Me dijeron "pentest/prueba de intrusión" — ¿qué significa y de verdad hace falta pa una pyme como la nuestra?

Con un contrato anual de 1.800.000 TL sobre la mesa, no veas la prueba de intrusión de 35.000 TL como un gasto. Los equipos de auditoría de los grandes clientes jamás firman un contrato sin este informe. Si no lo haces, se levantan de la mesa y el acuerdo se va directo a un competidor tuyo q sí cumpla esta condición.

Al pedir presupuesto, define bien el alcance (scope). Pa bajar el precio, incluye en el alcance solo el dominio del portal web donde entran los distribuidores y los endpoints de la API; deja fuera tu red de oficina o los servidores de correo de la empresa. La prueba debe hacerse sí o sí con método 'caja gris' (gray box), dándoles una cuenta de usuario distribuidor.

El año pasado nosotros tb pagamos 40.000 TL pa poder trabajar con una cadena de supermercados. Durante la prueba salió q en nuestro portal un distribuidor podía descargar el historial de pedidos de otro con un solo parámetro. Menos mal q lo hicimos; la pérdida de reputación comercial con nuestros distribuidores ante una posible fuga de datos habría sido muchísimo mayor q ese dinero.

Cosas a tener en cuenta al acordar con la empresa: 1) Haz q se escriba en el contrato q el experto q dará el servicio tiene certificaciones válidas de ciberseguridad (TSE o equivalentes internacionales). 2) Pide q la prueba se haga fuera del horario laboral o en un servidor de respaldo pa q no bloquee la base de datos. 3) Confirma q la prueba de verificación q se hará después de cerrar las vulnerabilidades está incluida en el precio.

En el mercado hay muchas empresas q ejecutan un software automático y venden la salida de 15 páginas en inglés como si fuera un informe. Si pagas 35.000 TL y solo recibes la salida de un escáner estándar, el equipo de seguridad de la información de la otra parte te devuelve ese informe al instante. Pregunta claramente a la empresa q te da presupuesto cuántas horas de pruebas manuales de lógica van a hacer.

no mandes al clente el primer informe q salga ni de coña. en el primer informe van a salir fijo vulnerabilidades críticas en rojo. tu programador cerrará esas vulnerabilidades, la empresa de seguridad lo revisará otra vez y cuando dé el visto bueno le darás al cliente el resumen ejecutivo limpio q salga.

Q las empresas corporativas exijan una auditoría de seguridad independiente en la selección de proveedores es obligatorio conforme al KVKK y a las normas de gestión de seguridad de la información. El coste de la prueba solicitada es una garantía operativa razonable frente a las posibles sanciones administrativas y los riesgos de indemnización comercial q podrían surgir de una eventual brecha de datos.

A la empresa q dio el presupuesto de 35.000 TL, mándale el alcance por escrito y cierra el contrato con el re-test incluido. A tu cliente tb escríbele ya un comunicado oficial y dile 'La prueba de intrusión está planificada y nuestro informe se les remitirá en 10 días'. Así el calendario del contrato por parte del cliente sigue sin retrasarse.

Soy una pequeña empresa, os lo cuento desde mi lado... La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Buen trabajo.

Aquí hay una trampa, no puedo dejar de mencionarla. No confíes en una sola medida; ve capa por capa.

Después de vivir eso, mi perspectiva cambió. El tiempo que tardas en detectar un problema determina directamente su coste.

El error cometido por qué es un pentest prueba de intrusión suele ser reversible, pero caro.

Yo no me apresuraría. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Corrijanme si me equivoco.

Tienes razón, yo también pasé por lo mismo. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Lo que se dice aquí es exactamente lo que nos pasó. El error cometido por qué es un pentest prueba de intrusión suele ser reversible, pero caro.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

yo también pienso lo mismo. o sea si no lo pones por escrito desde el principio luego surgen discusiones.

por supuesto, cambia si tu situación es diferente.

Le agradecería que compartiera el resultado. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

exacto, y encima no es tan conocido. que todo el mundo haga algo no significa que sea lo correcto.