Somos una pyme, ¿el test de intrusión es obligatorio por ley o voluntario?

Si el contrato del cliente está sobre la mesa da igual lo que diga la ley sin ese informe no cierras el acuerdo. Pide presupuesto aclarando que solo auditen la IP externa y la app web. Si dejas fuera la red interna por ahora, puedes bajar esa cifra de 65.000 TL a unos 35.000-40.000 TL fácilmente.

El año pasado pasamos por un proceso similar con nuestro equipo de 30 personas. Por exigencias del pliego del cliente, no nos quedó otra que pagar 50.000 TL y hacerlo. Durante el test vimos que el puerto de nuestra base de datos estaba abierto hacia afuera sin autorización y que un endpoint de una API antigua funcionaba sin autenticación. Al principio decíamos que era un gasto innecesario, pero la pérdida de reputación que habríamos sufrido por esas vulnerabilidades habría costado muchísimo más que ese dinero.

En el mercado han salido cientos de intermediarios que te pasan un software de escaneo automático por 15.000 TL y te tiran a la mesa un informe de 80 páginas. Si el equipo de seguridad de la información de tu cliente corporativo entiende un poco, tira ese informe a la basura al instante y tiras la plata. Asegúrate sí o sí de que el servicio que contrates incluya verificación manual y pentesting basado en escenarios.

Puede evaluar el tema bajo cuatro marcos fundamentales: 1) Si no hay una obligación sectorial directa, no se genera una obligación legal. 2) Al considerarse una medida técnica en el ámbito de KVKK, no haber realizado la prueba se considera una falta ante una eventual fuga de datos. 3) Los clientes corporativos con certificación ISO 27001 pueden incluir esta condición en el contrato. 4) Si desea contratar un seguro de ciberresponsabilidad, se lo exigirán como condición de la póliza.

por cierto cuando salga el informe no se lo mandes entero al cliente. pídele a la empresa de seguridad un resumen ejecutivo (executive summary). darle al cliente el detallle técnico con todas las fallas y los pasos de explotación genera otros riesgos de seguridad.

En los procesos de auditoría de proveedores, usted está sujeto a la matriz de riesgos de la otra parte. Firmar un acuerdo de confidencialidad antes del contrato y solicitar un documento de validación de alcance que especifique que los hallazgos de la auditoría se limitarán únicamente al alcance determinado protegerá sus derechos.

¿Tu cliente exigió el estándar TSE o alguna certificación específica en el informe? Si con un informe independiente de un tercero alcanza, podés limitar el alcance al panel web y bajar costos, ¿leíste bien el pliego?

Al principio a todos les parece un gasto absurdo pero es el paso por el que tiene que pasar cualquier desarrollador B2B que quiera crecer. Una vez que lo haces y aprendes la metodología, en los años siguientes el proceso avanza mucho más rápido y sin estrés, no te asustes.

Lo que se dice aquí es exactamente lo que nos pasó. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Por supuesto, cambia si tu situación es diferente.

Esto también tiene su parte de medición. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Tema muy oportuno. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Si escribís el resultado aquí, también servirá de ayuda a otros.

guardado. tomar notas druante dos semanas da mejores resultados que estimar seis meses.

si tenéis dudas, escribid, os responderé en la medida de lo posible.

Exactamente así. Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

También me gustaría saber si alguien lo hace de otra manera.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. El error cometido por test de intrusion pyme obligatorio suele ser reversible pero caro.

Después de vivir eso, mi perspectiva cambió. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Eso es todo, disculpa si me he extendido demasiado.

Hay tres cosas que revisar al hacer esto. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

Yo también tengo curiosidad.

Si no me equivoco, quieres decir esto: El tiempo que tardas en detectar un problema determina directamente su coste.

Corrijanme si me equivoco.