¿Deberíamos contratar una prueba de penetración, cuándo y con qué alcance?

Como director de seguridad de la información, me gustaría añadir algunos puntos sobre la preparación del lado comprador.

Primero, permiso por escrito antes del test. Tocar un sistema fuera del alcance genera problemas tanto técnicos como legales. La ventana de prueba, el canal de comunicación y el procedimiento de parada de emergencia deben estar por escrito.

Segundo, cuándo se hará el test. Hacerlo en un periodo de alta carga conlleva también un riesgo real de interrupción. Compartid esto con las unidades de negocio con antelación.

Tercero y lo más importante: no contratéis un test sin asignar recursos para cerrar los hallazgos. Esperar con un informe de hallazgos sin cerrar es una posición peor que no hacer ningún test. Al presentar el presupuesto, presupuestad también el esfuerzo de corrección, no solo el coste del test.

Una sugerencia desde el lado de monitorización: durante el test, medid también vuestra propia capacidad de detección.

Cuando el tester intentaba entrar en el sistema, ¿vuestro sistema de monitorización lo detectó?, ¿en cuánto tiempo?, ¿a quién llegó la alerta? Esta información a veces vale más que la lista de vulnerabilidades del informe.

Método práctico: pedid al tester una lista con marcas de tiempo de sus acciones. Luego comparadla con vuestros logs. Así sabréis exactamente qué paso no visteis.

También quiero mencionar el lado de protección de datos, porque esta fase se suele saltar.

Durante el test puede darse el tratamiento de datos personales. Situaciones como usar datos reales en el entorno de prueba, copiar datos de producción o añadir capturas de pantalla al informe deben evaluarse aparte.

Mi recomendación es añadir cláusulas de confidencialidad y tratamiento de datos al contrato con el proveedor del test, y usar datos enmascarados en la medida de lo posible. También debe constar por escrito el periodo de retención y destrucción del informe.

Una pregunta: en la oferta que dice "test completo", ¿cuántos días-persona pone?

La razón es esta: este trabajo se mide en tiempo. Un test de cinco días y uno de quince no encontrarán lo mismo, y gran parte de la diferencia de precio está ahí. Las ofertas que no ponen días-persona no son comparables.

Gracias, voy a usar este hilo como anexo para mi presentación de presupuesto.

Cuando pregunté por los días-persona, dos de las tres ofertas se revisaron, una no respondió. La tabla comparativa ahora sí es realmente comparable.

También he incluido directamente en la presentación la advertencia de Yavuz Bey de "presupuestad también el esfuerzo de corrección". La última vez nos atascamos justo ahí.

este enfoque tine un coste, y no se habla de ello... en fin el error cometido por prueba de penetración suele ser reversible, pero caro.

esta es mi opinión, no lo escribo como una verdad absoluta.

Exacto, y encima no es tan conocido. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Espero que le sea útil.

No sabía eso. Que todo el mundo haga algo no significa que sea lo correcto.

Comprobado por experiencia.

El año pasado nos pasó casi exactamente lo mismo. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Ánimo.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. El error cometido por prueba de penetración suele ser reversible pero caro.

También me gustaría saber si alguien lo hace de otra manera.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

El error cometido por prueba de penetración suele ser reversible, pero caro. Ánimo.

Muchas gracias, lo probaré hoy. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Esta es mi opinión, no lo escribo como una verdad absoluta.

De acuerdo, incluso me gustaría recalcarlo. o sea si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

La respuesta varía mucho según el sector, no hay una regla general. Por supuesto, cambia si tu situación es diferente.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Lo importante no es la cifra, sino en qué se basa esa cifra. Comprobado por experiencia.

si vas por ahí, resuelve esto desde el principio. intentar hacerlo solo es la vía más cara.

también me gustaría saber si alguine lo hace de otra manera.

entrando en detalle: Lo que más tiempo nos hacía perder era no saber quién tomaa las decisiones.

epsero que le sea útil.

Entrando en detalle: La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Intentar hacerlo solo es la vía más cara. Espero que le sea útil.

Hace dos años viví exactamente lo mismo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.