El test de penetración halló 40 vulnerabilidades: ¿hace falta comprar una herramienta para el seguimiento de la corrección?

Rechaza esa oferta de licencia directamente. Q 40 puntos no te asusten; concéntrate primero en los críticos y altos. Seguro q con una semana de curro de los devs resuelves el 80% más riesgoso. Lo q quede de nivel bajo lo vas metiendo de a poco en los siguientes sprints y listo.

En nuestro equipo de 20 personas nos llegó el año pasado un informe con 38 hallazgos. El consultor nos intentó vender un software parecido y no lo compramos. Creamos una etiqueta especial en nuestro sistema de tickets. En 45 días cerramos 34 y los 4 bajos restantes los aceptamos como riesgo. Pasamos la auditoría con cero gasto extra.

Que la empresa que hizo la prueba te recomiende justo después una herramienta de 6.000 dólares es la clásica jugada de venta cruzada. Seguro son socios o distribuidores de ese software y se llevan comisión por venta. Que una empresa de 14 personas gaste presupuesto en eso me parece un desperdicio total de recursos.

Al pasarlo a tu sistema actual, ojo con este detalle técnico: no les digas a los desarrolladores simplemente "corrige la vulnerabilidad X". Pon en la descripción del ticket la puntuación de la vulnerabilidad, la URL o versión de la librería afectada y los pasos para explotarla. Si no, el programador dirá que ya lo arregló, pero igual solo cambió el nombre del parámetro y el fallo sigue ahí.

¿Tu contrato de la prueba incluye una cláusula de "re-test" o reevaluación? Si la tiene, ¿de cuánto tiempo es? La mayoría de los contratos ofrecen 30 o 60 días de verificación gratuita para las correcciones. Si es tu caso, ese trabajo de confirmación que haría la herramienta ya lo tienes cubierto con el consultor por contrato.

nosotros lo resolvimos con un simple excel... pusimos columnas de nombre de vulnerabilidad nivel, programador asignado y estado... haciamos una reunion de 15 min a la semana pa ver los avances y en dos meses cerramos todo. no hace falta gastarse esos dinerales.

Ni tus clientes ni las normativas te exigen usar una herramienta de gestión de vulnerabilidades. Lo único que revisan los auditores es que las fallas encontradas se solucionen mediante un proceso documentado y que existan registros que demuestren la verificación técnica del arreglo. Tu historial de tickets actual cumple de sobra con ese requisito.

La opinión general es bastante clara: 1) No compres la herramienta de 6.000 dólares, 2) Abre tareas en tu gestor de proyectos habitual usando una etiqueta de seguridad, 3) Revisa tu contrato para aprovechar el re-test gratuito y confirmar las correcciones. Un software extra solo les va a generar más carga de trabajo.

Separemos los conceptos se están confundiendo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Por supuesto, cambia si tu situación es diferente.

Sí, la situación con herramientas de corrección de vulnerabilidades es exactamente así. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Le agradecería que compartiera el resultado. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Corrijanme si me equivoco.

Dejo una advertencia. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Empezad con una pequeña prueba, no lo integréis todo de golpe. Lo dejo como nota, por si sirve.

Rara vez se encuentra un texto que lo explique tan claro. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Las decisiones apresuradas son las que hay que corregir seis meses después.

Que todo el mundo haga algo no significa que sea lo correcto. Corrijanme si me equivoco.

Buen trabajo. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Si escribís el resultado aquí, también servirá de ayuda a otros.

La discusión se ha dispersado, voy a ordenarla. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada. También me gustaría saber si alguien lo hace de otra manera.

Tengo una pregunta, no quiero desviarme del tema, pero... Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Lo importante no es la cifra, sino en qué se basa esa cifra. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

A mí me pasó justo al revés, por eso escribo. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Yo seguiría por ese camino.