Ciberseguridad para asesorías, gestorías y despachos profesionales

Una asesoría guarda la información fiscal, contable y laboral de todos sus clientes, y muchas veces también sus certificados digitales. Empezamos con una auditoría de cómo estáis hoy y, si lo necesitáis, seguimos con un servicio mensual o anual que mantiene esa seguridad revisada.

Última actualización: noviembre de 2026

Resumen para dirección

Qué riesgo de negocio cubre: Que una brecha en el despacho exponga los datos fiscales y contables de todos vuestros clientes, o que alguien use sus certificados digitales en su nombre.
Qué podrás demostrar, y a quién: A vuestros clientes, a una aseguradora o a la AEPD: un informe independiente sobre vuestras medidas de seguridad y un plan de mejoras en marcha.
Plazo e inversión: Auditoría inicial de 2.500 € a 5.000 € para un despacho de 10 a 30 puestos, con precio cerrado antes de empezar. El servicio mensual o anual va en una propuesta aparte.

Un despacho pequeño con los datos de cientos de empresas

Para un atacante, una asesoría no es una pyme más: es la puerta a la información de todos sus clientes. En sus servidores y en su correo están las nóminas, las contabilidades y las declaraciones y, a menudo, los certificados digitales con los que el despacho actúa en nombre de cada cliente ante la Agencia Tributaria o la Seguridad Social. Los correos y SMS que suplantan a Hacienda o imitan una notificación electrónica son una amenaza constante —la propia Agencia Tributaria e INCIBE publican avisos—, y llegan precisamente a quien más trámites gestiona, con la presión de los plazos trimestrales y de la campaña de la renta. Además, los asesores fiscales y contables externos son sujetos obligados de la ley de prevención del blanqueo, que les exige conservar diez años la documentación de sus clientes. Y como encargada del tratamiento de esos datos (artículo 28 del RGPD), una asesoría que sufre una brecha tiene que avisar a cada cliente afectado y responder de las medidas de seguridad que tenía.

Qué revisamos en una asesoría

Certificados digitales de los clientes: en qué equipos están instalados, si se pueden exportar, quién los usa y qué queda registrado de cada uso
Correo y suplantación: Microsoft 365 o Google Workspace, filtros, reglas de reenvío, doble factor y protección frente a correos que imitan a la AEAT, la Seguridad Social o a un cliente
Equipos y servidores: actualizaciones, cifrado de portátiles, permisos de administrador y programas de gestión (contabilidad, nóminas, gestión documental)
Accesos: cuentas compartidas, antiguos empleados, accesos remotos y acceso de proveedores al programa de gestión
Copias de seguridad: que existan, que estén separadas de la red y que se puedan restaurar de verdad, porque lo probamos
Red de la oficina y exposición a internet: wifi, router, servicios publicados y escritorio remoto
RGPD como encargados del tratamiento: contratos con los clientes, registro de actividades y medidas de seguridad del artículo 32

Cómo trabajamos con un despacho

Reunión de alcance: Entendemos cuántos puestos tenéis, qué programas usáis, dónde guardáis la documentación de clientes y quién os da hoy el soporte informático.
Diagnóstico técnico: Revisamos red, equipos, correo, accesos y copias con pruebas reales —incluida una restauración de copia—, no solo con un cuestionario.
Validación de vulnerabilidades: Cada fallo encontrado se comprueba a mano para saber si es explotable de verdad y qué permitiría hacer a un atacante.
Informe y plan priorizado: Informe para la dirección del despacho y otro técnico, con un plan de mejoras ordenado por riesgo y esfuerzo que vuestro proveedor de IT puede ejecutar.
Servicio mensual o anual, si lo queréis: Revisiones periódicas, simulaciones de phishing en las fechas de más riesgo y un responsable de seguridad de referencia para el despacho.

Qué recibís

Informe ejecutivo para la dirección: riesgos, nivel actual y prioridades
Informe técnico con cada vulnerabilidad, su evidencia y cómo corregirla
Plan de mejoras ordenado por riesgo y esfuerzo, listo para vuestro proveedor de IT
Estado de las medidas de seguridad del artículo 32 del RGPD, útil cuando un cliente os lo pida
Propuesta separada del servicio mensual o anual, con su alcance, periodicidad y condiciones
Reunión de cierre para explicar los hallazgos al equipo

¿Cuándo encaja?

Asesorías fiscales, contables y laborales, y gestorías administrativas
Despachos de abogados y de auditoría que custodian documentación de clientes
Despachos que nunca han hecho una revisión de seguridad y quieren saber dónde están
Asesorías a las que un cliente grande o una aseguradora les pide acreditar medidas de seguridad
Despachos que han sufrido un intento de fraude o un buzón de correo comprometido
Asesorías que quieren automatizar procesos sin sacar los datos de sus clientes a herramientas externas

Preguntas frecuentes

¿Cuánto cuesta la auditoría inicial de una asesoría?

Para un despacho de entre 10 y 30 puestos, entre 2.500 € y 5.000 €, según el número de sedes, servidores y programas que entren en el alcance. La primera llamada para entender vuestro caso es gratuita y, antes de empezar, recibís una propuesta con precio cerrado.

¿Ofrecéis el servicio de forma mensual o anual?

Sí. Tras la auditoría podéis contratar un servicio de seguridad gestionada, con un responsable de seguridad de referencia, revisiones periódicas y pruebas en las fechas de más riesgo. Su alcance, periodicidad y condiciones van en una propuesta aparte, para que decidáis con el informe en la mano.

¿Hacéis también el mantenimiento informático?

No es nuestro servicio habitual: somos especialistas en seguridad. Lo normal es coordinarnos con vuestro proveedor de IT, que aplica las correcciones del plan mientras nosotros comprobamos que funcionan. En casos concretos asumimos tareas de mantenimiento ligadas a la seguridad, como el bastionado de equipos o la configuración de las copias, pero no sustituimos al soporte informático del día a día.

¿Podéis automatizar procesos de la asesoría?

Sí, con 0data, nuestra plataforma de datos e inteligencia artificial, que se instala en vuestro propio servidor y puede funcionar sin internet. Los datos personales se pseudonimizan antes de que los vea ningún modelo y cada acción queda registrada. Se empieza por un caso concreto, por ejemplo ordenar la documentación que envían los clientes, con precio cerrado y en una propuesta separada.

¿Qué hacéis con los certificados digitales de nuestros clientes?

Es uno de los puntos que más miramos. Comprobamos en qué equipos están instalados, si se pueden exportar, quién los usa y si queda registro de cada uso. Un certificado robado permite actuar en nombre del cliente ante la Administración, así que conviene que esté en el mínimo de equipos posible y bien protegido.

¿Qué normativa de seguridad nos aplica?

Sobre todo el RGPD y la LOPDGDD: como encargados del tratamiento de los datos de vuestros clientes, tenéis que aplicar medidas de seguridad adecuadas (artículo 32) y avisar al cliente sin dilación si sufrís una brecha. Si sois sujetos obligados de prevención del blanqueo, además conserváis diez años la documentación de identificación de clientes. La auditoría revisa la parte técnica de esas obligaciones; la parte jurídica corresponde a vuestro asesor legal.

¿La auditoría interrumpe el trabajo del despacho?

No. Casi todo se hace sin parar la actividad. Las pruebas que puedan afectar a algún sistema se programan fuera de horario o en las fechas que elijáis, nunca en plena presentación de impuestos.

Recursos relacionados

Fuentes

Pedir una auditoría inicial