NodeOps Security OÜ es una consultora B2B que trabaja en remoto. Auditamos, fortificamos y operamos los sistemas Linux y Windows sobre los que funciona su negocio - y después le ayudamos a implantar las políticas que los mantienen así.
$ nodeops audit --scope infra --profile cis 41 hosts resolved, 3 subnets ssh: key-only, root login denied tls: 3 endpoints still negotiating TLS 1.0 postgres: superuser reachable from app subnet backups: restore test passed, RPO 4h findings.pdf remediation.md
La mayoría de los proveedores se queda en la estrategia o en la implantación. Nosotros hacemos ambas: los controles que recomendamos son los que sabemos operar, y los sistemas que operamos están construidos para cumplirlos.
Una revisión práctica de aquello a lo que un atacante llegaría de verdad, ordenada por el daño que causaría.
Parques Debian, Ubuntu, RHEL, Rocky y Alma construidos para ser aburridos, reproducibles y estar parcheados.
Parques de Active Directory y Windows Server saneados, llevados a una línea base y mantenidos al día.
Encontrar las consultas, los índices y los ajustes que en silencio le cuestan dinero y disponibilidad.
Canalizaciones, infraestructura como código y proceso de publicación que su equipo puede manejar sin nosotros.
Una cuota continua para el trabajo de infraestructura del que nadie en su equipo tiene tiempo de ocuparse.
Un servidor fortificado sirve de poco si nadie sabe quién responde de él, qué contiene o qué ocurre si desaparece un día. Junto al trabajo técnico asesoramos en gestión de riesgos, política de seguridad corporativa y continuidad de negocio - la capa que está por encima de la implantación.
Estrategia que llega a los servidores. Cada capa evidenciada, con responsable y revisada.
Sin análisis abiertos sin fin, sin facturas sorpresa y sin ningún acceso que no podamos justificar.
Una llamada breve y después un alcance por escrito: qué vamos a revisar, qué accesos necesitamos, qué recibe y cuánto cuesta. Precio cerrado siempre que la naturaleza del trabajo lo permita.
Revisión práctica, empezando en solo lectura. Verificamos cada hallazgo antes de informarlo, para que su equipo no persiga falsos positivos de un escáner.
Hallazgos ordenados por impacto real, cada uno con una solución concreta. La aplicamos nosotros o entregamos a su equipo procedimientos lo bastante precisos para seguirlos.
Cuota mensual opcional: parcheado, supervisión, respuesta a incidentes y un informe mensual que un directivo no técnico puede leer.
Nacimos como empresa distribuida desde el primer día. No hay coste de oficina incorporado a nuestras tarifas, no hay días de desplazamiento en su factura y nadie espera a que alguien llegue al edificio para atender una incidencia en producción.
Prestación 100 % en remoto, en hora de Europa central.
01 - PROYECTO
Un trabajo definido, con alcance y precio cerrados: una auditoría de seguridad, una migración, el rescate de una base de datos, un plan de continuidad.
02 - CUOTA
Una bolsa mensual de horas para la infraestructura de la que nadie internamente tiene tiempo de ocuparse, con tiempos de respuesta acordados.
03 - ASESORÍA
Sesiones programadas para una dirección que necesita una segunda opinión técnica antes de comprometer presupuesto o firmar un contrato.
Con una llamada breve y un alcance por escrito. Acordamos qué entra y qué queda fuera, qué accesos necesitamos y qué recibe al final, antes de empezar a trabajar. Las auditorías y los proyectos se presupuestan a precio cerrado; el trabajo continuo funciona como cuota mensual.
Los mínimos con los que se pueda hacer el trabajo. Las revisiones empiezan en solo lectura. Todo lo que modifique el estado se acuerda antes por escrito. Los accesos van ligados a cuentas nominales, acotados a la duración del encargo y revocados al terminar - y trabajamos con gusto dentro de su propio bastión, VPN o herramienta PAM en lugar de los nuestros.
No: la certificación la emite un organismo acreditado, y sería un conflicto de intereses que quienes construyeron sus controles los auditasen para certificarlos. Lo que hacemos es prepararle: análisis de brechas, el trabajo de controles y políticas, y la estructura de evidencias que un auditor va a pedir.
Normalmente no. Buena parte de nuestro trabajo convive con un proveedor existente o un equipo interno: una auditoría independiente, una base de datos que nadie ha tenido tiempo de ajustar, o un plan de continuidad que se va aplazando. Redactamos los hallazgos para que pueda aplicarlos quien administre el sistema, y nos parece bien que sea otro.
Operamos en hora de Europa central, lo que da una jornada laboral completa en común con el Reino Unido y el resto de la UE, y un solapamiento sólido por la tarde con el este y el centro de Estados Unidos y Canadá. Las ventanas de mantenimiento se planifican según su horario, no el nuestro.
Ambos, y preferimos que nos lo pidan. Podemos partir de sus documentos o aportar los nuestros. Como empresa registrada en la UE estamos habituados a las obligaciones del RGPD y sabemos documentar las medidas técnicas y organizativas que conllevan.
Cuéntenos qué administra y qué le quita el sueño. Recibirá un alcance por escrito y un precio cerrado - y respuesta en un día laborable.
