Programa de partners: seguridad ofensiva para agencias, MSP, corredurías y consultorías
Tus clientes te piden un pentest, una auditoría o ayuda con NIS2 y no es tu especialidad. Colabora con un equipo certificado OSCP que solo hace seguridad ofensiva: derívanos el proyecto, subcontrátalo en marca blanca o preséntate con nosotros en una propuesta conjunta. Tú decides quién se queda la relación con el cliente; nosotros respondemos del trabajo técnico.
Última actualización:
- 3 modelos — Derivación, marca blanca o venta conjunta, por escrito antes del primer proyecto
- NDA — Firmado antes de recibir cualquier dato de tu cliente
- 24-48 h — Para tener una propuesta con alcance y precio cerrados tras la llamada de alcance
- Retest — De las correcciones, según el tipo de proyecto
Tu cliente necesita seguridad ofensiva y no quieres improvisarla
Las agencias web, los proveedores de IT y de servicios gestionados, las corredurías de seguros y las consultorías y gestorías reciben cada vez más peticiones que no son de su especialidad: un cliente enterprise que exige un pentest antes de firmar, una aseguradora que pide evidencias de medidas de seguridad, un pliego que pide el ENS o una empresa que quiere saber si le afecta NIS2.
Las salidas habituales son malas. Decir que no deja la puerta abierta a que otro proveedor entre en tu cliente. Recomendar a un tercero sin un acuerdo te deja sin saber cómo trabaja, qué le cuenta a tu cliente ni si te va a disputar el resto de la cuenta. Y revender un escaneo automático como si fuera un pentest funciona hasta el día en que el cliente sufre un incidente por algo que el escáner no podía ver, o un auditor lee el informe.
Un programa de partners te permite responder con un equipo especializado en seguridad ofensiva y con reglas claras, firmadas antes de empezar, sobre quién mantiene la relación con el cliente, cómo se comparte la información y quién responde de cada entregable.
Quién hace qué en cada modelo
Elige un modelo para ver qué relaciones existen entre tu empresa, QuantumSec y tu cliente, y quién se encarga de cada parte del proyecto. Es la base del acuerdo; los detalles se ajustan con cada partner.
Derivación
Nos presentas al cliente y das un paso atrás. Nosotros proponemos, ejecutamos y facturamos el proyecto; tú sigues siendo su proveedor de referencia en lo tuyo.
- Relación comercial con el cliente: QuantumSec
- Definición del alcance técnico: QuantumSec
- Propuesta y facturación al cliente: QuantumSec
- Ejecución de las pruebas: QuantumSec
- Marca del informe: QuantumSec
- Presentación de resultados: QuantumSec
- Retest de las correcciones: QuantumSec
Encaja si quieres cubrir la petición del cliente sin dedicarle tiempo comercial ni de gestión, y no necesitas que el servicio vaya con tu marca.
Marca blanca
Ejecutamos el pentest o la auditoría para ti. La relación es tuya: tú propones y facturas al cliente, y el informe puede ir con tu marca cuando el proyecto lo permite.
- Relación comercial con el cliente: Tu empresa
- Definición del alcance técnico: Ambos
- Propuesta y facturación al cliente: Tu empresa
- Ejecución de las pruebas: QuantumSec
- Marca del informe: Tu empresa
- Presentación de resultados: Ambos
- Retest de las correcciones: QuantumSec
Encaja si quieres ofrecer seguridad ofensiva como un servicio más de tu catálogo y que el cliente siga teniendo un solo proveedor.
Venta conjunta
Nos presentamos juntos con una propuesta común: tú cubres tu parte (desarrollo, sistemas, seguro o consultoría) y nosotros la seguridad ofensiva.
- Relación comercial con el cliente: Ambos
- Definición del alcance técnico: Ambos
- Propuesta y facturación al cliente: Ambos
- Ejecución de las pruebas: QuantumSec
- Marca del informe: QuantumSec
- Presentación de resultados: Ambos
- Retest de las correcciones: QuantumSec
Encaja si el cliente pide un proyecto amplio —una licitación, una adecuación a NIS2, un lanzamiento— y cada uno aporta una pieza que el otro no tiene.
Reparto de referencia. El acuerdo de colaboración fija el reparto definitivo de cada partner y puede cambiar de un proyecto a otro.
Qué puedes ofrecer a tus clientes
- Pentesting web, de APIs REST y GraphQL, de aplicaciones móviles (iOS y Android), de SaaS y de CMS como WordPress, PrestaShop o Magento
- Pentesting de infraestructura perimetral e interna, Active Directory y cloud (AWS, Azure y Google Cloud)
- Red team y simulaciones de phishing e ingeniería social para medir la respuesta de la organización
- Auditorías técnicas de Google Workspace y Microsoft 365, código fuente y redes wifi, y análisis de vulnerabilidades recurrente
- Apoyo técnico en NIS2, DORA, ENS, ISO 27001 y Cyber Resilience Act: la parte de pruebas y evidencias que una consultoría documental no cubre
- Formación en ciberseguridad para equipos técnicos, dirección y empleados
- Acuerdo de confidencialidad (NDA) firmado antes de compartir cualquier información del cliente final
- Condiciones económicas y operativas a medida de cada partner y de cada modelo
Cómo empezamos a trabajar juntos
- Primera conversación: Una llamada de 30 minutos: qué tipo de clientes tienes, qué te piden y qué modelo encaja mejor contigo. Sin compromiso y sin formulario de alta.
- NDA y acuerdo de colaboración: Firmamos confidencialidad y fijamos por escrito el modelo, las condiciones, quién mantiene la relación con el cliente, cómo se trata la información y qué pasa si el cliente nos contacta directamente.
- Primer proyecto: Ante la primera oportunidad, recogemos el alcance con el cliente (o contigo, en marca blanca) y en 24-48 horas tienes una propuesta técnica y económica cerrada.
- Ejecución: Nuestro equipo ejecuta las pruebas con autorización escrita del cliente final, en las ventanas acordadas, y te mantiene informado según el modelo. Si aparece algo grave, se avisa por el canal pactado sin esperar al informe.
- Entrega y retest: Entregamos el informe ejecutivo y técnico (bajo tu marca cuando así se acuerde), lo explicamos a quien corresponda y verificamos las correcciones.
- Revisión de la colaboración: Revisamos periódicamente cómo funciona la colaboración y ajustamos las condiciones si cambia el tipo o el volumen de proyectos.
Del primer contacto al retest
Seis pasos, siempre en el mismo orden. Pulsa uno para ver qué ocurre en él.
- Primera conversación: 30 minutos: qué clientes tienes, qué te piden y qué modelo encaja.
- NDA y acuerdo de colaboración: Confidencialidad y reglas por escrito antes de recibir ningún dato.
- Primer proyecto: Alcance con el cliente y propuesta técnica y económica cerrada en 24-48 horas.
- Ejecución: Pruebas con autorización escrita del cliente final y aviso inmediato si aparece algo grave.
- Entrega y retest: Informe ejecutivo y técnico, y verificación de las correcciones.
- Revisión de la colaboración: Ajustamos las condiciones si cambia el tipo o el volumen de proyectos.
Qué obtiene el partner
- Soporte técnico de un equipo de seguridad ofensiva para valorar oportunidades y resolver las dudas técnicas de tus clientes antes de la venta
- Propuestas con alcance, metodología, plazos y precio cerrados antes de empezar, listas para presentar
- NDA y reglas claras, por escrito, sobre la relación con el cliente final
- Informes ejecutivo y técnico, bajo tu marca cuando el modelo y el proyecto lo permiten
- Retest de las correcciones en los términos acordados en cada propuesta
- Fichas de alcance interactivas para recoger con tu cliente los datos que necesitamos para presupuestar
- Un interlocutor técnico fijo para tus proyectos
¿Para quién es el programa?
- Agencias web y de desarrollo cuyos clientes piden un pentest antes de lanzar o de firmar con un cliente grande
- MSP y proveedores de IT que gestionan la infraestructura de sus clientes y necesitan una revisión ofensiva independiente de la suya
- Corredurías y mediadores de ciberseguros que quieren que sus clientes lleguen a la suscripción con evidencias de seguridad
- Consultorías, gestorías y despachos que asesoran en RGPD, NIS2 o ENS y necesitan cubrir la parte técnica
- Integradores que se presentan a licitaciones públicas y necesitan un socio para la parte de seguridad
- Empresas de software que quieren ofrecer a sus clientes una auditoría de su producto hecha por un tercero
Cuéntanos tu caso y te decimos qué modelo encaja
Elige la situación que más se parece a la tuya y déjanos tus datos. Te escribimos para fijar la primera conversación de 30 minutos, sin compromiso.
- Quiero cubrir la petición de mi cliente sin dedicarle tiempo comercial ni de gestión. → Derivación
- Quiero ofrecer seguridad ofensiva como un servicio más de mi catálogo, con un solo proveedor para el cliente. → Marca blanca
- Mi cliente pide un proyecto amplio —una licitación, NIS2, un lanzamiento— y cada uno aporta una pieza. → Venta conjunta
No es un formulario de alta: solo solicita la primera conversación. Las condiciones se fijan después, por escrito, en el acuerdo de colaboración.
Cuando un cliente te pide un pentest: tus opciones
Lo que pasa con la relación, con el entregable y con tu reputación según cómo respondas.
| Decir que no | Recomendar a un tercero sin acuerdo | Revender un escaneo automático | Programa de partners | |
|---|---|---|---|---|
| Relación con el cliente | Otro proveedor entra en tu cuenta | Sin reglas sobre quién se la queda | Tuya, mientras el entregable aguante | Definida por escrito antes de empezar |
| Qué recibe el cliente | Nada | Depende de un proveedor que no conoces | Un listado de alertas sin validar | Pruebas manuales, informe ejecutivo y técnico y retest |
| Riesgo para tu reputación | Bajo, pero pierdes la oportunidad | Medio: respondes de alguien a quien no controlas | Alto si hay un incidente o lo revisa un auditor | Acotado: cada entregable tiene un responsable |
| Confidencialidad | — | Sin garantías | Depende de la herramienta | NDA previo y contrato de encargado si hay datos personales |
| Lo que te aporta | Nada | Poco o nada | Un margen a corto plazo | Condiciones a medida según el modelo |
Compara con
Preguntas frecuentes sobre el programa de partners
¿Qué comisión o descuento ofrece el programa?
No hay una tabla única. Las condiciones económicas se acuerdan a medida según el modelo (derivación, marca blanca o venta conjunta), el tipo de proyectos y el volumen previsto, y quedan por escrito en el acuerdo de colaboración antes del primer proyecto.
¿Quién mantiene la relación con el cliente?
Se acuerda por escrito en cada modelo. En marca blanca, la relación es tuya y no contactamos al cliente final por nuestra cuenta. En derivación y venta conjunta, cada uno mantiene la parte que le corresponde. Lo importante es que quede definido antes de empezar, no a mitad de proyecto.
¿Y si vuestro cliente final nos contacta directamente después?
Es una de las cosas que se dejan escritas en el acuerdo de colaboración, precisamente para que no haya que improvisar. En marca blanca, cualquier petición nueva del cliente final se canaliza a través de ti según lo pactado.
¿Los informes pueden ir con nuestra marca?
Sí, en el modelo de marca blanca, cuando el proyecto lo permite. Hay casos en los que el cliente final o un tercero (una aseguradora, un auditor, un pliego) exige que conste quién ha ejecutado las pruebas; si es así, lo indicamos desde la propuesta.
¿Cuánto se tarda en tener una propuesta para un cliente?
Con el alcance claro, la propuesta con alcance, metodología, plazos y precio llega en 24-48 horas tras la llamada de alcance. Para recoger los datos con tu cliente puedes usar nuestras fichas de alcance interactivas.
¿Qué requisitos hay para entrar en el programa?
Lo vemos en la primera conversación: qué clientes tienes, qué te piden y qué modelo encaja. No hay un formulario de alta cerrado; las condiciones, incluido cualquier compromiso por ambas partes, se fijan a medida en el acuerdo de colaboración.
¿Qué pasa si el pentest encuentra fallos en algo que mantenemos nosotros?
Es frecuente cuando el partner es la agencia o el MSP del cliente, y es justo el valor de una revisión independiente. Se acuerda desde el principio cómo se comunica: lo habitual es que tu equipo conozca los hallazgos a tiempo para corregirlos, y el retest documenta que quedaron resueltos.
¿Cómo se protege la información de nuestros clientes?
Firmamos un NDA antes de recibir cualquier información, trabajamos solo sobre el alcance autorizado por escrito por el cliente final y, si el proyecto implica tratar datos personales, se formaliza el correspondiente contrato de encargado del tratamiento conforme al RGPD.
¿Una correduría puede usar el informe en la suscripción de un ciberseguro?
El informe de pentesting documenta qué se probó, qué se encontró y qué se corrigió, que es la evidencia técnica que suelen pedir los cuestionarios de suscripción. Si la aseguradora pide algo concreto, se ajusta el alcance desde la propuesta. La decisión de suscripción es siempre de la aseguradora.
¿Qué pasa si el cliente necesita algo que no hacéis?
Somos especialistas en seguridad ofensiva y cumplimiento; no hacemos desarrollo web, administración de sistemas del día a día ni mediación de seguros. El programa está pensado para complementar lo que ya ofreces, no para sustituirlo: cada uno cubre su parte.
En marca blanca, ¿quién presenta los resultados y a quién se avisan los hallazgos críticos?
Se fija en el acuerdo de colaboración antes del primer proyecto. Podemos presentar los resultados junto a ti o preparar la sesión para que la lleves tú. Los hallazgos críticos no esperan al informe: se comunican en cuanto se confirman al contacto que acordemos (tú, tu cliente o ambos), para que se puedan corregir durante la propia prueba.
¿Trabajáis con partners de toda España?
Sí. Trabajamos en remoto con partners y clientes de toda España, con reuniones presenciales cuando el proyecto lo requiere. Las pruebas externas, de aplicaciones y de API se hacen en remoto; las de red interna, con un equipo o una VPN desplegada en la red del cliente.
¿Cómo empezamos con una primera oportunidad conjunta?
Con una llamada breve para conocer qué piden tus clientes y qué modelo encaja. Después firmamos el NDA y dejamos por escrito el modelo y quién se queda con la relación con el cliente, sin compartir datos del cliente final hasta entonces. Con la primera oportunidad usamos la ficha de alcance y te enviamos la propuesta en 24-48 horas.