Nos han dicho q hagamos una prueba de penetración — explicadlo en lenguaje sencillo, ¿de verdad es necesaria?

Imaginaoslo así: el escaneo automático es un vigilante q mira la marca de las cerraduras del edificio y comprueba si tienen algún defecto conocido. La prueba de penetración es un intruso profesional q intenta entrar en el edificio como un ladrón, fuerza las ventanas, prueba la escalera de incendios. Los clientes corporativos quieren ver si la puerta de verdad se abre o no.

Para un contrato B2B similar el año pasado pagamos 4.500 dólares y lo hicimos. Al principio parecía muy innecesario pero en el informe salió una vulnerabilidad muy crítica q permitía acceso no autorizado a la base de datos de clientes. Gracias al resumen ejecutivo q presentamos al cliente cerramos sin problemas un contrato de 60.000 dólares, salió muchísimo más rentable de lo q costó.

Vayan de inmediato con su cliente y háganle esta pregunta: "¿Tienen algún estándar o alcance específico en mente para el informe?". A veces los clientes solo quieren un escaneo de IPs externas, mientras que otras esperan un pentest completo de la aplicación. Si logran acotar el alcance, ese presupuesto de 8.000 dólares podría bajar fácilmente a unos 3.000 dólares.

En el mercado hay muchísimos sitios que por 1.000 dólares te pasan una herramienta automática y te venden un reporte confuso de 80 páginas como si fuera un "pentest". Los equipos corporativos de ciberseguridad detectan estos informes falsos a primera vista y perderán toda la confianza. El servicio que contraten debe incluir validación manual sí o sí.

Es la regla de oro del mundo corporativo: les encanta trasladar sus propios riesgos a los proveedores pequeños. Si ahora no pagan 4.000 dólares por el informe, le darán el contrato a otro proveedor y luego ni se molestarán en auditar la seguridad de ese otro. Por desgracia, toca jugar con sus reglas.

nosotros tmb entramos en panico caundo nos lo pidieron x primera vez. resulto q la aseguradora del cliente se lo exigia. aclaramos el alcance, cerramos con una empresa chica, hicieron el test en tres dias pasaron el reporte ejecutivo y se firmo el contrato.

No se asusten no van a hacer nada que tumbe sus sistemas. Antes de arrancar la prueba se firma un acuerdo de confidencialidad y autorización, y suelen trabajar en un entorno de pruebas o en horarios controlados. Si quieren hacer crecer su negocio, estos pasos corporativos lamentablemente se vuelven inevitables.

¿Su cliente exige que la prueba sea directamente en el entorno de producción o van a montar un servidor de pruebas? Además, ¿manejan datos sensibles de clientes en su base de datos? Sin definir bien el alcance, es muy difícil comparar los presupuestos que les pasen las empresas.

Gracias, esa era la respuesta que buscaba.

Soy una pequeña empresa, os lo cuento desde mi lado. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

También me gustaría saber si alguien lo hace de otra manera.

En su momento, nosotros también nos atascamos ahí. Cambiar un hábito es más difícil y caro que establecer un sistema.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses. Si escribís el resultado aquí, también servirá de ayuda a otros.

Si no me equivoco quieres decir esto: Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

me han quedado claras las dudas, gracias. bueno no entréis en ningún acuerdo sin un plan de salida.

espero que le sea útil.

Estoy siguiendo esto.

Tienes razón yo también pasé por lo mismo. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Calcula esto sobre el coste anual total, no sobre la factura mensual. Esta es mi opinión, no lo escribo como una verdad absoluta.

Hace dos años viví exactamente lo mismo. Primero medid luego dividid. Si seguís este orden se acaban las discusiones.

Espero que le sea útil.

Muchas gracias, lo probaré hoy.

El año pasado nos pasó casi exactamente lo mismo. El error cometido por qué es una prueba de penetración suele ser reversible, pero caro.

Eso es todo, disculpa si me he extendido demasiado.