Al elegir una empresa de pruebas de penetración, ¿qué documento debo pedir? ¿Es obligatorio el certificado de autorización?

Más que el certificado de la empresa, fíjate en las certificaciones técnicas obtenidas mediante examen práctico del experto que hará la prueba. Los certificados de examen teórico se sacan fácilmente con los bancos de preguntas de internet. Los informes de ingenieros con certificaciones técnicas en las que se demuestra la competencia rompiendo máquinas en un laboratorio en 24 horas nunca son objeto de discusión en las auditorías.

Hace dos años hicimos una prueba con un equipo sin certificado por un presupuesto de 20.000 TL. En el informe que pasó la auditoría solo aparecían números de versión del servidor. En una auditoría de un gran cliente corporativo ese informe fue rechazado directamente. Después tuvimos que pagar 70.000 TL a una empresa aprobada por TSE y rehacer la prueba desde cero.

Al pedir presupuestos envíen a las empresas una lista estándar de cualificación. Antes del contrato soliciten estos tres documentos: 1) CV del personal que realizará la prueba y números de sus certificados de examen, 2) Un informe de prueba de ejemplo anonimizado, 3) Si la tienen, copia de la póliza de seguro de responsabilidad civil profesional. Descarten directamente a la empresa que no pueda proporcionar estas tres cosas.

El certificado TSE se lo dan a la empresa, pero pueden poner a un becario a hacer la prueba. En el mercado hay muchísimos sitios que presumen de bandera corporativa TSE y por detrás solo corren un escáner automático. Más que el sello de la empresa, hagan figurar en el contrato el nombre de la persona exacta que lanzará el ataque a sus direcciones IP.

La norma ISO 27001 exige una evaluación técnica independiente, pero no obliga a contar con un certificado específico de un organismo público. Sin embargo, para demostrar el cumplimiento de las medidas técnicas en el marco de la Guía de Seguridad de Datos de KVKK, el hecho de que el proveedor de pruebas posea personería jurídica y competencia demostrada constituye un fuerte indicio a favor de su empresa durante las auditorías.

el certificado de autorizacion por si solo no significa nada amigos luego bueno lo importante es currar con genet con experiencia que no te vaya a tirar el servicio en produccion. metan si o si una clausula de seguro profesional en el contrato.

Si el desarrollador sénior de nuestra empresa escanea el sistema con herramientas de seguridad de código abierto y saca un informe, ¿lo aceptarían si lo presentamos en la auditoría de certificación ISO 27001?

El que les pasa un presupuesto de 25.000 TL va a correr una herramienta automática de código abierto durante dos días y les va a plantar un reporte de 80 páginas en inglés. El que pide 85.000 TL va a usar la misma herramienta cambiándole el logo y le pondrá una portada con el logo de TSE. La única diferencia será la cara de disgusto del auditor al ver el primero.

A nosotros también nos pasa.

Soy una pequeña empresa, os lo cuento desde mi lado. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Yo seguiría por ese camino.

Perdona, pero esto no es válido en todos los casos. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Lo dejo como nota, por si sirve.

Tengo una pregunta, no quiero desviarme del tema, pero... La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Lo dejo como nota, por si sirve.

Correcto.

Tienes razón yo también pasé por lo mismo. la verdad la seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves. pues si escribís el resultado aquí también servirá de ayuda a otros.

este hilo es para archivar.

la discusión se ha dispersado, voy a ordenarla. la mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

también me gustaría saber si alguien lo hace de otra manera.

Después de vivir eso, mi perspectiva cambió. pues la mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Eso es todo disculpa si me he extendido demasiado.

Resumen breve para nuevos usuarios: Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.