Del minuto cero al día Q
Siete servicios de ciberseguridad para empresas y administraciones públicas, con un mismo método: agentes de IA que hacen el trabajo a escala, conocimiento propio que les da contexto y un equipo senior que decide.
Operar minutos
- SOC agéntico y DFIR Detectar y contener un ataque a cualquier hora.
Atacar semanas
- Pentesting agéntico Encontrar la brecha antes que el adversario.
Gobernar trimestres
Anticipar años
- Criptografía poscuántica Proteger hoy lo que se podrá leer mañana.
Cómo trabajamos con IA
La IA no sustituye al analista: le quita de encima lo que no escala. En cada servicio el trabajo se reparte igual. El agente recorre, el conocimiento orienta y una persona decide.
- Agente
- Lee a escala lo que ningún equipo puede leer entero: eventos, trazas, flujos de red, código y configuraciones.
- Conocimiento propio
- Le da contexto con bases que cura nuestro equipo: técnicas ofensivas, reglas de detección y hallazgos anteriores.
- Criterio senior
- Valida cada hallazgo, decide qué se toca y firma el resultado. La responsabilidad no se delega.
Verás este mismo reparto en cada servicio. Y todo queda registrado como evidencia, en el formato que piden NIS2, DORA, el ENS o el EU AI Act.
SOC agéntico y DFIR
Vigilamos tu infraestructura las 24 horas sin pedirte que cambies de herramientas. Cuando algo pasa, lo contenemos. Cuando ya ha pasado, nuestro equipo forense reconstruye cómo entró y cierra la puerta.
El SOC opera las 24 horas, los 365 días del año.
- Agente
- Correlaciona y clasifica en tiempo real las alertas de tu EDR, tu SIEM y tu red, y aplica la contención pactada sin esperar al turno de mañana.
- Conocimiento propio
- Casos de uso y reglas afinados por el equipo sobre una plataforma SOC consolidada y probada en producción.
- Criterio senior
- Analistas L3 para lo que de verdad importa y un equipo DFIR propio: contención, erradicación, análisis forense y lecciones aprendidas.
Lo que cambia para ti
Un SOC que se adapta a tu arquitectura, no al revés.
- Agnóstico de verdad. Trabaja con el EDR, el SIEM y las herramientas que ya tienes.
- Cobertura continua. A un coste muy inferior al de un SOC propio con tres turnos.
- IT y OT. Entornos industriales cubiertos junto a Safetybits.
Pentesting agéntico
Un pentest anual es una foto: cuenta cómo estabas el día que se hizo. Nosotros dejamos la cámara encendida. Los agentes prueban sin descanso y los pentesters certificados validan y explotan lo que encuentran.
- Agente
- Reconocimiento, pruebas repetibles y técnicas nuevas contra tu superficie expuesta, de forma continua.
- Conocimiento propio
- Una capa RAG propia con técnicas, exploits, configuraciones vulnerables y hallazgos de auditorías anteriores.
- Criterio senior
- Pentesters certificados que confirman, explotan y priorizan cada hallazgo. El equipo tiene CVEs publicados.
Tests de intrusión
- Infraestructura IT
- Interna y perimetral: servidores, redes, Active Directory, segmentación y escalada de privilegios.
- Web y APIs
- Aplicaciones y servicios conforme a OWASP: autenticación, autorización, inyecciones y lógica de negocio.
- Mobile
- Apps iOS y Android: almacenamiento local, comunicaciones, ingeniería inversa y backend.
- Red Team
- Un adversario real simulado, con sus tácticas y objetivos de negocio pactados.
- Ingeniería social
- Phishing, vishing, smishing y pretexting para medir cómo responde la plantilla.
- WiFi
- Cifrado, redes de invitados, puntos de acceso falsos y ataques de proximidad.
Auditorías de seguridad
- Exposición en Internet
- Descubrimiento y evaluación continua de tu superficie expuesta.
- Cloud
- Identidades, permisos y configuración en AWS, Azure y Google Cloud.
- Código
- Análisis SAST y SCA automatizado, con revisión experta de lo crítico.
- Configuración y hardening
- Sistemas, bases de datos y red frente a los CIS Benchmarks.
- Simulación de malware
- Defensas de endpoint y detección del SOC, ransomware incluido.
- OT
- Entornos ICS y SCADA: inventario, segmentación IT/OT y riesgo de planta.
- Hardware, IoT y cajeros
- Firmware, interfaces de depuración y resistencia a manipulación.
- Blockchain
- Smart contracts, protocolos y plataformas.
- DDoS
- Pruebas controladas de resistencia y de los mecanismos de mitigación.
- TableTop
- Simulacros de crisis con dirección y equipos técnicos.
- Vulnerabilidades
- Escaneo y priorización periódica como base de la gestión continua.
Cualquiera de ellas, como proyecto cerrado o en modo continuo. Cubre el testing periódico que exigen NIS2 y DORA.
Gobierno, cumplimiento e IA
La seguridad también se dirige, se documenta y se enseña. Y desde que la IA entró en la oficina, también hay que gobernarla.
¿Quién dirige la seguridad de mi organización?
CISO as a Service. Un CISO con dedicación parcial y todo nuestro equipo detrás: plan director, gestión del riesgo, políticas, proveedores y reporte al consejo. Los agentes le mantienen al día métricas, vulnerabilidades y estado de cumplimiento, en vez de un informe cada trimestre. NIS2 exige que la dirección se implique; ponemos la figura, el método y las evidencias.
¿Está bajo control la IA que usa mi plantilla?
IA bajo control. Averiguamos qué herramientas de IA se usan, con qué datos y bajo qué reglas, y lo ordenamos: políticas de uso, clasificación de casos, controles y trazabilidad. GDPR, NIS2 y el EU AI Act, tratados a la vez y no como tres proyectos distintos.
¿Sabe usarla sin exponer datos?
Formación en IA. Itinerarios distintos para dirección, mandos, plantilla, perfiles avanzados y equipos técnicos, con Claude, ChatGPT y las herramientas que ya uséis. Lo imparte quien ataca, defiende y construye estos sistemas, y queda registro válido para auditoría: el EU AI Act exige alfabetización en IA.
¿Y si el dato no puede salir de casa?
IA soberana. Construimos IA generativa sobre tus datos y en tu infraestructura: RAG, ajuste fino y modelos abiertos en tus servidores o en nube privada. El sistema es tuyo. Y si una API comercial resuelve el caso sin riesgo, te lo decimos antes de venderte un despliegue.
Criptografía poscuántica
Un ordenador cuántico capaz romperá RSA y las curvas elípticas que hoy protegen casi todo, y lo que alguien copie hoy podrá leerlo ese día. Te ayudamos a encontrar tu criptografía, medir su riesgo y sustituirla a tiempo.
1519días hasta el final de 2030, el plazo europeo para migrar las infraestructuras críticas
¿Llegas a tiempo?
Dos preguntas bastan para saber si tu información ya está en riesgo. Es la cuenta que propuso el criptógrafo Michele Mosca: si lo que tus datos deben durar en secreto, más lo que tardes en migrar, supera lo que falta para el ordenador cuántico, ya vas tarde.
Terminarías de migrar en 2031, y lo que cifres hasta entonces debe seguir secreto hasta 2046.
Empezando en 2026, acabarías después de 2030, el plazo europeo para las infraestructuras críticas. Y si un ordenador cuántico capaz llega antes de 2046, lo que alguien haya copiado quedará al descubierto.
Pedir un inventarioUn mapa de toda tu criptografía
La criptografía no vive en un solo sitio. Está en certificados, VPN, APIs, copias de seguridad, firmas, dispositivos y en el código de proveedores que nadie revisa. Nuestros agentes analizan trazas y flujos de red, configuraciones, binarios y repositorios hasta levantar el inventario completo, y la IA nos guía al cruzarlo con lo que protege cada sistema.
- Agente
- Lee trazas, flujos de red, certificados, configuraciones y código para localizar cada uso de criptografía, también el que nadie documentó.
- Conocimiento propio
- Un catálogo de algoritmos, librerías y protocolos con su exposición al algoritmo de Shor y su sustituto estandarizado por el NIST.
- Criterio senior
- Prioriza según cuánto tiempo debe seguir secreto cada dato, diseña la migración y firma la hoja de ruta.
Cómo migramos
De no saber dónde está tu criptografía a una hoja de ruta firmada.
- Descubrir. Inventario criptográfico de sistemas, flujos y proveedores, levantado con IA.
- Priorizar. Por vida útil del dato, exposición y dependencias.
- Migrar. Primero en modo híbrido, clásico y poscuántico a la vez, con cripto-agilidad para cambiar de algoritmo sin rehacer sistemas.
- Verificar. Pentest sobre la criptografía nueva y vigilancia desde el SOC para que nadie vuelva a meter RSA.
- Resultado. Una hoja de ruta poscuántica alineada con el calendario europeo.
Algoritmos y sustitutos
| Hoy | Con un ordenador cuántico | Sustituto |
|---|---|---|
| RSA, ECDH y Diffie-Hellman, para acordar claves | Roto por Shor | ML-KEM (FIPS 203) |
| RSA, ECDSA y EdDSA, para firmar | Roto por Shor | ML-DSA (FIPS 204) y SLH-DSA (FIPS 205) |
| AES-128 | Pierde margen por Grover | AES-256 |
| SHA-256 y SHA-3 | Aguantan | Sin cambios |
Calendario: el NIST publicó los estándares en 2024; la hoja de ruta coordinada de la UE pide haber empezado a finales de 2026, migrar las infraestructuras críticas antes de que acabe 2030 y el resto, en la medida de lo posible, para 2035.
Cumplimiento normativo
Ayudamos a empresas y administraciones públicas a cumplir NIS2, DORA, el ENS, el EU AI Act, el GDPR e ISO 27001, con evidencias que un auditor puede revisar.
| Marco | Qué exige | Qué aportamos |
|---|---|---|
| NIS2 | Gestión del riesgo, implicación de la dirección y pruebas periódicas | SOC, pentesting continuo y CISO as a Service con sus evidencias |
| DORA | Resiliencia operativa digital en el sector financiero | Pruebas de resiliencia, respuesta a incidentes y seguimiento continuo |
| ENS | Seguridad del sector público y de sus proveedores | Adecuación de controles, documentación y acompañamiento hasta la auditoría |
| EU AI Act | Control, clasificación y alfabetización en el uso de la IA | IA bajo control y formación con registro auditable |
| GDPR | Protección del dato personal, también cuando lo trata una IA | Políticas, controles y trazabilidad del tratamiento |
| ISO 27001 | Un sistema de gestión de la seguridad de la información | Plan director, políticas y concienciación |
La normativa aplicable depende del sector y del tamaño de cada organización. Bitnaga no presta asesoramiento jurídico.
Con quién trabajamos
CrowdStrike, Lumu, Netskope, SmartFense y Safetybits, para el lado industrial.
Lo que investigamos
Publicamos nuestros hallazgos técnicos para que cualquiera pueda comprobar cómo trabajamos.
Leer los informes
¿Por dónde empezamos?
Elige lo que te trae aquí y déjanos tu email. Te respondemos con un primer paso concreto, no con un catálogo.
Al enviar aceptas que Bitnaga te contacte para atender tu consulta. Política de privacidad. O escríbenos a hola@bitnaga.es