Análisis técnicos, guías prácticas y criterios operativos del equipo de Hard2bit — el mismo que opera SOC 24/7, responde a incidentes, ejecuta pentesting y acompaña procesos de cumplimiento en empresas medianas y grandes.
Publicamos sobre lo que vemos operar cada día. Cada artículo lo firma alguien que ha estado dentro del problema, no un redactor externo. Encontrarás análisis técnicos de CVEs con impacto real, guías prácticas de NIS2, DORA, ENS e ISO 27001 orientadas a implantación, y explicaciones de qué controles mueven la aguja en madurez de seguridad y cuáles son solo teatro.
Cubrimos cinco áreas:
Cuando la decisión es X o Y: qué evalúa cada opción, dónde se solapan y cuándo tiene sentido cada una. Contenido pensado para desatascar decisiones de alcance y de contratación.
Cuatro marcos, un solo mapa de controles. Qué exige cada uno y cómo priorizar.
Comparativa →Detección de endpoint, correlación transversal o servicio gestionado 24/7. Cuándo elegir cada una.
Comparativa →Coste real, capacidad de respuesta y control operativo. Cuándo internalizar y cuándo externalizar.
Comparativa →Qué valida cada ejercicio ofensivo y cuál pide el consejo, el auditor o el regulador.
Comparativa →Cuándo compensa un CISO en plantilla y cuándo un vCISO fraccional resuelve mejor la ecuación.
Comparativa →Dos ejercicios que se confunden a menudo. Objetivos, entregables y cuándo pedir cada uno.
Comparativa →Un escaneo no es un programa. Qué falta entre detectar y remediar de forma sostenida.
Comparativa →Cuatro áreas donde el blog concentra más material. Cada bloque enlaza a los artículos que cubren los fundamentos y al servicio equivalente en Hard2bit.
NIS2, DORA, ENS e ISO 27001. Cómo se implanta cada marco en empresas medianas y grandes sin construir un cementerio de políticas — qué controles rinden primero, dónde hay solapamientos que ahorran trabajo y cómo se llega a una auditoría con evidencias en la mano.
Qué evalúa cada tipo de ejercicio ofensivo, cuánto cuesta hacerlo bien y qué debe entregar un informe útil — para el equipo de desarrollo y para el comité de riesgos. Diferencias reales entre auditoría, pentesting y red team.
MCP, agentes LLM en producción, cadena de suministro de modelos, extensiones GenAI en el navegador. Qué se puede controlar hoy, qué depende del proveedor y qué controles hay que exigir en contrato.
Cómo se opera un SOC útil (no un stream de tickets), qué diferencia una operación defensiva madura de una que solo genera alertas, priorización de vulnerabilidades explotables y comunicación en las primeras 24 horas de una crisis.
El blog lo firman los socios fundadores de Hard2bit y el equipo técnico. Cada artículo lleva la firma de quien ha trabajado el problema en un engagement real — no un redactor externo.
Filtrar por categoría
Microsoft confirmó la explotación activa de CVE-2026-42897, un XSS en Outlook Web Access de Exchange on-premises que ejecuta JavaScript con solo abrir un correo. Qué implica y cómo contenerlo.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Análisis pasivo de 60 dominios EU — banca, farma, telcos, energía, retail y sector público — frente a los 11 estándares emergentes de AI Agent Readiness. Datos agregados por sector.
Por Adrián González · CEO
Herramienta de seguridad web para revisar TLS, cabeceras HTTP, DNS, DMARC, cookies, tecnologías, CVE, exposición cloud, leaks, subdominios, reputación y AI readiness con Hard2bit Scanner.
Por Adrián González · CEO
Comparativa práctica SPIFFE/SPIRE vs OAuth para gobernar identidades de máquina en cloud-native con seguridad, trazabilidad y operación híbrida.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Qué debe tener un software de compliance para gestionar ISO 27001, ENS, NIS2 y DORA: documentación, riesgos, controles, evidencias, auditorías, trazabilidad e IA.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Análisis del impacto de los últimos conflictos en Ucrania e Irán sobre la ciberseguridad europea: resiliencia, infraestructuras críticas, terceros, spillover y lecciones para empresas.
Por Adrián González · CEO
No todos los proveedores cuentan con certificación ENS y, entre quienes sí la tienen, no todos ofrecen el mismo valor. El alcance certificado es clave para entender la diferencia real.
Por Adrián González · CEO
Descubre qué es un análisis de malware, cómo se realiza, qué técnicas utiliza y qué puede revelar en un incidente real: persistencia, robo de credenciales, exfiltración y más.
Por Adrián González · CEO
Guía realista sobre cuánto cuesta un pentesting en 2026: precios orientativos, factores que cambian el presupuesto y claves para comparar proveedores con criterio técnico.
Por Adrián González · CEO
No todas las empresas de ciberseguridad encajan igual cuando una organización necesita combinar capacidades técnicas y cumplimiento. Comparamos qué tipo de proveedor encaja mejor según el caso.
Por Adrián González · CEO
Ciberseguridad para empresas: claves para reducir riesgos, priorizar inversiones y mejorar la protección, el cumplimiento y la respuesta ante incidentes.
Por Adrián González · CEO
La gestión de vulnerabilidades no consiste solo en pasar un escáner. Incluye inventario, detección, priorización por riesgo, remediación, validación, excepciones, reporting y seguimiento continuo.
Por Adrián González · CEO
Muchas empresas usan “auditoría” y “pentesting” como si fueran lo mismo, pero no lo son. Te explicamos qué revisa cada servicio, cuándo conviene contratar uno y cómo elegir.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Qué organizaciones deben cumplir el ENS y en qué casos afecta también a empresas privadas y proveedores tecnológicos. Guía práctica sobre alcance, contratos públicos y errores habituales.
Por Adrián González · CEO
El MFA tradicional ya no basta. Análisis técnico de ataques AiTM, Evilginx2 y robo de tokens de sesión en Microsoft 365. Descubre cómo mitigarlo con FIDO2.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Implantación ISO 27001. En esta guía completa explicamos el proceso de implantación: alcance, análisis de riesgos, controles, documentación, auditoría interna y certificación.
Por Adrián González · CEO
Hard2bit participa en ASLAN2026 como expositor y presenta Cortexwork y NormexAI, dos soluciones basadas en IA orientadas a riesgo humano, productividad ética, compliance y evidencias audit-ready.
Por Adrián González · CEO
Qué servicios debe ofrecer una empresa de ciberseguridad moderna: auditoría, pentesting, SOC, cloud, Microsoft 365, identidad, incident response y compliance con enfoque práctico.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Guía práctica para elegir una empresa de ciberseguridad: qué criterios revisar, qué errores evitar y cómo valorar auditoría, SOC, Microsoft 365, cloud y compliance antes de contratar.
Por Adrián González · CEO
Guía para entender cuánto cuesta una auditoría de seguridad informática en empresas qué incluye
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Guía operativa de NIS2 para convertir obligaciones en controles ejecutables, con evidencia audit-ready y reporting útil para dirección.
Por Irene Ocando · Directora de Cumplimiento Normativo Hard2bit
Cómo cumplir NIS2 en España: guía práctica para empresas en 2026. En esta guía explicamos qué exige NIS2 y cómo puede prepararse una empresa para cumplir con la normativa.
Por Adrián González · CEO
Cómo mejorar soporte y operaciones IT usando impacto de negocio, criticidad y riesgo para decidir mejor cada intervención.
Por Alvaro Cruz · Responsable TI
La NIS2 no solo afecta a grandes operadores: muchas pymes proveedoras en España deberán demostrar controles, respuesta a incidentes y gestión de terceros.
Por Irene Ocando · Directora de Cumplimiento Normativo Hard2bit
En 2026, la mayoría de incidentes combinan robo de credenciales, abuso de accesos privilegiados y fallos en resiliencia. Guía práctica para priorizar medidas y alinear NIS2/DORA.
Por Adrián González · CEO
CVE-2026-24061 en telnetd (Inetutils) permite bypass remoto de autenticación si el servicio está expuesto. Guía práctica de detección, contención, parcheo y evidencias para NIS2/DORA/ISO 27001.
Por Adrián González · CEO
CISA añadió CVE-2026-45659 al catálogo KEV el 1 de julio: una ejecución remota en SharePoint local que Storm-2603 aprovecha para desplegar ransomware Warlock. Qué detectar y cómo responder.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Sysdig documenta JADEPUFFER, el primer ransomware agéntico: un modelo de IA que entró por Langflow, robó credenciales y destruyó una base de datos. Lectura en clave defensiva.
Por Adrián González · CEO
Dos fallos críticos en Cursor (DuneSlide) convierten la inyección de prompt en ejecución de código. Qué significa para los editores con IA de tu equipo y cómo defenderse.
Por Adrián González · CEO
Estados Unidos ofrece hasta 10 millones de dólares por información sobre grupos rusos que secuestraron cuentas de Signal y WhatsApp. Qué deben hacer empresas y directivos.
Por Adrián González · CEO
CISA añadió el 23 de junio de 2026 cuatro fallos de UniFi OS y Lantronix EDS5000 a su catálogo KEV. Encadenados, dan ejecución remota sin autenticación sobre el equipo que administra la red.
Por Adrián González · CEO
Un endpoint sin autenticación en el servicio PostgreSQL de Splunk Enterprise permite ejecución remota de código. CISA lo incluyó en el catálogo KEV el 18 de junio. Qué falla y cómo contenerlo.
Por Adrián González · CEO
DragonForce ocultó su mando y control dentro de los relays TURN de Microsoft Teams y pasó casi dos meses sin ser detectado. Así funciona Backdoor.Turn y cómo cazarlo en tu red.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Hicimos un escaneo OSINT 100% pasivo de 24 marcas conocidas y encontramos 591 dominios typosquatting vivos. 48% pueden enviar correo. Cifras agregadas y anónimas, junio 2026.
Por Adrián González · CEO
ClickFix engaña al usuario para que ejecute PowerShell pegando un comando. Crecimiento del 517% en 2025. Anatomía, detección operativa y defensas que sí funcionan.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Lectura cruzada de ENISA Threat Landscape 2025 (4.875 incidentes EU) y Verizon DBIR 2026: cinco lecciones operativas para el CISO sobre cadena de suministro, dependencias, vulnerabilidades, phishing.
Por Adrián González · CEO
El 17 de junio de 2026 un atacante publicó más de 140 paquetes del espacio @mastra en npm con una dependencia maliciosa que ejecuta un troyano en el postinstall. Qué pasó y cómo defenderse.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Las extensiones de navegador con IA pueden acceder a sesiones, prompts, cookies, SaaS y datos corporativos. Aprende riesgos, controles y medidas técnicas para proteger tu empresa.
Por Adrián González · CEO
Analiza el AI Agent Readiness de tu web con Hard2bit Scanner. Revisa llms.txt, sitemap.xml, Content-Signal, Markdown, API Catalog, MCP, Agent Skills y seguridad web.
Por Adrián González · CEO
Playbook técnico para SOC e ingeniería: cómo identificar cadenas reales de abuso en AD híbrido, cortar movimiento lateral y elevar la resiliencia con hardening
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Modelo práctico para priorizar riesgos OT/IT en fabricantes europeos: procesos críticos, accesos remotos, NIS2, IEC 62443, métricas y hoja de ruta de 90 días.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Guía ejecutiva para comités de dirección sobre qué comunicar, a quién y con qué cadencia durante las primeras 24 horas de un ciberincidente, alineando negocio,
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Aprende cómo implantar CTEM para pasar del escaneo de vulnerabilidades a una gestión continua de exposición, priorizada por riesgo real y alineada con cumplimiento.
Por Adrián González · CEO
Guía ejecutiva para preparar la transición post-cuántica en Europa con inventario criptográfico, priorización por impacto y quick wins 2026-2028.
Por Adrián González · CEO
Cómo pasar de pilotos de agentes IA a producción segura con MCP: arquitectura de control, guardrails, mínimos de seguridad y plan de implantación por fases.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Modelo práctico de reporting al Consejo con 12 KPI de ciberresiliencia conectados a decisiones, inversión y responsabilidad ejecutiva.
Por Adrián González · CEO
Guía técnica para priorizar vulnerabilidades con CISA KEV, EPSS, SSVC, CVSS, exposición real y criticidad de negocio. Reduce riesgo antes de que una CVE se convierta en incidente.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Escanear vulnerabilidades no es gestionar el riesgo. Aprende cómo priorizar, remediar y evidenciar vulnerabilidades en ENS, NIS2, ISO 27001 y entornos empresariales.
Por Adrián González · CEO
Descubre qué es un pentesting o test de intrusión, qué tipos existen, cómo se ejecuta, qué metodología se usa y cuándo tiene sentido hacerlo en una empresa.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Analizamos la brecha vinculada a la Comisión Europea y qué revela sobre supply chain, API keys, terceros, cloud, monitorización y cumplimiento en NIS2, DORA, ENS e ISO 27001.
Por Adrián González · CEO
Separar ciberseguridad y compliance ya no funciona. Descubre por qué NIS2, DORA y la gestión moderna del riesgo exigen unir controles, evidencia, gobierno y operación.
Por Adrián González · CEO
Descubre qué es un SOC, qué niveles de servicio debe ofrecer y cómo encaja con NIS2, DORA y ENS: monitorización, seguridad gestionada e investigación forense.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Descubre qué es el device code phishing en Microsoft 365, cómo roba tokens sin pedir la contraseña y qué controles debes aplicar para bloquearlo en empresa.
Por Adrián González · CEO
Un ejercicio de Red Team no busca vulnerabilidades: valida si tu SOC las detecta. Diferencias clave, métricas y cuándo tiene sentido para una empresa mediana.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Guía práctica de ENS para SaaS: cuándo aplica, cómo determinar nivel Medio y cómo certificarte si trabajas con la Administración Pública sin sobredimensionar el proyecto.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
La gestión de vulnerabilidades no falla por falta de escáneres, sino por mala priorización. Esta guía explica qué corregir primero, exposición, criticidad y credenciales comprometidas.
Por Adrián González · CEO
Los LLMs, copilots y el vibe coding ya están en las empresas, más rápido que sus controles. Analizamos los riesgos reales de seguridad, datos, código y gobierno en shadow AI.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
21 preguntas para evaluar un proveedor de ciberseguridad, MSSP o software en 2026. Reduce riesgo oculto y compra con más criterio, operación y control.
Por Adrián González · CEO
Checklist de auditoría de Microsoft 365 para empresas: Entra ID, MFA, Conditional Access, correo, permisos, hardening y riesgos habituales.
Por Adrián González · CEO
Una auditoría de seguridad informática permite identificar vulnerabilidades, errores de configuración y riesgos que pueden comprometer los sistemas de una empresa.
Por Adrián González · CEO
Guía táctica para automatizar ISO 27001 sin perder rigor: diseño de control, ownership claro y métricas útiles para auditoría y dirección.
Por Adrián González · CEO
Guía estratégica para implantar una AI Compliance Platform con trazabilidad end-to-end, menos fricción operativa y mejor defensa en auditoría.
Por Adrián González · CEO
Guía práctica para recuperar discos Seagate con firmware SD15 cuando dejan de ser reconocidos por el PC, minimizando riesgos y priorizando la seguridad de los datos.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Guía operativa para reducir riesgo en identidades no humanas y cerrar vectores comunes de compromiso en entornos cloud e híbridos.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
La IA acelera ataques, reduce barreras técnicas y exige nuevos controles en pymes. Guía práctica con prioridades, plan 30/60/90 y checklist operativa.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
CVE-2026-25108 ya se está explotando y puede afectar a pymes con pocos recursos. Te explicamos impacto, prioridades y plan 30/60/90.
Por Alvaro Cruz · Responsable TI
Zero Trust ya no es solo para grandes empresas: en pymes reduce fraudes, accesos indebidos y paradas, con pasos asumibles y retorno rápido.
Por Thilina Manana · COO y Director Técnico de Seguridad hard2bit
Si vas a implantar ISO 27001, no empieces por todo a la vez. Estos controles suelen reducir más riesgo con menos esfuerzo y dan resultados visibles en semanas.
Por Irene Ocando · Directora de Cumplimiento Normativo Hard2bit
Sobre cómo publicamos, quién escribe, qué cubrimos y cómo citar el material del blog.
Publicamos varios artículos al mes y revisamos los pilares (NIS2, DORA, ENS, ISO 27001, pentesting, SOC, seguridad de IA) cuando cambia el estado de la técnica o la interpretación regulatoria.
El equipo de Hard2bit: analistas de SOC, pentesters, responsables de cumplimiento y arquitectos de seguridad. Cada artículo lo firma alguien que ha trabajado el problema en un engagement real, no un redactor externo.
Ciberseguridad ofensiva (pentesting, red team, superficie de ataque), cumplimiento y GRC (NIS2, DORA, ENS, ISO 27001, ISO 42001, EU AI Act), seguridad de IA (agentes, MCP, LLMs), operación defensiva (SOC, MDR, threat hunting, respuesta a incidentes) y análisis de ciberamenazas activas.
Los técnicos sí: análisis de CVEs, arquitectura de seguridad, IA, threat hunting o pentesting son transnacionales. Los de cumplimiento se centran en el marco regulatorio europeo (NIS2, DORA, EU AI Act) y en particularidades españolas (ENS). En la versión inglesa cubrimos los mismos temas adaptados al contexto UK/UE.
Sí, con atribución a Hard2bit y enlace a la URL original. Para reproducción parcial o traducción, escríbenos por contacto y coordinamos.
Antes de irte…
Te damos un diagnóstico rápido de 15 min y te decimos qué priorizar primero: M365, pentesting, vulnerabilidades, SOC y/o DORA, NIS2, ENS o ISO 27001.
Sin spam. Respuesta en 24h.
