¿Qué es una puntuación de ciberseguridad como la de BitSight o SecurityScorecard?
Es una nota que calcula una empresa externa con lo que se ve de ti desde internet: dominios, IP, correo y web. SecurityScorecard la da en letras, de la A (90 a 100) a la F (menos de 60). Según BitSight, suele ser un número en un rango, donde más es mejor.
Las dos explican su método en público. SecurityScorecard dice en su documento de metodología que evalúa a las organizaciones «desde fuera» y sin intrusión, que actualiza las notas cada día y que agrupa lo que encuentra en diez familias de riesgo. BitSight cuenta en qué es una puntuación de seguridad que recoge información observable desde fuera, tanto de configuración como de señales de un incidente en curso.
| Qué | SecurityScorecard | BitSight |
|---|---|---|
| Cómo te ve | Desde fuera y sin intrusión: escaneos de internet, sensores propios y unas 40 fuentes de terceros | Con información observable desde fuera: configuración y señales de incidentes |
| Cómo te puntúa | Letra de la A a la F sobre 100 puntos | Según su guía, estas notas suelen ser un número en un rango; cada apartado lleva letra |
| Lo que pesa | Cada tipo de hallazgo tiene un peso según su relación con las brechas | Por ejemplo, los sistemas comprometidos (26 %) y la gestión de vulnerabilidades críticas (20 %) |
| Cada cuánto cambia | La nota se actualiza a diario | El algoritmo se revisa cada año; la última revisión entró el 16-07-2026 |
| Si un dato no es tuyo | Se impugna con pruebas: responde en 48 horas de media y, si lo acepta, cambia la ficha en 48-72 horas | Según su guía, una nota tiene que atender lo que comuniquen las empresas puntuadas |
| Ver tu nota | Ofrece consultar gratis la tuya | Ofrece ver gratis una primera foto de la tuya |
¿Por qué te puntúa tu cliente sin preguntarte?
Porque tiene que vigilar el riesgo de sus proveedores de forma continua, y una nota externa se actualiza sola, al contrario que un cuestionario. La NIS2 exige valorar las prácticas de ciberseguridad de cada proveedor directo, y DORA obliga a bancos y aseguradoras a comprobar a sus proveedores tecnológicos.
El artículo 21.3 de la NIS2 pide a las entidades que tengan en cuenta «las vulnerabilidades específicas de cada proveedor y prestador de servicios directo» y «la calidad general de los productos y las prácticas en materia de ciberseguridad» de sus proveedores. El artículo 28 de DORA deja a la entidad financiera «plenamente responsable» aunque externalice, y le exige comprobar la idoneidad del proveedor antes de contratar.
54 %
De las organizaciones de los sectores críticos de la NIS2 encuestadas por ENISA evalúa o audita el riesgo de sus proveedores. El 63 % les exige cumplir normas y mantener certificaciones.
BitSight lo dice en su propia guía: los cuestionarios se quedan anticuados rápido y la nota sirve para contrastar las respuestas con lo que se observa desde fuera. Por eso conviene que tu cuestionario de seguridad y lo que se ve de tu empresa en internet cuenten lo mismo. Cómo revisa un comprador a sus proveedores, en seguridad de proveedores.
¿Qué miran BitSight y SecurityScorecard de tu empresa desde fuera?
Lo que cualquiera puede comprobar desde internet: si tu correo tiene SPF, DKIM y DMARC, si tus certificados son válidos, qué puertos y servicios están abiertos, qué software vulnerable se ve, las cabeceras de seguridad de tu web y si desde tus direcciones IP sale tráfico de equipos infectados.
| Lo que ven | Qué significa para ti | Cómo se arregla |
|---|---|---|
| SPF ausente, mal formado o sin efecto, y DMARC sin política | Otro puede enviar correo con tu dominio y el receptor no tiene con qué distinguirlo | Publicar SPF, DKIM y DMARC en el DNS, por fases |
| Certificado caducado, revocado o autofirmado | El navegador avisa a quien entra en ese servicio | Renovarlo o retirar el servicio si ya no se usa |
| Escritorio remoto, SMB, bases de datos o FTP abiertos a internet | Cualquiera puede intentar conectarse a ese servicio | Ponerlo detrás de una VPN o, si no se puede, limitar las IP que entran |
| Software con vulnerabilidades conocidas | Una versión con un fallo público que alguien puede aprovechar | Actualizar, y antes cuanto más grave sea el fallo |
| Cabeceras de seguridad que faltan en la web o redirecciones a http | La web acepta conexiones sin cifrar o no limita qué código carga | Configurarlas en el servidor web |
| Tráfico de malware desde tus direcciones IP | Algún equipo de tu red puede estar infectado | Revisar los equipos de esa IP y seguir tu plan de incidentes |
| Dominios parecidos al tuyo registrados por otros | Alguien puede usarlos para suplantarte | Vigilarlos, registrar las variantes obvias y denunciarlos al registrador |
BitSight penaliza que un dominio no publique SPF o DKIM y, desde su actualización de julio de 2026, cuenta también el DMARC. Cómo se publican los tres registros, en SPF, DKIM y DMARC; qué hacer con los dominios parecidos al tuyo, en dominios que se parecen al tuyo.
¿Qué no puede ver una puntuación externa de ciberseguridad?
Nada de lo que pasa dentro: si tus copias se restauran, si hay doble factor en las cuentas, si tu equipo está formado o si tienes un plan de incidentes. SecurityScorecard lo reconoce: desde fuera no detecta los controles internos que compensan un hallazgo, y entonces la nota sale más baja de lo debido.
| Situación | ¿Lo ve la nota? | Dónde se demuestra |
|---|---|---|
| Registros del correo: SPF, DKIM y DMARC | Sí | En tu DNS, que es público |
| Certificados y cabeceras de la web | Sí | En la propia web |
| Puertos y servicios abiertos | Sí | Desde internet |
| Copias de seguridad y su restauración | No | Registro de la última restauración probada |
| Doble factor en las cuentas | No | Captura de la política de tu proveedor de correo |
| Antivirus gestionado en los equipos | No | Informe de estado de los equipos |
| Formación y plan de incidentes | No | Registro de formación y plan aprobado |
Por eso una nota no sustituye al cuestionario: mira otra cosa. Y una nota alta tampoco te salva si el cuestionario no tiene pruebas detrás. Cómo se contesta cada pregunta con su evidencia, en la plantilla de respuestas.
¿Cómo se corrige un dato de tu ficha de ciberseguridad que no es tuyo?
Pidiéndolo con pruebas. SecurityScorecard permite impugnar un hallazgo por error de atribución o por un control compensatorio; según su metodología, responde en 48 horas de media y, si acepta, actualiza la ficha en 48 a 72 horas. Su documento admite que atribuir una IP nunca es exacto: cambian de dueño a diario.
¿Los activos con hallazgos son tuyos?
- Sí
- Pasa al paso siguiente
- No
- Pide la corrección con pruebas de quién es la IP o el subdominio
¿Se arregla en días?
- Sí
- Arréglalo y pide que lo vuelvan a comprobar
- No
- Manda a tu cliente un plan con fechas
¿Tienes un control que la nota no ve?
- Sí
- Impúgnalo como control compensatorio, con la prueba
- No
- Anótalo en el plan
Guarda la ficha antes y después: es una evidencia más
Si el activo no es tuyo
- De quién es la IP: tu proveedor de alojamiento o de nube y el contrato
- Si el subdominio apunta a un servicio de un tercero
- Desde cuándo dejaste de usar ese dominio o ese servidor
Si hay un control que no se ve
- Qué control compensa el hallazgo
- Una captura o un informe que lo demuestre, con fecha
¿Qué arreglos suben antes una puntuación de ciberseguridad?
Los que cierran hallazgos graves: publicar SPF, DKIM y DMARC, renovar certificados caducados, sacar de internet el escritorio remoto y las bases de datos, actualizar el software con fallos críticos y añadir las cabeceras de seguridad de la web. En BitSight, la gestión de vulnerabilidades críticas pesa el 20 % de la nota.
Los sistemas comprometidos son señales de equipos infectados en tus direcciones IP, como la comunicación con servidores de control de malware que BitSight cita en su guía. No se arreglan cambiando un registro: hay que encontrar el equipo. Si te pasa, sigue el plan de respuesta a incidentes.
BitSight premia parchear antes lo más grave, y SecurityScorecard castiga una brecha conocida: según su metodología, al hacerse pública resta un 10 % a la nota, y el efecto se diluye en 30 días. Por qué no conviene aplazar los parches, en actualizaciones de seguridad; cómo se cierra un acceso remoto abierto, en escritorio remoto expuesto.
¿Qué le contestas a tu cliente si tu nota de ciberseguridad es baja?
Qué hallazgos son reales, cuáles no son tuyos y cuándo estará arreglado cada uno, con responsable y fecha. No discutas la herramienta: la ha elegido tu cliente. Enséñale además lo que la nota no ve, como copias, doble factor y formación, con sus pruebas, para que tenga la foto completa.
Cómo se dice «todavía no» sin perder al cliente, en qué responder si no cumples un control. Si lo que te piden son garantías por contrato, mira las cláusulas de ciberseguridad.
¿Cómo compruebas tú lo mismo, gratis, antes que tu cliente?
Con un análisis externo de tu dominio, que mira muchas de las mismas señales: correo, certificado, web, subdominios, listas de bloqueo, dominios parecidos y puertos. Nuestro diagnóstico lo hace gratis y te enseña el resultado en pantalla sin dejar tus datos. No da la nota de BitSight ni la de SecurityScorecard, ni la predice.
El diagnóstico de tu dominio revisa doce cosas desde fuera: los registros del correo, el certificado, las cabeceras de la web, los subdominios publicados en registros de certificados, las listas de bloqueo, los dominios parecidos al tuyo y, si marcas que eres responsable del dominio, los ficheros a la vista y los puertos abiertos. Te da una puntuación propia por apartado y un orden de qué arreglar primero.
Con Talvit protegemos los equipos con antivirus gestionado, hacemos copias con restauración probada y filtramos el correo, y reunimos cada mes las pruebas de lo que la nota no ve en tu dossier de evidencias. Más guías del lado del proveedor, en Clientes.
Lo que esta guía no cubre
- La escala numérica exacta de BitSight, que no hemos podido comprobar en su web.
- Otras plataformas de puntuación, que miden con métodos propios.
- Cómo contratar una de estas plataformas para vigilar a tus propios proveedores.
Preguntas frecuentes
¿Puedo ver gratis mi nota de SecurityScorecard o de BitSight?
Las dos ofrecen en su web consultar gratis la nota de tu empresa, con las condiciones que fijan ellas. Lo que veas es la foto de ese momento: las dos actualizan sus datos con frecuencia.
¿Me pueden puntuar sin pedirme nada?
Sí. Usan información que se ve desde internet y no entran en tus sistemas. SecurityScorecard dice puntuar a millones de organizaciones cada día.
¿Una nota alta demuestra que estoy protegido?
No. Demuestra que lo visible desde fuera está en orden. Copias, accesos y formación se demuestran con pruebas internas.
¿Cuánto tarda en subir la nota después de arreglar algo?
Depende de la plataforma y del hallazgo. SecurityScorecard actualiza las notas cada día; si impugnas un dato y lo acepta, cambia la ficha en 48 a 72 horas.
Fuentes
- SecurityScorecard, Security Ratings, consultado el
- SecurityScorecard, «A Deep Dive in Scoring Methodology», metodología 3.0 (2025), consultado el
- BitSight, «What is a security rating?», consultado el
- BitSight, actualización del algoritmo de puntuación de 2026 (en vigor desde el 16-07-2026), consultado el
- Directiva (UE) 2022/2555 (NIS2), art. 21.2.d y 21.3, consultado el
- Reglamento (UE) 2022/2554 (DORA), art. 28, consultado el
- ENISA, NIS Investments 2025 (8-12-2025), consultado el
Registro de cambios
- : Publicación.
