Metodología, Ética y Compliance

Infraestructura propia. Sin dependencias de terceros.

Cada campaña de simulacro o auditoría se ejecuta desde infraestructura dedicada y aislada. Dominios propios, servidores propios, configuración propia.

No usamos plataformas SaaS de terceros para gestionar datos sensibles de tu negocio. Los datos no pasan por servidores fuera de nuestro control. Esto no es un detalle técnico menor sino una decisión de diseño deliberada.

Soberanía digital como principio

En HackBlock creemos que una empresa de ciberseguridad que externaliza su infraestructura crítica a proveedores opacos no puede garantizar la confidencialidad de sus clientes.

Por eso:

Las campañas se lanzan desde servidores bajo nuestra administración directa, alojados en la Unión Europea.
Los datos generados durante los ejercicios (comportamiento de empleados, credenciales de prueba, métricas de campaña) se cifran en reposo y en tránsito, y se eliminan de forma tras un servicio finalizado.
Nunca almacenamos información más tiempo del estrictamente necesario para producir los resultados acordados.

Cómo trabajamos

Reconocimiento y contextualización Antes de diseñar cualquier escenario, analizamos la huella digital pública de la organización: dominios, estructura de emails, proveedores visibles, presencia de empleados. El ataque simulado tiene que ser indistinguible de uno real para que los datos que produce sean útiles.

Personalización total No usamos plantillas. Cada campaña refleja el contexto operativo de la empresa: las herramientas que usa, los procesos internos, el tipo de comunicaciones que reciben sus empleados. Un simulacro genérico mide la ingenuidad. Un simulacro hiperrealista mide el riesgo real.

Ejecución técnica avanzada Utilizamos técnicas actuales: adversary-in-the-middle (AiTM), evasión de filtros de email corporativos, flujos de ataque multietapa. Las mismas que usan los atacantes reales. Si tu empresa los para en el simulacro, los para en el mundo real.

Resultados accionables El informe final es un diagnóstico con contexto: qué patrones de comportamiento generan más exposición, qué perfiles de empleado concentran el riesgo, qué medidas técnicas y formativas reducen ese riesgo de forma efectiva.

Privacidad de empleados

Los datos individuales de comportamiento se usan exclusivamente para construir el diagnóstico y personalizar la formación. No se comparten con terceros. No se usan para procesos disciplinarios.

El propósito es reducir el riesgo humano de la organización, no generar expedientes.

Marco normativo

Operamos bajo el RGPD, la LOPDGDD y el marco penal español aplicable a pruebas de seguridad ofensiva autorizada (arts. 197 bis y ss. del Código Penal).

Toda la documentación contractual está disponible para revisión por parte de los equipos legales o de cumplimiento antes de iniciar cualquier trabajo.