¿Debemos pedir un informe de muestra al solicitar presupuesto de pentest y qué debería contener?

Esconderse tras un acuerdo de confidencialidad es la excusa más común de los que trabajan mal. Cualquier empresa seria tiene en su archivo una plantilla genérica o anonimizada lista para enviar.

Tampoco se confíen solo porque el informe tenga 50 páginas. Miren bien: si hay páginas y páginas de definiciones genéricas de internet y vulnerabilidades de bajo riesgo, también puede ser la salida de un escáner automático.

El año pasado pagamos 40.000 TL por nuestro primer pentest y 50 de las 60 páginas eran notas genéricas de internet. Reclamamos, pero como el alcance no estaba claro en el contrato, tuvimos que pagar igual.

una vez que vemos los hallazgos en el informe ¿cuánto tarda el equipo de dev en arreglarlos? ¿cobran aprte por la reevaluación?

El informe debe incluir sí o sí: 1) Lista de áreas excluidas del alcance, 2) Lógica de puntuación CVSS, 3) Cronograma y condiciones del re-test.

Cuando sus clientes corporativos los auditen, no solo mirarán si existe el informe, sino las acreditaciones y certificaciones vigentes de la empresa y los auditores. Agréguenlo al pliego.

La empresa que no da muestra seguro le da a "iniciar escaneo" y al día siguiente exporta el PDF... bueno ni se arriesguen no dejen su trabajo al azar.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así. Lo importante no es la cifra, sino en qué se basa esa cifra.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Espero que le sea útil.

Lo escribo para que no cometan el mismo error. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Espero que le sea útil.

Buen trabajo... Que todo el mundo haga algo no significa que sea lo correcto.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Estoy de acuerdo. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Yo seguiría por ese camino.

Tiene razón.

de acuerdo, incluso me gustaría recalcarlo luego bueno las decisiones apresuradas son las que hay que corregir seis meses después.

si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulaada luego espero que le sea útil.

Permíteme resumir lo que se ha dicho hasta ahora. No confíes en una sola medida; ve capa por capa.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Sí, la situación con ejemplo de informe de prueba de penetración es exactamente así. Una copia de seguridad no probada no es una copia de seguridad.

Esta es mi opinión, no lo escribo como una verdad absoluta.

A nosotros nos pasó esto. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Tienes razón, yo también pasé por lo mismo. Antes de decidir, mirad qué datos tenéis en la mano.

Espero que le sea útil.