Me quieren vender un "servicio de pentest" — ¿qué es esto y hace falta para nuestro tamaño?

No te dejes llevar de entrada por las tácticas de meter miedo de los vendedores. Un pentest es una auditoría súper útil, pero la mayoría de las empresas que usan ese discurso de 'si no lo compras ya te vas a la quiebra' no hacen un trabajo de calidad. Primero define qué necesitas tú y no te entregues a sus paquetes.

Hay que entender bien la diferencia entre un escaneo automático y un pentest. La herramienta automática busca fallos conocidos pero no detecta errores de lógica. Por ejemplo, la vulnerabilidad de cambiar el código de pedido de 105 a 106 para ver la factura de otro solo la detecta un especialista haciendo pruebas manuales.

El año pasado pagamos 40.000 TL por algo similar para nuestro panel de pedidos. El test arrojó 2 fallas críticas de autorización. Nuestro desarrollador las corrigió en dos días. Si nos agarraban con esos huecos, la competencia podría haber descargado la lista de precios especiales de otros clientes. Valió totalmente la pena.

a nosotros tmb nos mandaron un mail parecido no aceptamos y despues le pedimos a nuestro programador q haga un escaneo basico con herramientas open source tiramos con eso x ahora pero si hay presupuesto obvio q conviene hacerlo con un experto.

Fíjese en las referencias de la empresa que le pide 60.000 TL. Muchas agencias ejecutan herramientas gratuitas bajadas de internet durante dos horas y le entregan un informe genérico de 80 páginas. Si el informe no contiene un análisis concreto sobre el código o el flujo de trabajo de su sitio, estará tirando el dinero.

Al evaluar la propuesta, aclare estos tres puntos: 1) ¿La prueba se realizará con el método de caja gris, es decir, se les proporcionará una cuenta de usuario para el test? 2) ¿Existe riesgo de caídas o interrupciones del sitio durante la prueba? 3) ¿El informe resultante tiene carácter de documento de auditoría independiente válido para procesos de la Türk Ticaret Kanunu o la KVKK?

No firme el contrato de inmediato. Solicite una reunión de alcance a al menos dos empresas de ciberseguridad diferentes. Proporcióneles dos cuentas de prueba de distribuidor y pida presupuesto solo para el panel B2B, dejando la infraestructura del servidor aparte.

¿Puedo preguntar una cosa? Mientras se hace esta prueba ¿nuestro sistema de pedidos se cae por un tiempo o los distribuidores pueden seguir haciendo pedidos por detrás?

Me pasó lo mismo. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Si no me equivoco, quieres decir esto: Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si escribís el resultado aquí, también servirá de ayuda a otros.

El punto que más se pasa por alto sobre qué es el servicio de pentest es este: Lo importante no es la cifra, sino en qué se basa esa cifra.

Si tenéis dudas escribid os responderé en la medida de lo posible.

¿Podría ampliar un poco esto? Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Yo seguiría por ese camino.

Gracias por escribir esto, es lo correcto. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

El año pasado nos pasó casi exactamente lo mismo. Que todo el mundo haga algo no significa que sea lo correcto.

Espero que le sea útil.

Dejo una advertencia. Si decidimos sin medir, siempre acabamos en el mismo punto.

Yo seguiría por ese camino.

Estoy siguiendo esto.

Lo que voy a preguntar sonará un poco novato perdonadme. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si intentas cambiarlo todo a la vez, nada termina de asentarse.