Pentesting
Comprobamos si un atacante podría entrar en su empresa
Un pentesting es un ataque controlado y autorizado a sus sistemas para descubrir fallos de seguridad y medir su impacto real, antes de que lo haga un ciberdelincuente.
¿Le resulta familiar?
- Ha invertido en seguridad y no sabe si funciona.
- Tiene una web, una tienda online o una aplicación expuesta a internet.
- Un cliente o una licitación le exige un test de intrusión.
- Va a lanzar un sistema nuevo y quiere probarlo antes.
- Maneja datos sensibles de clientes o pacientes.
- Sospecha que alguien ha intentado acceder a sus sistemas.
Tipos de pentesting
Según la información de partida que nos dé.
Caja negra
Atacamos sin información previa, como lo haría un atacante externo.
Caja gris
Partimos de un acceso limitado, como el de un empleado o un proveedor.
Caja blanca
Con acceso completo a la documentación y al código, para la revisión más profunda.
Red interna y wifi
Equipos, servidores, red y redes inalámbricas de sus oficinas.
Cómo trabajamos
1
Autorización
Definimos por escrito el alcance, las fechas y los límites de las pruebas.
2
Ataque controlado
Buscamos y explotamos vulnerabilidades sin dañar sus sistemas.
3
Informe de hallazgos
Cada fallo con su gravedad, su evidencia y cómo corregirlo.
4
Verificación
Tras las correcciones, comprobamos que el fallo ya no existe.
Qué incluye el informe de pentesting
En definitiva, un pentesting solo es útil si sus resultados se entienden y se corrigen. De ahí que el informe tenga dos partes. Por un lado, un resumen para dirección con el nivel de riesgo y lo que habría podido conseguir un atacante real. Por otro, el detalle técnico de cada vulnerabilidad, con su gravedad según un estándar reconocido, cómo la explotamos y cómo corregirla.
Además, cuando su equipo o su proveedor aplica las correcciones, repetimos las pruebas sobre los fallos encontrados para confirmar que están cerrados.
Pentesting y normativa
Hoy en día, cada vez más clientes, licitaciones y aseguradoras piden un test de intrusión reciente. También lo exigen o lo recomiendan marcos como la ISO 27001, el Esquema Nacional de Seguridad o NIS2, que piden comprobar de forma periódica la eficacia de los controles de seguridad.
- Antes de una certificación o de una auditoría de cliente.
- Al publicar una aplicación web o una tienda online nueva.
- Tras cambios importantes en la red o en los servidores.
- Al menos una vez al año en los sistemas expuestos a internet.
Por supuesto, todas las pruebas se hacen con autorización por escrito, en un alcance y unas fechas pactados, y sin afectar a la actividad de la empresa.
Pentesting continuo frente a pentesting puntual
En primer lugar, un pentesting puntual muestra la foto de un momento. Sin embargo, los sistemas cambian cada semana. Por eso, en empresas con aplicaciones expuestas a internet, recomendamos combinar un test completo al año con revisiones más ligeras tras cada cambio importante.
Además, cada revisión se compara con la anterior, de modo que la empresa ve cómo evoluciona su nivel de seguridad y puede demostrarlo ante clientes, auditores o aseguradoras.
Preguntas frecuentes
¿Es legal?
Sí, siempre que exista una autorización por escrito de la empresa, que firmamos antes de empezar.
¿Puede romper algo?
Las pruebas se diseñan para no afectar a sus sistemas. Las más delicadas se hacen fuera de horario o en un entorno de pruebas.
¿En qué se diferencia de una auditoría?
La auditoría revisa configuraciones y procesos. El pentesting intenta entrar de verdad para demostrar el riesgo.
¿Podría alguien entrar en sus sistemas?
Lo comprobamos por usted, con autorización y sin riesgos para su actividad.
