Tenemos dos propuestas: un pentest normal y un ejercicio de red team por el triple de precio. ¿Vale la pena la diferencia?

El objetivo del red team no es solo entrar, sino medir la capacidad de detección del blue team (defensa). Si en tu red no centralizas logs con un SIEM o EDR, el ejercicio pierde el sentido. Ahora mismo un pentest te da resultados mucho más concretos para cerrar fallos a nivel de código.

hace dos años nos motivamos y contratamos red team. los tíos le mandaron un mail falso de un paquete al becario de la empresa entraron y nos dejaron un informe de 40 páginas. sentimos q tiramos 50 mil sar a la basura primero había q tapar las vulnerabilidades básicas.

En una plataforma con 300 mayoristas, un pentest estándar suele sacar entre 8 y 12 vulnerabilidades medias y altas. En nuestra prueba de unos 25.000 SAR detectamos 3 fallos críticos de escalada de privilegios y los parcheamos en dos semanas. El dinero del red team lo invertimos en infraestructura.

La decisión es muy sencilla: elija el pentest de 25.000 SAR y añada un software de concienciación y simulación de phishing anual para empleados de entre 5.000 y 10.000 SAR. Así probará internamente la ingeniería social que intentaría el red team por mucho menos dinero.

Las empresas usan la etiqueta de 'red team' como argumento de marketing postureo para multiplicar el precio. De las 4 semanas que dicen, 3 son espera pasiva y reconocimiento. Para una pyme suele ser un gasto de puro lujo.

Si tu equipo es de 15 personas un ejercicio de red team genera una paranoia innecesaria en la oficina todo el mundo sospecha de todos. Primero asegura tu código y tu servidor. No tiene sentido probar el sensor del jardín trasero si la puerta de casa está sin cerrojo.

Pagar 75.000 SAR a un ladrón para ver "a ver si puedes colarte" cuando ni tienes alarma ni guardia de seguridad es una gestión de presupuesto brillante, sí. Es una pena tirar ese dinero para ver cómo entran encontrándose la puerta abierta.

¿Pero en los contratos que tienen con sus clientes B2B o en las integraciones de pasarelas de pago a las que están sujetos hay alguna cláusula específica que exija 'ejercicio de red team obligatorio' o solo les piden un informe general de auditoría?

¿Y cómo resolvieron esto? Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Todos los que se apresuran con red team ciberseguridad se atascan en el mismo punto. Por supuesto, cambia si tu situación es diferente.

Rara vez se encuentra un texto que lo explique tan claro.

le agradecería que compartiera el resultado.

Yo también pienso lo mismo. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

También me gustaría saber si alguien lo hace de otra manera.

Guardado.

El punto que más se pasa por alto sobre red team ciberseguridad es este: Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Corrijanme si me equivoco.

Dejo una advertencia. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Que todo el mundo haga algo no significa que sea lo correcto.

Han surgido tres opiniones distintas, todas se complementan. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Tiene razón. La respuesta varía mucho según el sector, no hay una regla general.

Corrijanme si me equivoco.

De acuerdo incluso me gustaría recalcarlo. Si el camino de la notificación es largo la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Si tenéis dudas escribid, os responderé en la medida de lo posible.