Nos piden un pentest para una licitación: ¿qué es exactamente y cuándo vale la pena?

Mirad el tipo de test que pide el pliego. El black-box se hace sin dar información del sistema, mientras que en el grey-box os piden dar credenciales de usuario para auditar la interfaz y los permisos. Los ayuntamientos suelen pedir grey-box.

El año pasado en Madrid pagamos 5.200 EUR por un test para un proyecto parecido. Encontraron dos fallos críticos de elevación de privilegios en nuestro código; alguien desde fuera podía ver documentos de otros usuarios. Ganamos la licitación, pero sobre todo nos libramos de un escándalo de datos enorme.

Hay sitios por ahí que te cobran 1.500 EUR por pasar una herramienta automática de código abierto y adornar el PDF con IA. En la administración pública descartan esos informes superficiales al momento y tiráis el dinero.

Delimiten bien el alcance (scope) al pedir presupuestos. Pidan precio solo para el módulo y servidor de la licitación. Si meten toda la red de la empresa el coste se dispara y gastan presupuesto a lo tonto.

El proceso suele tener tres fases: 1) Definición del alcance y contrato. 2) Simulación de ataque e informe de vulnerabilidades. 3) Test de verificación tras corregir los fallos. Las instituciones quieren ver las vulnerabilidades cerradas en el informe final.

si vas a hacer negocios con el sector público esto ya se ha convertido en el procedimiento estándar, lamentablemente. te diría que no lo veas como un gasto único sino como un coste de control de calidad del producto.

¿Al hacer este test trabajan en un entorno de pruebas o atacan al servidor en producción? la verdad ¿Existe el riesgo de que el sistema se caiga o se corrompan los datos de los clientes durante la prueba?

Entiendo perfectamente que el presupuesto parezca alto al principio. Pero al vender software al sector público, este tipo de documentos de seguridad independientes te dan muchísimo poder en la negociación, casi tanto como las referencias de otros clientes, no te eches atrás.

Creo que es difícil hablar con tanta claridad sobre que es pentest. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Este hilo es para archivar.

¿Y cómo resolvieron esto? Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Buen trabajo. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla. Lo dejo como nota, por si sirve.

Después de vivir eso, mi perspectiva cambió. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Ánimo.

Correcto.

Estoy en la misma situación, por eso pregunto. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si escribís el resultado aquí, también servirá de ayuda a otros.

yo también pienso lo mismo y todo lo que no está por escrito ambas partes lo recordarán de forma distinta en el futuro.

si el permiso y el alcance no están por esscrito que no empiece la prueba pero lo dejo como nota por si sirve.

A mí me pasó justo al revés, por eso escribo. Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla. pues comprobado por experiencia.

Tema muy oportuno.