Nos llegó el informe del pentest pero no lo entendemos: ¿qué explica y qué debemos mirar?

La defensa de "el sistema funciona" que da tu técnico de sistemas es engañosa. Que una aplicación web funcione y que sea segura son dos cosas totalmente distintas. Por ejemplo, si hay un fallo de SQL injection, el sistema seguirá recibiendo pedidos perfectamente, pero un atacante podría extraer toda la base de datos de clientes y saldos con una sola consulta en la URL. Tienen que mirar sí o sí las evidencias del informe.

es la típica respuesta del de sistemas pa no trabajar dice q exageran y listo. lo q tiene q hacer el jefe es pasar las filas de 'crítico' y 'alto' a un excel, poner una fecha límite y hacérselo firmar al responsable pero lo demás es perder el tiempo.

edit: escrito desde el móvil, perdonad las erratas.

Llamen a la empresa de ciberseguridad que hizo la prueba y soliciten una reunión de cierre de informe de una hora, si entra en el contrato. Metan también al técnico de IT y pregunten directamente al auditor: "¿Se puede tumbar nuestra web B2B o robar datos de clientes usando este fallo?". Ahí se acaba el debate.

A veces las empresas de seguridad se limitan a copiar el resultado crudo de herramientas de escaneo automático y te lo entregan como un informe de 40 páginas. En estos casos se generan falsos positivos. Puede que la queja de tu técnico venga por ahí. Revisa si en el informe hay pruebas reales de explotación manual detrás de cada hallazgo.

Pasos para actuar con el informe: 1) Fijar un calendario urgente de 7 días para los parches críticos. 2) Probar los cambios en un entorno de pruebas, no en producción, para no romper el flujo de pedidos. 3) Usar el derecho de retest gratuito si lo tienen por contrato para cerrar las vulnerabilidades.

Tras años gestionando auditorías puedo decir esto: el informe es el diagnóstico, pero la responsabilidad real es aplicar el tratamiento. Una sola persona de IT puede verse sobrepasada llevando la operativa y a la vez cerrando vulnerabilidades web complejas. Si hace falta, pongan un apoyo externo de la agencia que desarrolló la web para ayudar a su técnico.

¿Hay que volver a pagarles desdde cero a la empresa de ciberseguridad por la prueba de verificación que comentan? en nuestra propuesta no vi ningún punto sobre el retest, ¿suele entrar en el precio en la práctica habitual?

Estoy de acuerdo. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si escribís el resultado aquí, también servirá de ayuda a otros.

¿Y cómo resolvieron esto? Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Lo dejo como nota, por si sirve.

La respuesta de arriba ha dado en el clavo. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Han surgido tres opiniones distintas, todas se complementan. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves. Por supuesto, cambia si tu situación es diferente.

Tiene razón.

Totalmente. Si tuviera que añadir algo más: Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Si escribís el resultado aquí, también servirá de ayuda a otros.

El camino que parece barato suele salir caro a la larga. pues la mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Por supuesto, cambia si tu situación es diferente.

Me pasó lo mismo.

La discusión se ha dispersado, voy a ordenarla. Todos los que se apresuran con que es un informe de pentest se atascan en el mismo punto.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. Eso es todo, disculpa si me he extendido demasiado.

Tiene razón. Si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola.

Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después. Espero que le sea útil.

Si vas por ahí, resuelve esto desde el principio. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Yo seguiría por ese camino.