El escaneo de vulnerabilidades aparece en la oferta pero no entiendo: ¿qué es y alcanza o es sí o sí necesario un pentest?

Piensa el escaneo así: que un guardia de seguridad camine alrededor del edificio y revise desde afuera si las puertas y ventanas están con candado es un escaneo de vulnerabilidades. El pentest es que intente entrar por la ventana sin traba y abrir la caja fuerte del escritorio. El escaneo de la propuesta seguro revisa puertos y servicios contra una base de datos ya existente.

Nosotros el año pasado pagamos 1.100 EUR para hacer un escaneo de vulnerabilidades en nuestro sitio de distribución mayorista en Roma. En el primer informe salieron 34 fallas, 6 de ellas críticas y venían de un plugin del servidor que había quedado viejo. Hicimos las actualizaciones y al trimestre siguiente las críticas bajaron a cero. A nosotros nos sirvió muchísimo.

Antes de aceptar la propuesta pregúntale esto a la empresa: '¿El informe del escaneo me lo van a mandar como un PDF pelado o incluye una hora de consultoría para sentarnos con nuestro responsable de TI y priorizar las fallas a cerrar?' Si solo van a mandar un reporte automático e irse, no tires la plata.

Los escaneos automáticos generan muchísimos 'falsos positivos'. Pueden marcar una configuración menor de encabezado como alto riesgo aunque no genere ningún peligro. Si en tu equipo no hay alguien que lea ese reporte y filtre qué es real y qué no importa, el informe te va a quedar de adorno.

para mi si no guardan datos de tarjetas en el portal el penttest x ahora es gasto al pedo.. pero en fin hacer escaneos seguidos y no colgar con las actualizaciones del server ya salva al 90% de las pymes.

De acuerdo con las normativas de protección de datos de Italia y la Unión Europea, usted tiene la obligación de tomar medidas técnicas para garantizar la seguridad de los datos comerciales de sus clientes. Realizar escaneos periódicos de vulnerabilidades y archivar los informes constituye un respaldo oficial válido que demuestra su esfuerzo proactivo de seguridad ante una eventual auditoría de datos.

¿Los planos técnicos alojados en el portal son suyos o son diseños exclusivos de los clientes? Si custodian diseños registrados con carácter de secreto comercial de sus clientes, alguno de ellos podría exigir un test de penetración anual por contrato, ¿revisaron sus contratos?

No hay por qué complicarse la vida elijan el paquete de 1.200 EUR sin sacudir el presupuesto pero dejen bien en claro con el mismo equipo el tema de cerrar las fallas del informe. Que el primer año emprolijen el sistema y si el año que viene crece el negocio ven lo del pentest.

Este hilo es para archivar.

a nosotros también nos pasa.

El año pasado nos pasó casi exactamente lo mismo. Si el permiso y el alcance no están por escrito que no empiece la prueba.

Si escribís el resultado aquí, también servirá de ayuda a otros.

¿Creen que esto funciona a cualquier escala? Todos los que se apresuran con qué es el escaneo de vulnerabilidades se atascan en el mismo punto.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Correcto.

Han surgido tres opiniones distintas, todas se complementan. No confíes en una sola medida; ve capa por capa.

Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Si escribís el resultado aquí, también servirá de ayuda a otros.

En este punto no estoy de acuerdo con ustedes. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Ánimo.

Rara vez se encuentra un texto que lo explique tan claro.

perdona pero esto no es válido en todos los casos luego el error cometido por qué es el escaneo de vulnerabilidades suele ser reversible pero caro.

esta es mi opinión, no lo escribo como una verdad absoluta.