Nuestro cliente quiere incluir una cláusula de auditoría de seguridad en el contrato, ¿qué significa esto?

Antes de sentaros a negociar con el cliente, debéis aclarar estos 3 puntos: 1) ¿Quieren un escaneo de vulnerabilidades técnicas o una auditoría enfocada a certificación? 2) ¿Quién elegirá a la empresa auditora y quién pagará la tarifa? 3) Si sale algún hallazgo, ¿cómo afectará al plazo de corrección y al calendario de salida a producción? Si no dejáis bien atados estos tres puntos en el contrato, el proceso se bloqueará.

No rechaces el contrato de golpe, pero ponle un límite a esa frase. Haz que añadan al texto la cláusula 'test de penetración a nivel de aplicación realizado como máximo una vez al año y dentro del alcance que el cliente considere razonable'. Incluso propone que el coste del auditor del primer año lo cubra el cliente o se añada a la factura de 55.000 dólares. Normalmente las compras corporativas lo aceptan.

Nos pasó algo parecido firmando un contrato de 40.000 dólares con una empresa de Nueva York. Contratamos a un equipo de pruebas independiente e hicimos un pentest de caja gris solo para la API y el panel. El proceso tardó 8 días laborables y pagamos 4.200 dólares. Cerramos 2 fallos de nivel medio del informe en 3 días, se lo presentamos al cliente y lo aceptaron al momento.

¿Qué datos vais a guardar en el sistema del cliente? ¿Entráis en sectores regulados como tarjetas de crédito, datos de salud personales o información sensible de empleados? Si solo se guardan datos operativos de logística e información de rutas, el departamento de cumplimiento corporativo del cliente puede quedarse tranquilo simplemente con cuestionarios de seguridad estándar. ¿Habéis probado a presentarles vuestra propia documentación de seguridad de infraestructura?

a nosotros tmb nos paso esa clausula viene x defecto en la plantilla de contrato de las grandes empresas. la verdad cuando llamamos pa preguntar ni ellos sabian q querian al final solo hacia falta rellenar un cuestionario interno de seguridad y no pagueis un servicio de auditoria caro fuera sin sentido pedirles primero x escrito q esperan exactamente.

La mayoría dice que hagáis un pentest barato rápido y ya, pero la cosa no es tan simple. Si el departamento de TI del cliente es corporativo, mirarán hasta el formato del informe y la acreditación de la empresa que hace la auditoría. Si les pones delante un informe de escaneo automático de 1.000 dólares contratado a toda prisa por internet, vas a generar desconfianza. No dañes tu imagen profesional por intentar recortar el alcance.

La cláusula del derecho de auditoría es una práctica común en los contratos corporativos. Sin embargo, los límites de este derecho deben estar bien definidos. Recomiendo redactar un protocolo adicional para que la auditoría solo se realice dentro del horario laboral habitual, no interrumpa los procesos operativos, sea llevada a cabo por una entidad independiente sujeta a un acuerdo de confidencialidad y se presupuesten los costes resultantes.

y durante esta auditoría, ¿tenemos que entregar nuestro código fuente al cliente o al tercero que realiza la prueba? en términos de propiedad intelectual ¿existe el riesgo de que se filtre nustro código o la prueba se hace solo desde el exterior del sistema?

correcto. la mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

si tenis dudas escribid os responderé en la medida de lo posible.

La discusión se ha dispersado voy a ordenarla. Una copia de seguridad no probada no es una copia de seguridad.

Comprobado por experiencia.

Me pasó lo mismo.

hay algo que no entindo luego que todo el mundo haga algo no significa que sea lo correcto.

eso es todo, disculpa si me he extendido demasiado.

Buen trabajo. en fin que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Han surgido tres opiniones distintas, todas se complementan. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Corrijanme si me equivoco.

Estoy de acuerdo.

Correcto.

El camino que parece barato suele salir caro a la larga. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Tema muy oportuno.