¿Cómo se determina el alcance de la autorización por escrito para una prueba de penetración y qué debe contener el documento?

Pon sí o sí una cláusula de notificación de IP de origen en el documento. Debe constar por escrito desde qué IP externas estáticas escaneará el equipo que hará la prueba. Así podrás distinguir la prueba de un ataque cibernético real en tu WAF y filtrar fácilmente las actividades del test si necesitas hacer un análisis forense en los logs.

Las cláusulas penales y de confidencialidad del contrato deben redactarse en el marco de los artículos sobre delitos informáticos del Código Penal turco y la KVKK (Ley de Protección de Datos Personales). Debe definirse un protocolo legalmente vinculante de notificación inmediata y borrado seguro en caso de que durante la prueba se acceda a datos de clientes o registros financieros confidenciales.

No abras tu base de datos en vivo directamente a la prueba. Prepara un entorno de prueba que sea una copia exacta del de producción, anonimiza los datos sensibles de los clientes y haz la prueba ahí. Para los bancos lo importante son las vulnerabilidades en la arquitectura y el código; no hace falta arriesgar la tabla de clientes en producción para nada.

Aunque prepares un documento de alcance, muchas empresas del mercado se limitan a pasar herramientas estándar de escaneo automático de vulnerabilidades. Si no pones un límite en el contrato diciendo "la velocidad de peticiones de los escáneres automáticos no puede superar X peticiones por segundo", tu pasarela de API se va a bloquear y los clientes van a dar error.

El año pasado dimos permiso para el rango de 02:00 a 05:00 de la madrugada en un test similar. El experto que hacía la prueba le metió carga por error a la cola de prod en vez de staging y nuestro servidor de mensajería se cayó 40 minutos. Menos mal que teníamos la cláusula de parada de emergencia, cortamos el test en 3 minutos. Si no llega a estar esa cláusula, no llegamos a la jornada de la mañana.

edit: he corregido unas erratas.

¿El tipo de prueba va a ser caja negra o caja blanca? Si se le va a dar al equipo el código fuente o la documentación de la API las cláusulas del documento sobre protección de propiedad intelectual y destrucción del código al terminar la prueba se vuelven muchísimo más vitales.

No dejes que le hagan ping ni a un solo puerto sin autorización por escrito; el delito de acceso no autorizado puede plantar a ambas partes directamente ante la fiscalía.

Tienes razón, yo también pasé por lo mismo. Lo importante no es la cifra, sino en qué se basa esa cifra.

Corrijanme si me equivoco.

Lo probaré. Antes de decidir, mirad qué datos tenéis en la mano.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

tiene razón y o sea si la verificación en dos pasos está activa una contraseña rbada no sirve de nada por sí sola.

que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en pate del objetivo. si escribís el resultado aquí también servirá de ayuda a otros.

Han surgido tres opiniones distintas, todas se complementan. en fin lo importante no es la cifra, sino en qué se basa esa cifra.

Si escribís el resultado aquí también servirá de ayuda a otros.

Ha sido una buena idea abrir este hilo.

Estoy de acuerdo.

Permíteme resumir lo que se ha dicho hasta ahora. La respuesta varía mucho según el sector, no hay una regla general.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. También me gustaría saber si alguien lo hace de otra manera.

Tomo nota, gracias. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Lo importante no es la cifra, sino en qué se basa esa cifra.

Gracias por escribir esto, es lo correcto. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Esta es mi opinión, no lo escribo como una verdad absoluta.

no sabía eso. lo importante no es la cifra, sino en qué se basa esa cifra.

Yo no me apresuraría. bueno todos los que se apresuran con autorizacion por escrito prueba de penetracion se atascan en el mismo punto.

Si tenéis dudas escribid, os responderé en la medida de lo posible.