Somos una empresa de consultoría en ciberseguridad de 4 personas — ¿nuestro modelo de paquetes y precios está mal?

Nosotros estábamos en el mismo dilema con un equipo de 3 personas. Dejamos las pruebas puntuales y firmamos contratos mensuales de monitoreo y auditoría por 2.000 libras con empresas locales medianas de finanzas y logística. Ahora tenemos 12 clientes y un ingreso fijo de 24.000 libras al mes, nos enfocamos en el trabajo sin preocuparnos por el mes que viene.

Tienen que hacer la transición de forma gradual. 1) Primero llamen a todos los clientes antiguos a los que les hicieron pruebas de penetración el último año. 2) Ofrezcan una revisión preguntando si cerraron las vulnerabilidades encontradas o si han surgido nuevos riesgos en los últimos 6 meses. 3) Al final de la propuesta agreguen un acuerdo de mantenimiento mensual que incluya 4 escaneos al año.

Tengan cuidado al pasar al modelo mensual. A las pymes no les gusta pagar una cuota mensual de seguridad por lo general solo liberan presupuesto cuando tienen encima una brecha o una auditoría obligatoria. Si no les ofrecen a los clientes documentos de cumplimiento que bajen sus costos de seguro o les faciliten ganar clientes, les costará vender un retainer.

Para evitar desvíos en el alcance, incluyan sí o sí estas 3 cláusulas en sus contratos: 1) La lista de IP y dominios incluidos en el proyecto se congela; los nuevos activos se facturan aparte. 2) Tras el informe, la prueba de revalidación se realiza como máximo 1 vez. 3) Las solicitudes de revisión no cerradas dentro de los 14 días posteriores a la entrega del informe se considerarán completadas.

cobrar por hora mata la consultoria. cuanto mas rapido lo resuelves menos ganas es literalmente un incentivo perverso. bueno hagan paquetes de alcance fijo y metanlos en contrato mensual pa vivir tranquilos.

edit: arriba escribí mal, disculpad.

En el mercado del Reino Unido, las regulaciones de la cadena de suministro y los estándares de auditoría corporativa son cada vez más estrictos. En lugar de vender escaneos técnicos directos a sus clientes, si les ofrece la garantía de alcanzar el nivel de seguridad que necesitan para participar en licitaciones corporativas, aceptarán las tarifas de consultoría mensual con mucha más facilidad.

En nuestro primer año hicimos una prueba de penetración para un cliente de e-commerce por 4.000 libras. Durante 8 meses, cada vez que migraban un servidor nos llamaban diciendo 'amigo ¿puedes darle una mirada?', no podíamos decir que no y estuvimos a punto de quebrar. Luego pusimos un límite firme y dijimos: o un acuerdo de soporte mensual de 1.200 libras o facturación por hora, y aceptaron el contrato encantados.

No le venda al cliente las horas que invierte, sino el riesgo que mitiga y la tranquilidad corporativa; en el momento en que vincula el precio a las horas lo que se negocia no es su conocimiento técnico, sino su cronómetro.

edit: he corregido unas erratas.

Hay un punto que me genera dudas. Las decisiones apresuradas son las que hay que corregir seis meses después.

Cambiar un hábito es más difícil y caro que establecer un sistema.

Hace dos años viví exactamente lo mismo. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Por supuesto, cambia si tu situación es diferente.

Tema muy oportuno. El error cometido por consultoría en ciberseguridad suele ser reversible, pero caro.

Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla. Yo seguiría por ese camino.

Estoy de acuerdo. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. Espero que le sea útil.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Yo seguiría por ese camino.

aquí hay que haacer una distinción. si decidimos sin medir, siempre acabamos en el mismo punto.

esta es mi opinión no lo ecribo como una verdad absoluta.

Yo también estaba pensando en lo mismo. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Lo escribo para que no cometan el mismo error. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Empezad con una pequeña prueba, no lo integréis todo de golpe. Comprobado por experiencia.

A nosotros nos pasó esto. Mira dónde está el agujero del cubo; echar agua encima no lo soluciona.

Espero que le sea útil.

Dejo una advertencia. Antes de decidir mirad qué datos tenéis en la mano.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto. Por supuesto, cambia si tu situación es diferente.