Exportamos el informe de prueba de penetración a PDF con tablas técnicas, ¿cómo lo convertimos en una lista de tareas de corrección?

No te asustes por el grosor del documento. De las 75 páginas, al menos 50 son salidas de escáneres automáticos estándar y textos descriptivos genéricos copiados y pegados. Las empresas de auditoría muestran la misma advertencia de cabecera de seguridad en 50 páginas distintas como si fueran hallazgos separados para engordar la factura y parecer más corporativos.

Nosotros recibimos 42 hallazgos en un informe similar. Casi paramos todo el sprint en pánico, pero tras revisarlo a fondo vimos que 28 de los 42 puntos eran solo informativos y falta de cabeceras de bajo nivel. Solo había dos errores de lógica de autorización que realmente amenazaban la seguridad de los datos, y los solucionamos en tres días.

Organiza inmediatamente una reunión de 45 minutos para el cierre del informe con la empresa examinadora. Seguro que tienes ese derecho en tu contrato. Comparte pantalla y repasa los hallazgos altos en vivo junto a tus desarrolladores para que lo escuchen directamente de ellos; que tus programadores pregunten de forma directa cómo activaron esa vulnerabilidad.

La puntuación base de CVSS no siempre refleja el riesgo real. Por ejemplo, un hallazgo que requiere que el atacante ya esté autenticado como usuario autorizado puede dar una nota similar a una ejecución remota de código que no requiere autenticación. Da prioridad absoluta a las vulnerabilidades que se puedan explotar desde el exterior sin necesidad de ninguna contraseña.

a nuesro equipo tmb le paso esto copiamos la tabla del pdf a un excel y le agregamos columnas de estado, nombre del dev y esfuerzo estimado. fuimos cerrando una a una y pedimos retest a la empresa en 2 semanas listo.

Lo único que le importa a los auditores del grupo hospitalario con el que vas a firmar no es que todos los hallazgos estén a cero. Presentar un plan de remediación oficial que demuestre que las vulnerabilidades críticas se han solucionado y que los riesgos bajos están asignados a un calendario de corrección razonable suele ser suficiente para la aprobación corporativa.

La primera vez que recibimos un informe de pentest todos nos sentimos súper incompetentes; te entra la paranoia de que todo el código que escribiste está lleno de agujeros. Pero con el tiempo aprendes que, por la propia naturaleza del pentest, los expertos están obligados a poner en el informe hasta el más mínimo detalle de configuración. No desanimes a tu equipo verás que la mayoría de los puntos son ajustes de diez minutos en el servidor.

Quisiera hacer una pregunta. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Si no lo pones por escrito desde el principio, luego surgen discusiones.

Han surgido tres opiniones distintas, todas se complementan. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Yo seguiría por ese camino.

Yo no me apresuraría. Lo importante no es la cifra sino en qué se basa esa cifra.

Yo seguiría por ese camino.

Esto también tiene su parte de medición. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Yo no me apresuraría. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Eso es todo, disculpa si me he extendido demasiado.

Permíteme resumir lo que se ha dicho hasta ahora. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. Eso es todo, disculpa si me he extendido demasiado.

Os cuento lo que me pasó a mí a ver si os sirve de ayuda. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Corrijanme si me equivoco.

en este punto no estoy de acuerdo con ustedes... si intentas cambiarlo todo a la vez, nada termina de asentarse.

esta es mi opinión no lo escribo como una verdad absoluta.

Correcto.

Creo que es difícil hablar con tanta claridad sobre informe de prueba de penetración. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Ánimo.

A nosotros también nos pasa. pues intentar hacerlo solo es la vía más cara.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. Esta es mi opinión, no lo escribo como una verdad absoluta.