Nos han pedido una "prueba de seguridad" — ¿qué se hace exactamente y qué se espera de nosotros?

Manda un correo ya mismo al equipo de seguridad de tu cliente pidiéndoles la metodología de prueba estándar que aceptan y la plantilla del formulario de alcance. Si haces las pruebas por tu cuenta, te pueden rechazar el informe porque no cumple con su formato.

Suelen hacer pruebas de 'Caja Gris' (Gray Box). No te piden el código fuente, pero sí usuario y contraseña. El objetivo es ver si un empleado normal de almacén puede escalar privilegios y acceder a funciones de administrador.

El año pasado hicimos pruebas para un SaaS nuestro de tamaño parecido. Tardaron 5 días hábiles, encontraron 1 fallo crítico y 3 medios. Nuestro equipo de desarrollo tardó unas 25 horas de trabajo en arreglarlo. En cuanto entregamos el informe limpio al cliente, firmamos el contrato sin problemas.

En el contrato del cliente pone que el informe debe ser de una entidad independiente pero ¿exigen que la empresa de pruebas tenga homologación TSE o certificaciones internacionales específicas? Ojo con esto, si no lo revisas el informe podría no valerles.

Lo que debes tener listo antes de empezar: 1) Documentación de las API o Swagger, 2) Accesos y credenciales del entorno de pruebas, 3) El teléfono del responsable técnico que pueda detener las pruebas en caso de emergencia.

si vas a abrir un entorno de pruebas acuerdate de borrar nombres y telefonos reales de clientes pero mete datos anonimos pa que lueo no salgan capturas de pantalla con datos reales en el informe.

Bienvenido al ritual de trabajar con grandes corporativos. Después del test de seguridad te va a caer el cuestionario de evaluación de riesgos de terceros con 80 preguntas vete preparando un buen café.

Este enfoque tiene un coste, y no se habla de ello. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Eso es todo, disculpa si me he extendido demasiado.

Sí, la situación con qué es una prueba de seguridad es exactamente así. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Tiene razón.

El camino que parece barato suele salir caro a la larga. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Guardado.

Estoy de acuerdo. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Corrijanme si me equivoco.

Me han quedado claras las dudas, gracias.

creo que este consejo no sirve para todos pero lo importante no es la cifra, sino en qué se basa esa cifra.

ánimo.

Ha sido una buena idea abrir este hilo.

Esto también tiene su parte de medición. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Si regañas las falsas alarmas, nadie volverá a reportar. Lo dejo como nota, por si sirve.

Este hilo es para archivar.