Por qué mi consultoría de ciberseguridad casi funcionó solo con buena voluntad

Por Rachel Torres, consultora de ciberseguridad — Austin, TX

Pasé una década en seguridad empresarial antes de independizarme. Sabía cómo ejecutar pruebas de penetración, estructurar planes de respuesta a incidentes, diseñar arquitecturas de confianza cero e informar a los directivos de alto nivel sobre la postura de riesgo. Para lo que el mundo corporativo no me había preparado era para la realidad administrativa de dirigir una consultoría en solitario, en concreto, la facturación.

Mi primer año como consultora independiente fue técnicamente productivo y financieramente desorganizado. Los clientes recibían valor real. A mí me pagaban, eventualmente, de forma irregular, a veces de manera incompleta.

El problema no era la disposición de los clientes. Era mi estructura de facturación, o más bien la ausencia de una.

El encargo que dejó al descubierto el problema

Mi tercer cliente independiente fue una red regional de servicios de salud. Un encargo de evaluación de seguridad de treinta días: escaneo de vulnerabilidades, revisión de configuraciones, simulación de phishing al personal, informe ejecutivo de riesgos. Acordamos verbalmente un alcance y un precio: 14.500 $.

Completé el trabajo. Envié una factura al final del encargo. El departamento de cuentas por pagar del cliente respondió que necesitaban una orden de compra, algo que nunca habían mencionado, y que el pago seguiría condiciones a 60 días netos, lo cual no era lo que yo había entendido.

Al final lo resolvimos. Me pagaron, sesenta y dos días después de terminar el trabajo. Durante esos sesenta y dos días tuve que gestionar el flujo de caja de otros tres encargos mientras esperaba un cheque que me había ganado por completo.

El problema no era el cliente. Era que yo no tenía un contrato de encargo estándar, ni requisito de depósito, ni una estructura de facturación por hitos, ni condiciones de pago documentadas. Había realizado un trabajo de seguridad de nivel empresarial y lo había facturado como un trato de palabra.

Construyendo el marco de facturación de ciberseguridad

Tras la experiencia con la red de salud, construí un marco de facturación usando InvoiceFlow que ahora aplico a cada encargo.

Para encargos de evaluación y auditoría:

Divido cada encargo de alcance fijo en tres hitos de facturación.

“Evaluación de Ciberseguridad — [Nombre del Cliente] — Encargo SOW-2026-SEC-004:

Hito 1 — Depósito del encargo (40%): A pagar tras la firma del contrato. Cubre la reunión inicial, la confirmación del alcance, el despliegue de herramientas y la provisión de accesos. Vencimiento: 15 de enero de 2026. 5.800,00 $

Hito 2 — Finalización de la evaluación (35%): A pagar tras la entrega del informe preliminar de hallazgos. Cubre todas las pruebas activas, escaneos, sesiones de entrevistas y documentación inicial de hallazgos. Vencimiento: 10 de febrero de 2026. 5.075,00 $

Hito 3 — Informe final y sesión informativa (25%): A pagar tras la entrega del informe final y el informe ejecutivo. Cubre las recomendaciones de remediación, la matriz de prioridades y el resumen ejecutivo. Vencimiento: 28 de febrero de 2026. 3.625,00 $

Valor total del encargo: 14.500,00 $ Condiciones de pago: 15 días netos en cada hito Referencia del SOW: SOW-2026-SEC-004 con fecha 10 de enero de 2026”

El depósito del 40% garantiza que reciba un pago significativo antes de invertir tiempo importante en el encargo. El Hito 2 se paga mientras sigo trabajando activamente. El Hito 3 cierra limpiamente tras la entrega final. Con 15 días netos en cada hito, no espero sesenta días por ningún pago individual.

El modelo de retainer para programas de seguridad continuos

Los encargos de evaluación son valiosos pero episódicos. El modelo de ingresos que transformó mi consultoría fueron los retainers mensuales de seguridad.

Después de cada evaluación, presento un programa de seguridad continuo al cliente. El argumento comercial es sencillo: ahora tienen un informe de hallazgos, una matriz de prioridades y una lista de vulnerabilidades. Implementar la remediación, monitorizar nuevas amenazas y mantener la documentación del programa es un trabajo continuo. La mayoría de los clientes no tienen personal interno para hacerlo. Me necesitan.

Mis niveles de retainer:

“Retainer Mensual de Seguridad — [Nombre del Cliente]:

Programa Essential — 8 horas/mes: Revisión mensual del escaneo de vulnerabilidades, orientación sobre la remediación de hallazgos críticos, asesoría sobre parches de seguridad, acceso de guardia para respuesta a incidentes. 1.600 $/mes.

Programa Active — 16 horas/mes: Lo anterior más una sesión mensual de concienciación en seguridad, simulación trimestral de phishing, revisión y actualización de políticas, apoyo con cuestionarios de seguridad de proveedores. 3.200 $/mes.

Programa Comprehensive — 24 horas/mes: Lo anterior más un informe ejecutivo mensual de riesgos, apoyo en monitorización continua, seguimiento de cumplimiento normativo (HIPAA/SOC2/PCI-DSS según corresponda), reportes a nivel de junta directiva. 4.800 $/mes.”

Configuro facturas recurrentes en InvoiceFlow para cada cliente con retainer. Se generan y envían automáticamente el primer día de cada mes. Siete de mis últimos diez clientes de evaluación se convirtieron en acuerdos de retainer. Mis ingresos mensuales actuales por retainers son de 22.400 $.

La relación de retainer también cambia la forma en que los clientes tratan la seguridad. Cuando tienen un programa de seguridad contratado, me llaman antes de que un proveedor despliegue algo nuevo, en lugar de después de una brecha. El trabajo se orienta a la prevención en vez de reaccionar a incidentes.

Facturación de respuesta a incidentes: una estructura diferente

Los encargos de respuesta a incidentes siguen un modelo de facturación distinto al de las evaluaciones planificadas. Cuando un cliente llama porque sospecha de una brecha, el trabajo comienza de inmediato y el alcance es incierto.

Gestiono la facturación de respuesta a incidentes con una factura por horas estructurada que documenta cada fase de la respuesta:

“Servicios de Respuesta a Incidentes — [Nombre del Cliente] — IR-2026-008:

Fase 1 — Triaje inicial y contención: 3 de marzo de 2026, 09:00-17:00 (8 horas × 275 $/h): 2.200,00 $ Fase 2 — Análisis forense — Revisión de registros de servidor, forense de endpoints (2 analistas × 6 horas = 12 horas × 275 $/h): 3.300,00 $ Fase 3 — Erradicación y recuperación (4 horas × 275 $/h): 1.100,00 $ Fase 4 — Documentación posincidente e informe al cliente (3 horas × 275 $/h): 825,00 $

Total: 7.425,00 $ Recargo por respuesta de emergencia (encargo en fin de semana): 750,00 $ Total general: 8.175,00 $

Condiciones de pago: 7 días netos — Los encargos de respuesta a incidentes se pagan en un plazo de siete días desde la entrega de la factura.”

La facturación de respuesta a incidentes requiere una tarifa premium y condiciones de pago cortas. Los clientes entienden ambas cosas: están en apuros y saben que el servicio de respuesta tiene un valor real. Las condiciones a 7 días netos en respuesta a incidentes son estándar en el sector y todos los clientes a los que he facturado de esta manera han pagado dentro del plazo.

Adquisiciones corporativas y facturación asociada al cumplimiento

Varios de mis clientes están en industrias reguladas: salud, servicios financieros, contratistas gubernamentales. Sus requisitos de adquisición son detallados, y sus requisitos de facturación incluyen documentación que se corresponde con sus marcos de cumplimiento.

Cada factura para un cliente de industria regulada incluye:

“Servicios de Consultoría en Ciberseguridad — [Nombre del Cliente] — [Fecha]: Referencia del SOW: SOW-2026-HC-019 Marco de cumplimiento: Evaluación de la Norma de Seguridad HIPAA Número de orden de compra: PO-2026-IT-0291 ID de proveedor: VND-74821 Entregables de la evaluación: Informe de vulnerabilidades de red, análisis de brechas en el control de acceso, registros de finalización de formación del personal, documentación de evaluación de riesgos según 45 CFR 164.308(a)(1). Importe: 18.200,00 $ Condiciones de pago: 30 días netos”

La documentación asociada al cumplimiento en las facturas transmite competencia profesional a los clientes regulados. También crea un rastro documental que respalda su propia documentación de auditoría, un valor añadido genuino que notan.

La consultoría tras tres años

Tres años después de empezar como consultora independiente:

• Siete clientes con retainers mensuales que generan 22.400 $/mes en ingresos recurrentes predecibles
• Encargos de evaluación estructurados con depósitos del 40% y facturación por hitos — se acabó esperar sesenta días
• Respuesta a incidentes facturada a tarifas premium con condiciones a 7 días netos
• Clientes de industrias reguladas facturados con documentación completa asociada al cumplimiento
• Cero disputas de facturación sin resolver desde que implementé la facturación estructurada

La experiencia con la red de salud hace tres años me costó sesenta días de flujo de caja. Lo que me dio fue la motivación para construir una práctica de facturación que esté a la altura de la calidad de mi trabajo de seguridad.

Descarga InvoiceFlow. Configura tu estructura de facturación por hitos. Presenta un retainer a tu próximo cliente de evaluación completada. Los ingresos recurrentes lo cambian todo en la forma de gestionar la consultoría.

Rachel Torres es consultora de ciberseguridad en Austin, Texas, y presta servicios a organizaciones de salud, firmas de servicios financieros y empresas tecnológicas en evaluaciones de seguridad, programas de cumplimiento y respuesta a incidentes.