Ley NIS 2: se espera una nueva fecha de examen. Haga su prediagnóstico gratuitoNIS 2 · ReCyF: prediagnóstico sellado y con sello de tiempo
Ciberseguridad para pymes y medianas empresas · alojada en Francia Soberanía digital y defensa activa · alojamiento en Francia
Servicio operativo · servidores en FranciaTarde o temprano le atacarán. Sepa antes que ellos por dónde. La infraestructura que neutraliza las amenazas sin tocar jamás sus sistemas sin su firma.
Gratis · 30 segundos · sin registro · no se envía nada a sus equiposAnálisis pasivo inmediato · fuentes públicas · sin registro
El sitio escrito arriba se analizará directamente en el espacio de demostración.
Vigilamos lo que su empresa expone en Internet, le explicamos cada riesgo con palabras sencillas y solo actuamos con su firma. Plataforma completa: 390 € IVA incluido al mes, o 3 000 € IVA incluido al año. Alojada en Francia. Descubrimiento pasivo de su superficie de exposición, priorización KEV/EPSS, gestor de acciones A0 → A4 bajo mandato firmado, registro de solo adición. Ningún modelo de lenguaje en la cadena de autorización: reglas formales, una huella SHA-256 y una contrafirma humana.
Mandato de acción · nivel A3 pendiente
Acción propuestaAislamiento de la dirección 185.220.101.5
Alcance1 host · ventana de 30 min · reversión prevista
Huella de intención (SHA-256)—
SolicitanteFIRMADO · rol verificado en base de datos AprobadorPENDIENTE · solicitante excluido
Simulación: un mandato lo firman dos personas, y nada sale sin ese acuerdo. En su empresa, lo que cuenta es su firma. Demostración: quórum 2/2, huella recalculada antes de transmitir la orden. La criticidad del objetivo se vuelve a leer en la base de datos, nunca se toma del solicitante.
Registro de invariantes · diario de solo adición
El registro de lo que se ha hecho es de solo adición: la aplicación no puede modificarlo ni borrarlo, ni siquiera con nuestras propias cuentas de servicio. Ante una aseguradora o un juez, demuestra qué se hizo, quién lo hizo y cuándo. Encadenamiento por hash bajo bloqueo transaccional. Modificación y truncado rechazados por disparador, incluso para el propietario de la tabla.
0 acciones en su empresa sin un mandato firmado por usted ejecuciones sin
AuthorizationGrant activo, firmado y no caducado2 personas distintas deben dar su aprobación antes de cualquier acción grave aprobaciones distintas requeridas en A3: solicitante excluido, quórum vinculado a la intención
∞ el registro de lo que se ha hecho no puede ser modificado ni borrado por la aplicación, ni siquiera por nosotros diario de solo adición:
UPDATE, DELETE y TRUNCATE rechazados a nivel de base de datosPrimero la prueba, después el discurso Análisis pasivo en directo · las mismas fuentes que la plataforma
Vea lo que un atacante ve de usted. Ahora, con su propio nombre. Su superficie de exposición externa, calculada en directo por el motor de descubrimiento pasivo.
Escriba el nombre de su sitio. En menos de treinta segundos obtendrá el número de direcciones que hablan de usted en Internet, las que se han quedado olvidadas, y una nota. No se envía nada a sus equipos: solo leemos lo que ya es público, exactamente como lo haría un atacante que prepara su golpe. Descubrimiento mediante registros de transparencia de certificados, archivos CDX y resolución DNS-over-HTTPS. Ningún paquete hacia su infraestructura: solo lectura de fuentes públicas, resultado en caché durante 12 h, tasa limitada. La vista previa devuelve recuentos y una nota; el inventario nominativo, los puertos y las CVE corresponden a la plataforma.
- Cero contacto con sus sistemasEstrictamente pasivo: ningún paquete saliente hacia el objetivo
- Sin registro y sin pedirle el correo electrónicoNi cuenta, ni cookie, ni identificador conservado
- El mismo motor que la plataforma, no una maquetaCódigo de descubrimiento compartido con el módulo EASM
Análisis inmediato Análisis de exposición
¿Cuál es el nombre de su sitio? Dominio raíz que analizar
Análisis reservado a un dominio del que usted sea titular o para el que tenga mandato (condiciones de uso). No se envía nada a sus equipos.
0direcciones que hablan de usteddirección que habla de ustednombres de host descubiertosnombre de host descubierto
0direcciones olvidadasdirección olvidadanombres sin resolución (NXDOMAIN)nombre sin resolución (NXDOMAIN)
0fuentes públicas han respondido en este momentofuentes que han respondido
Algunas direcciones encontradasMuestra (4 del total)
Esto es una vista previa. La plataforma hace el análisis completo —cada dirección, lo que expone, las vulnerabilidades conocidas y explotadas—, después le dice qué hacer, por orden, y no toca nada sin su firma. Por eso la nota del análisis completo puede diferir de esta vista previa: también tiene en cuenta los fallos conocidos. Vista previa sobre una muestra. El análisis completo (inventario nominativo, puertos y servicios, correlación KEV/EPSS, escenarios de ataque, informe PDF con sello de tiempo) se ejecuta en la plataforma, bajo mandato.
El análisis solo lee registros públicos. Nunca se conecta a sus equipos. Cinco análisis por minuto y por dirección. Guardamos el nombre analizado para nuestras estadísticas, nunca su dirección IP. Fuentes: CT logs (crt.sh, CertSpotter), subdomain.center, Wayback CDX, DoH de Google. 5 análisis/min y 30/día por dirección; resultados en caché durante 12 h; dominio analizado registrado, dirección IP nunca conservada.
No solo les pasa a los demás
Creían que eran demasiado pequeños o que estaban bien protegidos. Filtraciones de datos registradas públicamente en Francia.
600+ filtraciones de datos registradas en Francia, y la lista crece casi cada día.
Marcas conocidas, mutuas, ayuntamientos, escuelas, pymes: estas son las últimas empresas cuyos datos de clientes han acabado al alcance de cualquiera. Detrás de cada nombre, miles de personas expuestas a estafas. Recuento independiente de filtraciones confirmadas o reivindicadas (categorías de datos expuestos por incidente). Actualizado automáticamente cada 6 horas desde la fuente pública.
Fuente: recuento público «Bonjour la fuite» (bonjourlafuite.eu.org). Los nombres se citan tal como los publica esta fuente; NB Cyber Security no tiene ningún vínculo con estas organizaciones.
Lo que hacemos
Ver, comprender, actuar. En este orden. Descubrimiento pasivo, derivación dual, gestor de acciones gobernado.
Solo tres cosas, pero hechas hasta el final. Lo demás es ruido que le venden caro. Tres capacidades, cada una respaldada por un invariante verificado mediante pruebas de intrusión negativas sobre PostgreSQL real.
01
Lo que un atacante ve de ustedSuperficie de exposición externa
Miramos su empresa desde la calle, con los ojos de quien quisiera entrar. Sin tocar nada, sin romper nada. Encontramos sobre todo lo que usted ha olvidado: el servidor que montó un proveedor hace tres años, la dirección que aún sigue a su nombre. Reconocimiento estrictamente pasivo: registros de transparencia de certificados, listados públicos de subdominios, archivos web, DNS público. Cinco fuentes independientes, ningún paquete dirigido al objetivo; por tanto, no se requiere mandato y no hay nada que romper.
02
El mismo hecho, contado dos vecesDual-Lens: derivación pura
Un incidente, dos relatos: lo que significa para su actividad y lo que hay que corregir técnicamente. Las mismas cifras en ambos lados. Nadie redondea para tranquilizarle: es exactamente el botón que acaba de usar. Una lectura de negocio y una lectura técnica derivadas de un único hecho mediante una función pura. Ninguna divergencia posible: un único conjunto de datos de origen, dos vocabularios. Toda cifra presente en la lectura para la dirección está presente en la lectura técnica.
03
Nada se mueve sin su firmaGestor de acciones A0 → A4
Bloquear una dirección, aislar un equipo, cortar un acceso: cada acción se propone, se explica y después espera su aprobación. Las acciones destructivas se rechazan siempre, aunque usted insista. Y todo deja un registro de solo adición. Cinco niveles de política. A4 —destructivo o irreversible— rechazado sin excepción, incluso a través de una herramienta de IA. A2/A3 exigen un dry-run satisfactorio. La huella de intención se recalcula antes de transmitir la orden: si ha cambiado, las aprobaciones quedan anuladas.
El método
Cuatro etapas y ninguna promesa mágica. Cuatro etapas, cada una instrumentada y demostrable.
01
Trazamos el mapaInventario y descubrimiento del perímetro
Lo que usted posee, para qué sirve y qué se detiene si cae. Muchas empresas descubren aquí equipos cuya existencia ya nadie conocía. Inventario de activos tipado, relaciones entre activos con clave foránea por cliente (tenant), descubrimiento externo multifuente. Cada host lleva su procedencia: una constatación sin fuente no resiste una reunión contradictoria.
02
Ordenamos según lo que realmente se está atacandoPriorización KEV / EPSS, no CVSS
Existen listas oficiales de las vulnerabilidades que se sabe que se están utilizando en este momento. Trabajamos sobre eso, no sobre las cuatrocientas líneas en rojo que nadie lee. Correlación CISA KEV (explotación constatada) y EPSS (probabilidad a 30 días). Un CVSS 9.8 no explotado va después de un 7.5 incluido en el catálogo KEV: el CVSS mide la gravedad de una explotación exitosa, no su probabilidad.
03
Usted decide, nosotros ejecutamosMandato, quórum, ejecución controlada
Le proponemos una acción, le decimos qué cambia, cuánto tiempo dura y cómo se deshace. Usted firma o la rechaza. Sin usted, nada. Mandato verificado en el momento de la ejecución: estado, firma, caducidad, franja horaria, alcance, cuotas. La criticidad del objetivo se vuelve a leer en la base de datos, nunca se toma del solicitante. Un aprobador que haya perdido su rol deja de contar.
04
Le dejamos con qué demostrarloCadena de prueba verificable
Ante una aseguradora, un auditor o un juez, usted no dice «hicimos lo necesario»: lo demuestra, con fecha y de forma verificable. Encadenamiento por hash bajo bloqueo consultivo transaccional, por espacio de cliente. Modificación y truncado prohibidos por disparador, incluso para el propietario de la tabla. Ruta de verificación íntegra de la cadena.
El fundador
Najib Bredaa
Presidente · NB Cyber Security — Advanced System
«La mayoría de las empresas no caen por falta de herramientas. Caen porque nadie les ha explicado nunca lo que arriesgaban, con palabras claras, sin intentar venderles algo de paso.» «Una herramienta de seguridad que no sabe decir de dónde ha sacado una información no resiste la primera reunión contradictoria. Hemos construido lo contrario: cada constatación cita su fuente, cada decisión cita su mandato, cada ejecución deja una prueba.»
Cuando no sabemos algo, escribimos «no lo sabemos». Nunca «todo va bien». Una fuente que no responde da «indeterminado», nunca «bajo». La ausencia de datos no es una buena noticia.
El principio en el que no transigimos Invariante de incertidumbre — effect_unknown ≠ failed
El precio
Un único precio, todo incluido, conocido de antemano. Suscripción única: plataforma completa, sin facturación por uso.
Toda la plataforma, para toda su empresa: la vigilancia de lo que usted expone, cada riesgo explicado de forma sencilla, el plan de acción por orden, los expedientes PDF y el registro de prueba. Sin opciones ocultas, sin precios «según el número de alertas». Acceso íntegro a los módulos: descubrimiento pasivo (EASM), lectura dual, gestor de acciones A0 → A4, cadena de prueba, informes PDF. Sin facturación por alerta, ni por análisis, ni por volumen de registros.
Mensual
La plataforma completaPlataforma · facturación mensual
390 € IVA incluido al mes
Es decir, 325 € sin IVA al mes.
- Lo que un pirata ve de su empresa, vigilado de forma continua.Descubrimiento pasivo continuo de la superficie expuesta, priorización KEV / EPSS.
- Cada riesgo explicado dos veces: para usted y para su informático.Lectura dual derivada de un único hecho, igualdad de cifras probada.
- Un expediente PDF completo en cada análisis, con un plan de acción por orden.Informe PDF paginado: escenarios, vulnerabilidades KEV / EPSS, plan a 7 / 30 / 90 días, lectura NIS 2.
- No se hace nada en su empresa sin su firma, y todo queda registrado.Gestor de acciones bajo mandato, quórum, cadena de prueba de solo adición.
- Un asistente que responde a sus preguntas, en 6 idiomas, alojado en Francia.Asistente de IA local (modelo abierto, servidor en Francia), refuerzo de NVIDIA en horas punta, sin acceso a los datos ni poder de decisión.
Usted sigue siendo propietario de sus datos y de su registro.
Elegir el plan mensualSuscribirse al plan mensual
Anual · el mejor precio
La plataforma completa, por un añoPlataforma · facturación anual
3 000 € IVA incluido al año
Es decir, 250 € IVA incluido al mes (2 500 € sin IVA al año): 1 680 € de ahorro, más de cuatro meses gratis.
- Exactamente la misma plataforma completa, sin ningún límite.Alcance funcional idéntico al de la oferta mensual.
- Doce meses de vigilancia: su registro de prueba cubre todo el año.Cadena de prueba continua durante 12 meses, oponible ante una aseguradora.
- Un presupuesto de seguridad fijo y conocido para el ejercicio.Una factura anual, sin variables.
El precio de dos o tres días de consultor, por un año entero de vigilancia.
Elegir el plan anualSuscribirse al plan anual
Antes de pagar nada: 15 días de prueba gratis, sin tarjeta bancaria. Ya tengo un código · Solicitar un código · ¿Necesita que nos encarguemos por usted? Najib Bredaa y su red de expertos intervienen bajo presupuesto.
Lo que vale: los precios del mercado
Para obtener por separado lo que la plataforma reúne, esto es lo que pagan hoy las empresas en Francia. Precios públicos constatados en 2026, sin impuestos salvo que se indique lo contrario.
| Servicio equivalente | Precio de mercado | Con la plataforma |
|---|---|---|
| Software de vigilancia de lo que usted expone en Internet (proveedor extranjero) | De 299 a 499 $ al mes | Incluido, alojado en Francia |
| Parte del trabajo de un responsable de seguridad externo: inventario, clasificación de riesgos, plan de acción, seguimiento (2 días al mes) | De 1 400 a 2 400 € sin IVA al mes | Incluido, automatizado y explicado |
| Acompañamiento para el cumplimiento de NIS 2 | De 15 000 a 80 000 € | Prediagnóstico sellado + lectura NIS 2 en cada expediente |
| Prueba de intrusión externa puntual | De 4 000 a 15 000 € sin IVA por prueba | No incluido: la plataforma le indica dónde hacerla y conserva la prueba |
Solo las dos primeras líneas, a precio de mercadocerca de 20 000 € sin IVA al año, como mínimo
La plataforma NB Cyber Security3 000 € IVA incluido al año
Fuentes (octubre de 2026): pruebas de intrusión — Kolonell; tarifa diaria de un responsable de seguridad a tiempo compartido (de 700 a 1 200 € sin IVA) — simulador de tarifa diaria; software de vigilancia (ofertas Cloud y Pro de Intruder) — Capterra; cumplimiento de NIS 2 — Ayi NEDJIMI Consultants. Órdenes de magnitud, a confirmar mediante presupuesto.
Prueba
Un código, quince días, su empresa examinada a fondo. Acceso de prueba: código válido durante 15 días naturales en todos sus dispositivos, apertura inmediata del Command Center completo y del análisis pasivo.
Nada de demostraciones comerciales: lo prueba todo, desde ya. En cuanto introduce su código, se abre la plataforma de gestión completa (paneles de control, incidentes, mandatos, gestor de acciones, cadena de prueba) sobre una empresa de demostración ya rellenada, sin tener que crear correo electrónico ni contraseña. Cuando usted quiera, su espacio analiza también su propio sitio: verde, ámbar o rojo, acciones por orden, informe completo de 20 páginas. No se modifica nada en su empresa: leemos las fuentes públicas y visitamos su sitio como un simple visitante. Espacio de prueba: análisis no intrusivo completo del dominio (fuentes públicas + visita HTTPS de las páginas de inicio, 5 al día), nota A–E, plan de remediación a 7/30/90 días, informe paginado imprimible. Entrada inmediata en el Command Center (tenant de demostración, rol de propietario; solo la consola del fundador permanece cerrada) y estado real de las 50 capacidades del arsenal. El acceso caduca por sí solo al cabo de los 15 días, sin renovación y sin facturación.
0 €sin tarjeta bancariano se solicita ningún medio de pago
15días de prueba gratiscaducidad automática, no renovable
0compromisos exigidoscaducidad automática, nada que cancelar
Activar un acceso
Introduzca su código de prueba
¿Ha recibido un código de Najib Bredaa por correo electrónico o SMS? Introdúzcalo aquí. Formato: NB-XXXX-XXXX, o su código de demostración de socio.
Abrir mi espacio →
En cuanto lo introduce, todo se abre: la plataforma completa, el análisis de su sitio y el informe, durante 15 días. Sin correo electrónico ni contraseña que crear. Su código sigue siendo válido durante todo su periodo, en todos sus dispositivos. ¿Ya lo ha activado? Vuelva a escribirlo o recupere su espacio.
¿Todavía no tiene código? Solicítelo en un minuto.
Primer contacto
Empiece por saber en qué punto está. Análisis de exposición externa, sin compromiso.
Miramos lo que es visible de su empresa desde Internet y le entregamos un documento fácil de leer. Es pasivo: no tocamos ninguno de sus equipos. Después sabrá si nos necesita. Reconocimiento pasivo de su perímetro, correlación KEV/EPSS, escenarios de ataque deducidos mediante reglas deterministas, puntuación desglosada línea por línea. Informe fijo, con sello de tiempo, no reescribible.
Nuestra postura
Cinco cosas que nos negamos a contarle. Cinco rupturas asumidas, cada una respaldada por una restricción técnica verificable.
El mercado de la ciberseguridad vive del miedo y de los informes de ochenta páginas. Nosotros vamos a contracorriente en cinco puntos, y lo asumimos por escrito. Posicionamiento explícito en cinco ejes: responsabilidad de la dirección, determinismo de la cadena de decisión, ataques por rebote, priorización operativa, oponibilidad de la prueba.
Ruptura 01 · Gobernanza
El fin de la impunidad
Si su sistema cae mañana, la aseguradora y el juez no preguntarán qué software había comprado. Le preguntarán quién firmó qué.
El directivo ya no puede esconderse detrás de su proveedor informático: compromete su propia responsabilidad. No vendemos un antivirus; protegemos la decisión del comité de dirección.El gestor de acciones (A0 → A4) y el doble quórum producen el registro de gobernanza: ninguna decisión crítica sin control, ninguna ejecución sin mandato firmado, con estado, alcance y caducidad verificados en la base de datos.
Ruptura 02 · Ingeniería
Lo contrario de la «IA mágica»
En tiempos de crisis, confiar la defensa a un algoritmo probabilístico es un acto de fe, no seguridad.
Una inteligencia artificial que se equivoca en pleno incidente puede detener su producción por error y agravar la crisis. Con nosotros, ninguna decisión es automática.Cero modelos de lenguaje en el bucle de decisión: reglas formales, código determinista, huella SHA-256 de la intención, dry-run obligatorio, contrafirma humana. El modelo es una herramienta de redacción, nunca una autoridad.
Ruptura 03 · Objetivo
Usted es la puerta trasera
Los conflictos modernos ya no atacan la fortaleza de frente: entran a través de sus subcontratistas.
Si tiene un contrato estratégico, es usted un objetivo de rebote. Cerramos las puertas que sus proveedores olvidaron hace tres años.Descubrimiento estrictamente pasivo: registros de transparencia de certificados, DNS histórico, archivos web, análisis de exposición. Un subdominio huérfano o un certificado abandonado es una cabeza de puente: se identifica sin que salga un solo paquete hacia sus equipos.
Ruptura 04 · Priorización
Se acabó el teatro de la seguridad
Una auditoría que le da 300 prioridades urgentes no le ayuda: se exime de su responsabilidad.
No corregimos lo que podría ocurrir en teoría: tratamos lo que los atacantes explotan hoy.Correlación CISA KEV (explotación constatada) y EPSS (probabilidad de explotación a 30 días). Un CVSS 9.8 no explotado va después de un 7.5 incluido en el catálogo KEV: el CVSS mide la gravedad de una explotación exitosa, no su probabilidad.
Ruptura 05 · Prueba
El arma contra los litigios
Decir «estábamos protegidos» no vale nada. Demostrarlo con un registro de solo adición, sellado con huella criptográfica, fechado y verificable: eso es lo que cuenta.
Las aseguradoras buscan la falta de diligencia para negarse a indemnizar. Le damos con qué responderles, con fecha y de forma verificable.Encadenamiento por hash bajo bloqueo transaccional, por espacio de cliente. Modificación y truncado prohibidos por disparador, incluso para el propietario de la tabla. Ruta de verificación íntegra de la cadena, reproducible por un tercero.
En una frase
El sistema de gobernanza defensiva
No somos un panel de control alarmista más. Somos el sistema de gobernanza defensiva que ayuda al directivo a gestionar y documentar sus decisiones frente al riesgo operativo y financiero.
Un único interlocutor, una plataforma soberana, un registro oponible. Lo demás son herramientas que usted mismo puede instalar gratis, y que nadie coordina.Soberanía de ejecución: alojamiento en Francia, ninguna dependencia de un proveedor cloud extranjero en la cadena de decisión, base abierta auditable, política declarativa única aplicada en todos los niveles.
El arsenal
Cincuenta capacidades. Y, sobre todo, lo que las hace utilizables. 50 capacidades soberanas, orquestadas bajo una política de acción.
Cualquiera puede instalar estas herramientas gratis. Lo difícil —y lo que vendemos— es hacer que hablen con una sola voz, separar lo que importa y no tocar nunca nada en su empresa sin su consentimiento por escrito. La base de cada módulo está verificada: licencia abierta, proyecto mantenido, ninguna licencia restrictiva. La composición detallada de la base se entrega bajo acuerdo de confidencialidad. El estado de cada módulo indica su nivel de acción en el gestor.
Cuadrante 01 · Reconocimiento pasivo · A0/A1
Lo que un atacante ve de usted, sin tocarle
Miramos su empresa desde la calle, con los ojos de quien quisiera entrar, sin romper nada, sin tocar nada. Lo que encontramos es, sobre todo, lo que usted ha olvidado. Registros de transparencia de certificados, listados públicos de subdominios, archivos web, DNS público: cinco fuentes independientes, ningún paquete dirigido al objetivo. No se requiere mandato, nada que romper.
Cuadrante 02 · Motor Dual-Lens · función pura
El mismo hecho, contado dos veces
Un incidente, dos relatos: lo que cambia para su actividad y lo que hay que corregir. Las mismas cifras en ambos lados: es el botón que acaba de usar. Una lectura de negocio y una lectura técnica derivadas de un único hecho mediante una función pura. Ninguna divergencia posible: un único conjunto de datos, dos vocabularios, igualdad de cifras probada.
Cuadrante 03 · Matriz de quórum · A2/A3
Dos firmas, nunca una
Antes de cualquier acción grave, dos personas distintas deben dar su aprobación, y quien la solicita no puede aprobarse a sí mismo. Quórum vinculado a la huella de intención: si esta cambia, las aprobaciones quedan anuladas. Un aprobador que haya perdido su rol deja de contar.
Cuadrante 04 · Regla inviolable · nivel A4 rechazado
Lo que nos prohibimos por diseño
Dotarse de un marco de explotación, un relé de mando, un emulador de adversario, una herramienta de movimiento lateral o un túnel de pivote sirve para entrar en casa ajena y desplazarse por ella. Una plataforma que vigila su empresa de forma continua no tiene ningún motivo para incluirlos, y su aseguradora le hará la pregunta. Marco de explotación, relé de mando (C2), emulación de adversario, movimiento lateral sobre el directorio y túnel de pivote quedan descartados sea cual sea el paquete que los proporcione: un canal de mando en una plataforma defensiva multicliente crea un pasivo jurídico, no una funcionalidad, y contradice el invariante A4. La auditoría ofensiva sigue siendo un oficio aparte, con un mandato aparte.
3ya en la plataformacapacidades nativas
28utilizables sin tocar nada en su empresaconectables A0/A1 — solo lectura
14utilizables con su firmaconectables A2/A3 — mandato requerido
5rechazadas a propósitoofensivas — fuera del perímetro defensivo
Por qué rechazamos cinco capacidades. Dotarse de un marco de explotación, un relé de mando, un emulador de adversario, una herramienta de movimiento lateral o un túnel de pivote sirve para entrar en casa ajena y desplazarse por ella. Son buenas herramientas, en manos de un equipo de auditoría con mandato y dentro de un marco escrito. Una plataforma que vigila su empresa de forma continua no tiene ningún motivo para incluirlas, y su aseguradora le hará la pregunta. Preferimos haberla zanjado antes de que la formule. Exclusión asumida de la vertiente ofensiva. Marco de explotación, relé de mando (C2), emulación de adversario, movimiento lateral sobre el directorio y túnel de pivote quedan descartados por diseño, sea cual sea el paquete que los proporcione. Una plataforma defensiva multicliente que incluye un canal de mando crea un pasivo jurídico y una superficie de ataque —no una funcionalidad— y contradice el invariante A4. La auditoría ofensiva sigue siendo un oficio aparte, con un mandato aparte.