de seguridad, sin contratarlo

01 Descripción

02 Alcances

Implementación de ISO/IEC 27001:2022

01 Descripción

02 Alcances

Auditoría interna ISO/IEC 27001:2022

01 Descripción

02 Alcances

08Cumplimiento normativo

Cumplimiento Ley 21.719 y Ley 21.595

01 Descripción

02 Alcances

Servicios Especializados
en Ciberseguridad

Todo lo que hacemos,
abierto en pantalla.