09 / EVALUACIÓN DE SEGURIDAD
Ataque Controlado · Pruebas de penetración autorizadas
La defensa se pone a prueba.
Simula ataques reales sobre los sistemas que autorizas, con reglas pactadas, evidencia de cada hallazgo y una nueva prueba de lo corregido.
EL RESULTADO QUE BUSCAMOSSaber por dónde podrían entrar. Comprobar que ya está cerrado.
Disponibilidad, alcance y condiciones sujetos a evaluación y propuesta.
Evaluación, protección y recuperación de sistemas según los riesgos y prioridades del negocio. El alcance y los compromisos de servicio se acuerdan por proyecto.
Solución de entrada dentro de Pruebas de Penetración y Seguridad Ofensiva. Este paquete concreta un alcance de esa oferta; sus entregables y condiciones se acuerdan por proyecto.
LA NECESIDAD
Conoce tu exposición real.
Un escáner reporta posibles fallas. Una prueba de penetración muestra cuáles se pueden aprovechar, cómo se encadenan y hasta dónde llegaría un atacante. Sin esa evidencia, las prioridades de corrección se deciden por intuición.
Prueba de penetración sobre sistemas autorizados
Se comienza por los sistemas que la empresa autoriza por escrito: perímetro externo, red interna, aplicaciones web o entornos en la nube. El alcance define qué se prueba, con qué información de partida y dentro de qué límites.
Encaja con tu empresa si…
Para empresas que necesitan conocer su exposición real, responder a un requisito de un cliente, auditor o regulador, o validar un sistema antes de ponerlo en producción.
Necesitas otro alcance si…
Si buscas revisión de código fuente, respuesta a un incidente en curso o una certificación de que el sistema es seguro, necesitas un alcance distinto.
CONOCER EL ALCANCE
¿Qué incluye
Ataque Controlado?
El servicio comienza por un alcance definido.
Las ampliaciones se evalúan por separado.
Incluido en el alcance inicial
- Reunión de alcance y reglas de intervención firmadas antes de comenzar.
- Reconocimiento, identificación y explotación controlada de vulnerabilidades en los objetivos autorizados.
- Evidencia de cada hallazgo, clasificación por riesgo y recomendación de corrección.
- Nueva prueba de los hallazgos corregidos dentro de la ventana acordada.
Fuera del alcance inicial
- No incluye seguros, indemnizaciones ni certificaciones de seguridad.
- No cubre sistemas, direcciones o aplicaciones que no estén autorizados por escrito.
- Revisión de código fuente, ingeniería social y pruebas de denegación de servicio requieren un alcance independiente.
- La corrección de las vulnerabilidades corresponde a la empresa o a un encargo independiente.
Se definen objetivos, modalidad, ventanas de prueba, contactos de emergencia, acciones prohibidas y manejo de la información obtenida. Toda la evidencia se trata como confidencial.
LO QUE RECIBES
Una capacidad.
Y cómo operarla.
La entrega incluye el proceso, su documentación y el criterio para comprobar que funciona.
- 01
Reglas de intervención y alcance firmados.
- 02
Informe ejecutivo para la dirección.
- 03
Informe técnico con evidencia, riesgo y corrección de cada hallazgo.
- 04
Informe de la nueva prueba con el estado final de cada hallazgo.
ANTES DE IMPLEMENTAR
Un buen comienzo
requiere contexto.
- Autorización escrita del propietario de cada sistema a probar.
- Listado de direcciones, dominios o aplicaciones dentro del alcance.
- Credenciales o accesos de prueba, si la modalidad lo requiere.
- Contacto técnico disponible durante las ventanas de prueba.
En la propuesta se acuerdan responsables, dependencias, plazo, capacitación y soporte. La implementación comienza cuando estén disponibles los accesos y requisitos definidos.
EL RESULTADO SE COMPRUEBA
La evidencia
define el siguiente paso.
Cada hallazgo se acompaña de la evidencia que permite reproducirlo. Después de la corrección, una nueva prueba confirma qué quedó cerrado y qué sigue abierto.
- Documentar cada hallazgo con su evidencia, su impacto y la forma de reproducirlo.
- Priorizar la corrección según el riesgo para la operación, no solo según la severidad técnica.
- Volver a probar lo corregido y registrar el estado final, sin presentarlo como garantía de que no existen otras fallas.
Las ilustraciones de esta ficha representan el enfoque de la solución. No son casos de clientes ni resultados ya obtenidos.
RECORRIDO DE REFERENCIA · ALCANCE ILUSTRATIVO
De una falla posible a una corrección comprobada.
Una vulnerabilidad en una aplicación autorizada se recorre desde su hallazgo hasta su cierre.
01Identificar
Se detecta la falla y se confirma que es aprovechable dentro de las reglas pactadas.
02Demostrar
Se documenta hasta dónde permite llegar, con evidencia y sin afectar la operación.
03Comprobar
Tras la corrección, se repite la prueba. Si la falla persiste, queda señalada para corregirla.
Este recorrido muestra cómo estructuramos el trabajo. El alcance final se define sobre tu operación, con tus sistemas y tus criterios de aceptación.
EL MODELO DE INTERVENCIÓN
Un alcance claro.
Un resultado verificable.
La solicitud permite evaluar tu caso. Antes de contratar, acordamos alcance, duración y condiciones.
- 01
Evaluar
Comprendemos el proceso, los accesos y las dependencias. La evaluación confirma si tiene sentido preparar una propuesta.
- 02
Acordar
Definimos alcance, responsables, duración, condiciones económicas y criterios de aceptación antes de comenzar.
- 03
Comprobar
La solución se implementa dentro del alcance autorizado. Registramos resultados, excepciones y trabajo pendiente.
- 04
Decidir
Con la evidencia, acordamos continuar, ajustar o cerrar. La salida contempla documentación, datos y retirada de accesos según lo pactado.
Qué debe quedar en la propuesta
Entregables, aceptación, soporte, responsabilidades y salida. Los costos de implementación, operación y consumos aplicables se explican antes de contratar. Las ampliaciones requieren un acuerdo independiente.
CÓMO COMENZAR
Empieza con
un alcance concreto.
Selecciona este alcance y cuéntanos tu contexto. Antes de contratar, recibirás una propuesta con alcance, condiciones, responsabilidades y criterios de aceptación.
ATAQUE CONTROLADO
Perímetro externo
Se comienza por los sistemas que la empresa autoriza por escrito: perímetro externo, red interna, aplicaciones web o entornos en la nube. El alcance define qué se prueba, con qué información de partida y dentro de qué límites.
La selección prepara tu solicitud. El alcance y la disponibilidad se confirman en la propuesta.
PARA DECIDIR CON CLARIDAD
¿Qué debes saber
antes de contratar?
¿Puede afectar la operación?
Las pruebas se ejecutan en ventanas acordadas y con acciones prohibidas definidas. Si un sistema es sensible, se prueba en un entorno equivalente.
¿Cada cuánto se debe hacer?
La frecuencia se acuerda según el riesgo, los cambios del sistema y los requisitos aplicables a la empresa.
¿Qué diferencia hay con un escaneo de vulnerabilidades?
El escaneo lista posibles fallas de forma automática. La prueba de penetración confirma cuáles se pueden aprovechar y qué impacto tendrían.