Me dijeron "qué es un test de penetración" — ¿de verdad hace falta a nuestra escala, para qué sirve?

Que la agencia le haga un test de penetración al código que ella misma escribió no tiene lógica. No puedes esperar que ellos mismos encuentren y reporten el error que cometieron. Aunque vayas a hacer este test, pide presupuesto a una empresa independiente de la agencia que desarrolló el portal, que trabaje solo en el área de seguridad.

En un test de penetración se miran sobre todo los fallos de 'Broken Object Level Authorization', o sea de visualización de datos sin autorización. Por ejemplo, después de entrar, si el distribuidor A cambia el número de factura en el navegador de 101 a 102, ¿puede ver la factura del distribuidor B? El firewall no entiende eso, eso solo lo pilla un test de penetración.

El año pasado, para nuestros 20 portales de distribución de escala parecida, pagamos 35.000 TL e hicimos que un experto independiente le hiciera el test. En el informe salió que dos distribuidores podían ver los porcentajes de descuento del otro. Si ese fallo se hubiera sabido en el mercado, nuestra reputación comercial se habría venido abajo; el dinero que pagamos valió totalmente la pena.

la agencia seguramente ejecutará una herramienta automática y te dará un pdf. pide el documento de alcance y yo diría q mires si en el informe pone cuántas horas de test manual se van a hacer.

edit: escrito desde el móvil, perdonad las erratas.

¿Cobráis en el portal con tarjeta de crédito? Si en el sistema se guardan tarjetas o si los datos de la tarjeta pasan por vuestro propio servidor en vez de por una pasarela de pago compartida el test no es un lujo, es directamente una obligación.

Antes de decir sí al presupuesto, pregúntale esto a la agencia: '¿Este test será de caja gris o de caja negra, y la verificación de la corrección de los fallos encontrados está incluida en el precio?' Si no hay test de verificación el informe se queda en un rincón hecho basura.

Hace dos años entraron al portal de un conocido mayorista textil y vendieron toda la lista de clientes y la lista de precios a una empresa rival. Ni el backup ni el SSL pudieron salvarlo. Desde ese día convertimos el control de seguridad en rutina en cada actualización grande.

Quisiera hacer una pregunta. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Si escribís el resultado aquí, también servirá de ayuda a otros.

guardado. la gente no defiende el proceso, defiende la costumbre. la resistencia viee de ahí.

Resumen breve para nuevos usuarios: Una copia de seguridad no probada no es una copia de seguridad.

Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar. Ánimo.

De acuerdo incluso me gustaría recalcarlo. Todos los que se apresuran con qué es un test de penetración se atascan en el mismo punto.

Eso es todo, disculpa si me he extendido demasiado.

¿Creen que esto funciona a cualquier escala? Lo importante no es la cifra, sino en qué se basa esa cifra.

También me gustaría saber si alguien lo hace de otra manera.

La discusión se ha dispersado voy a ordenarla. Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Si escribís el resultado aquí, también servirá de ayuda a otros.

No sabía eso.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así. Una copia de seguridad no probada no es una copia de seguridad.

Yo seguiría por ese camino.

Ha sido una buena idea abrir este hilo.

Buen trabajo. Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después.

Yo seguiría por ese camino.

Quisiera hacer una pregunta. Las decisiones apresuradas son las que hay que corregir seis meses después.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada. Espero que le sea útil.