En la licitación pública piden prueba de penetración por circular, ¿qué debemos cumplir con nuestro tamaño?

Las comisiones de licitación son muy estrictas auditando la circular. Si en el informe no aparece el sello de la entidad homologada por TSE y el número de registro de los auditores, el expediente queda eliminado directamente en la evaluación técnica. No presente bajo ningún concepto el informe del freelancer.

El mes pasado pedimos cotización a tres empresas aprobadas por TSE para una licitación similar. Con un alcance de dos aplicaciones web y un servidor, los precios fueron 55.000 TL, 75.000 TL y 90.000 TL. Si faltan menos de 15 días para la licitación, las empresas pueden cobrar un recargo por urgencia.

Copie tal cual la cláusula de pentest del pliego y envíela a al menos dos empresas homologadas por TSE. Ellas le darán el formulario para definir el alcance. Si al llenarlo excluye módulos innecesarios, acorta la duración del test y reduce costos.

¿Su software se instalará en los servidores locales del centro de datos del organismo público o prestarán servicio en la nube? En instalaciones locales a veces basta con análisis de código fuente y prueba de aplicación, mientras que en hosting externo piden también prueba de infraestructura.

Hay muchos en el mercado que ponen el logo de TSE en su web pero en realidad subcontratan. Antes de firmar, compruebe usted mismo si la empresa está en la lista de entidades de pentest activas en la web de TSE, no le regale comisiones a intermediarios.

En nuestra primera licitación pública, como no conocíamos el procedimiento entregamos un informe de una empresa cualquiera de ciberseguridad. La comisión canceló nuestra oferta por falta de estándar en la documentación. Ni pudimos impugnar; perdimos los 30.000 TL pagados y 6 meses de preparación. En lo público hay que cumplir al pie de la letra lo que dice la norma.

El requisito de empresa aprobada por TSE es tajante; además, fíjese bien en que la fecha del test en el informe esté dentro del periodo de validez retroactivo de 6 o 12 meses indicado en el pliego.

Tiene razón. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Yo seguiría por ese camino.

Lo que voy a preguntar sonará un poco novato, perdonadme. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

También me gustaría saber si alguien lo hace de otra manera.

Tema muy oportuno. No confíes en una sola medida; ve capa por capa.

Si escribís el resultado aquí, también servirá de ayuda a otros.

os explico cómo se hace en la práctica... que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

esperro que le sea útil.

Tiene razón.

Llevé mucho tiempo con este asunto. Intentar hacerlo solo es la vía más cara.

Comprobado por experiencia.

de auerdo incluso me gustaría recalcarlo. ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde y en fin yo seguiría por ese camino.

Estoy de acuerdo.

No tengo ninguna experiencia en circular de prueba de penetración por eso pregunto. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Ánimo.

aquí hay una trampa, no puedo dejar de mencionarla.. pero en fin la respuesta varía mucho según el sector no hay una regla general.

espero que le sea útil.

Ha sido una buena idea abrir este hilo.