Al final del informe del test de penetración había una marca de riesgo 'high' — ¿qué tan grave es esto?

sql injection es un problema gordo el cifrado de conexión etc. se considera bajo. yo si fuera tú haría los high risk esta semana

En tu informe hay una página de 'executive summary'. Arriba pone cuántos High y cuántos Medium. Empieza por ahí.

Algunas empresas inflan artificialmente las puntuaciones de riesgo para cobrar más por el 're-test'. Si pone SQL injection, abre el código y comprueba si existe o no.

o sea no debo arreglar todos los risk de inmediato, ¿o bastan los high risk?

Dentro del marco de gestión de riesgos, cerrar las vulnerabilidades clasificadas como High risk es un requisito de cumplimiento legal. Si tienes una póliza de ciberseguro, la cobertura puede anularse si no cierras las vulnerabilidades de las que fuiste advertido explícitamente.

A mí me pasó justo al revés, por eso escribo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Ánimo.

Hace dos años viví exactamente lo mismo. Si regañas las falsas alarmas, nadie volverá a reportar.

Eso es todo, disculpa si me he extendido demasiado.

Hace dos años viví exactamente lo mismo. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Comprobado por experiencia.

Estoy de acuerdo.

Han surgido tres opiniones distintas, todas se complementan. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Yo seguiría por ese camino.

permíteme resumir lo que se ha dicho hasta ahora. la verdad que todo el mundo haga algo no significa que sea lo correcto.

ánimo.

No sabía eso.

Estoy siguiendo esto.

Gracias, esa era la respuesta que buscaba.

Tema muy oportuno.

Muchas gracias, lo probaré hoy.

El año pasado nos pasó casi exactamente lo mismo. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Espero que le sea útil.

tomo nota gracias.