Una empresa nos presupuestó un escaneo de vulnerabilidades y otra un test de penetración, ¿cuál es la diferencia y cuál necesitamos?

Piénsenlo así: el escaneo de vulnerabilidades es un robot que pasa por fuera del edificio y mira de lejos con prismáticos si las ventanas están abiertas. A veces confunde un reflejo con un cristal abierto. El test de penetración es un cerrajero experto intentando colarse de verdad en el edificio. Los clientes corporativos siempre quieren ver el informe del cerrajero.

Nosotros cometimos ese mismo error hace dos años. Para una venta de 50.000 dólares mandamos el informe de un escaneo automático de 1.200 dólares. El director de seguridad del cliente lo rechazó en 10 minutos diciendo 'esto no es un pentest, es la salida de un escáner estándar' y congeló el proceso dos meses. Al final tuvimos que encargar la auditoría completa por fuerza y pagar 6.000 dólares.

Miren exactamente qué pone en el cuestionario de seguridad (security questionnaire) del cliente. Si pone 'penetration test report performed by an independent third party', descarten directamente la oferta de 1.500 dólares. Presentarles un escaneo de vulnerabilidades va a ser perder el tiempo.

La empresa que les cobra 1.500 dólares por ese escaneo seguramente solo le va a pasar una herramienta de código abierto a su servidor y le va a estampar su logo al PDF que salga. Eso lo pueden hacer ustedes mismos en dos horas, no paguen ese dinero ni locos.

En la gestión de riesgos corporativos, las evaluaciones de proveedores se rigen por normas muy estrictas. Como su software de RR. HH. va a albergar datos de carácter personal de los empleados del cliente, los equipos de cumplimiento legal solo aceptarán como evidencia de auditoría válida el resumen ejecutivo y el informe de remediación que únicamente un test de penetración manual puede ofrecer.

negocia con la empresa de 6.500 dólares te lo bjan a unos 5.500. pero sin duda coge el test de penetración el otro queda muy amateur delante del cliente.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Cuando hables con la segunda empresa, haz q añadan sí o sí la cláusula de re-test al contrato. Cuando acabe el test te darán la lista de vulnerabilidades, tú las cierras y recibirás un informe final limpio. El documento q de verdad tienes q presentar al cliente es ese informe limpio.

En este punto no estoy de acuerdo con ustedes. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Lo dejo como nota por si sirve.

esty de acuerdo.

Estoy de acuerdo a medias, en parte no. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Por supuesto, cambia si tu situación es diferente.

No tengo ninguna experiencia en escaneo de vulnerabilidades test de penetracion, por eso pregunto. Todos los que se apresuran con escaneo de vulnerabilidades test de penetracion se atascan en el mismo punto.

Yo seguiría por ese camino.

Este enfoque tiene un coste, y no se habla de ello. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

¿Podría ampliar un poco esto? Lo importante no es la cifra sino en qué se basa esa cifra.

Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves. Corrijanme si me equivoco.

Creo que es difícil hablar con tanta claridad sobre escaneo de vulnerabilidades test de penetracion. Si decidimos sin medir, siempre acabamos en el mismo punto.

Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde. Yo seguiría por ese camino.

Gracias, esa era la respuesta que buscaba. El tiempo que tardas en detectar un problema determina directamente su coste.

Eso es todo, disculpa si me he extendido demasiado.

Gracias por escribir.

Soy una pequeña empresa os lo cuento desde mi lado. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Ánimo.

Estoy de acuerdo.