Un cliente importante pide un test de penetración antes de firmar, ¿cómo definimos el alcance?

Los auditores corporativos ven a la legua los informes sacados de herramientas automáticas. Si al principio del informe no hay un resumen ejecutivo, referencia a la metodología y una fecha de cierre que certifique cómo se corrigieron las vulnerabilidades, el cliente no lo aceptará. No te la juegues a perder el cliente por ahorrarte cuatro duros.

Pídele a tu cliente una copia por escrito del pliego de condiciones o requisitos que exige. En la mayoría de corporaciones, los requisitos de seguridad están fijados en una lista de control estándar. Conseguir ese documento y pasárselo a las empresas de ciberseguridad a las que pidas presupuesto te evitará gastos fuera de alcance.

Para dejar claro el alcance, debes darles estos tres parámetros a las empresas: 1) Número de roles de usuario en el sistema (admin, distribuidor, usuario estándar). 2) Cantidad de endpoints de la API expuestos al exterior. 3) Si la prueba se hará en producción o en un entorno de staging idéntico.

Nosotros somos un equipo de 18 personas en Valencia. Un cliente similar nos aceptó un test que hicimos con un presupuesto de unos 4.000 euros. La prueba duró 4 días y en el informe salieron 2 fallos de nivel alto. Nuestro equipo los arregló en 10 días y la empresa emitió el informe de reevaluación gratis. El cliente firmó el contrato dos días después.

Los que os piden 8.500 euros probablemente hayan metido en el saco toda vuestra arquitectura en la nube y la red de la oficina. ¿Para qué vas a auditar la red de la oficina si ahí no están los datos del cliente? El test debe limitarse estrictamente al flujo de datos que cubre el contrato comercial.

Ni se os ocurra hacer la prueba sobre la base de datos de producción. Montad un entorno de pruebas idéntico a producción pero cargado con datos falsos. Durante las pruebas de seguridad se pueden dar bloqueos en la base de datos o borrados inesperados, no pongáis en riesgo vuestra operativa real.

huye de los q dicen q lo terminan en dos días en mi opinión... pasan un escáner automático y te dan un pdf. bueno el cliente corporativo se da cuenta al momento y te hace repetirlo.

edit: arriba escribí mal, disculpad.

Un contrato anual de 65.000 euros está genial ¡enhorabuena! Invertir entre 3.000 y 4.000 euros en seguridad para un proyecto de esta escala es totalmente normal. Es más, una vez tengáis ese informe, podéis usarlo como factor de confianza ante otros potenciales clientes corporativos.

Esto también tiene su parte de medición. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Ánimo.

Exacto y encima no es tan conocido. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Lo importante no es la cifra sino en qué se basa esa cifra.

Yo también tengo curiosidad.

Este hilo es para archivar.

Separemos los conceptos, se están confundiendo. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar.

buen trabajo. todo lo que no está por escrito ambas partes lo recordarán de forma dsitinta en el futuro.

espeero que le sea útil.

En su momento, nosotros también nos atascamos ahí. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Quisiera hacer una pregunta. Si regañas las falsas alarmas, nadie volverá a reportar.

Espero que le sea útil.

A mí me pasó justo al revés por eso escribo. Intentar hacerlo solo es la vía más cara.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto. Lo dejo como nota, por si sirve.

Voy a detallar un poco el aspecto técnico. Si no lo pones por escrito desde el principio, luego surgen discusiones.