Métodos de análisis de vulnerabilidades: ¿Cuál es suficiente para una pequeña empresa antes del primer pentest?

Los escáneres automáticos cazan SQL Injection o puertos abiertos, pero no responden a la pregunta de '¿puede el usuario A ver la factura del usuario B?'. En software de logística B2B el mayor riesgo es el acceso no autorizado entre inquilinos (multi-tenancy). Y eso solo se ve con pruebas manuales.

¿Qué dice exactamente el cuestionario de seguridad que les mandó su cliente? A veces solo piden '¿hacen escaneos periódicos de vulnerabilidades?' y otras exigen explícitamente una certificación de terceros tipo 'Penetrationstest nach BSI' o similar. No gasten presupuesto sin aclarar primero la especificación.

Nosotros con un equipo de 12 personas pagamos 3.200 EUR en la primera auditoría por una prueba híbrida de aplicación web de 2 días. Cerramos los 2 fallos de nivel alto que salieron en el informe en 1 semana, pedimos la re-prueba (re-test) y el cliente aprobó el proceso. 9.000 EUR es un exceso para empezar.

Reduzcan el alcance (Scope). No le den a la empresa de seguridad toda la infraestructura en la nube, solo la aplicación web y las API por donde el cliente envía datos. Al acortar el alcance, los días de trabajo y el presupuesto bajan a la mitad.

si pagan 2.500 eur por un reporte de escaneo automático van a tirar la plata... bueno te adornan un pdf de dos páginas sacado de herramientas open source y el auditor del cliente se da cuenta al toque y te lo rebota.

No se dejen llevar por la agencia cuando dice que la 'revisión de arquitectura es obligatoria'. Obvio que quieren vender el paquete más caro. Pero para el código de una empresa de 10 personas, una auditoría completa de arquitectura lleva semanas y te frena el desarrollo del producto.

Confirmen sí o sí que la propuesta incluya el servicio de 'Re-test'. Una vez corregidas las vulnerabilidades críticas del informe, es obligatorio que la empresa auditora entregue un resumen ejecutivo final marcando esos fallos como resueltos.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Comprobado por experiencia.

No te olvides de: Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Aquí hay una trampa, no puedo dejar de mencionarla. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses. Espero que le sea útil.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Una copia de seguridad no probada no es una copia de seguridad.

A nosotros también nos pasa. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Las decisiones apresuradas son las que hay que corregir seis meses después. Por supuesto, cambia si tu situación es diferente.

Guardado. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Eso es todo, disculpa si me he extendido demasiado.

Guardado.

lo que voy a preguntar sonará un poco novato perdonadme luego en fin si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

también me gustaría saber si alguien lo hace de otra manera.

Hay una cosa a la que hay que prestar atención. Una copia de seguridad no probada no es una copia de seguridad.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Me pasó lo mismo.

Muchas gracias, lo probaré hoy.