Un alcance alineado con tu objetivo
Centra la evaluación en los sistemas, cambios o preguntas de seguridad que importan a tu negocio. Los límites se acuerdan antes de iniciar las pruebas.
Identifica puntos débiles. Refuerza lo que importa.
Pruebas de penetración y evaluaciones de seguridad para tus aplicaciones, infraestructura y entornos en la nube. Empecemos por lo esencial: qué necesitas proteger, qué quieres conocer y qué decisiones debe tomar tu equipo.
Hablemos del alcanceClaridad antes, durante y después de las pruebas.
Una evaluación útil empieza con las preguntas adecuadas y termina con información que ayuda a tu equipo a decidir.
Evidencias que puedes utilizar
Define el nivel de validación y detalle del informe que necesitas. Los hallazgos se explican en el contexto del alcance acordado.
Un siguiente paso concreto
Acuerda cómo se priorizarán, revisarán y abordarán los hallazgos, y si el servicio incluirá una verificación de las correcciones, también llamada retest.
Elige la evaluación adecuada.
Empieza por un área o plantea una evaluación conjunta. La cobertura, los métodos y los entregables se acuerdan al definir el alcance.
Pentest web
Evalúa las aplicaciones web y los recorridos de usuario acordados, con atención a la autenticación, los controles de acceso, el tratamiento de datos y la lógica de la aplicación.
Pentest de API
Examina los endpoints e integraciones de API acordados, incluida la autorización, la autenticación y la gestión de operaciones sensibles.
Pentest móvil
Revisa la aplicación móvil acordada y su interacción con los servicios de backend, incluido el tratamiento local de datos y los controles de acceso.
Evaluación de infraestructura
Revisa la infraestructura acordada para identificar exposición, debilidades de configuración y riesgos en los controles de acceso, dentro de los límites definidos.
Evaluación de entornos en la nube
Evalúa la gestión de identidades, la configuración y la exposición de los recursos en la nube acordados, con un alcance adaptado a tu entorno.
Red Team
Explora un escenario de ataque definido frente a las defensas acordadas. Los objetivos, las actividades permitidas y los canales para comunicar incidencias se establecen en las reglas de actuación.
Programa anual de seguridad
Planifica evaluaciones periódicas en función de cambios, lanzamientos y prioridades de seguridad. La frecuencia y la cobertura se definen en la propuesta.
De la pregunta a un plan de acción.
Las pruebas solo comienzan con autorización por escrito. Los objetivos, los métodos permitidos, los plazos, las medidas de protección y las condiciones de interrupción se acuerdan previamente.
01 · Definir y autorizar
Definimos contigo los objetivos, activos y restricciones. Acordamos el alcance, los requisitos de acceso, el contenido del informe y las reglas de actuación antes de empezar.
02 · Evaluar y documentar
La evaluación se realiza dentro de los límites autorizados, con un enfoque acordado de gestión del riesgo. Se documentan las evidencias relevantes y se utiliza el canal previsto si un problema requiere atención inmediata.
03 · Priorizar y verificar
Revisamos contigo los hallazgos y las opciones de corrección. Si se ha acordado un retest, se comprueban las correcciones concretas y se registra qué se ha verificado y qué sigue pendiente.
Hallazgos que tu equipo puede utilizar.
Acuerda el contenido del informe antes de las pruebas para que el resultado facilite tanto las decisiones como las correcciones.
Planifica una evaluaciónUna visión clara para decidir
Un resumen del alcance evaluado, los principales hallazgos y las limitaciones, con contexto para los responsables de negocio y los equipos técnicos.
Detalle técnico con contexto
Evidencias, componentes afectados, impacto y recomendaciones de corrección con el nivel de detalle acordado para el servicio.
Seguimiento bien definido
Una revisión de los hallazgos y, cuando esté incluido, un retest de las correcciones concretas. La cobertura y los plazos del retest se detallan en la propuesta.
Preguntas antes de empezar.
¿Por qué servicio conviene empezar?
Parte de la pregunta que necesitas resolver: una nueva aplicación, una integración de API, la exposición de la infraestructura, la configuración de la nube o un objetivo de seguridad más amplio. Una conversación inicial ayuda a definir la evaluación adecuada y sus límites.
¿Qué información hace falta para la primera conversación?
Basta con una descripción general de los sistemas, tus objetivos, las restricciones relevantes y los plazos deseados. No incluyas credenciales, arquitectura confidencial ni información detallada sobre vulnerabilidades en la consulta inicial.
¿Las pruebas pueden afectar a sistemas en producción?
Las pruebas se limitan a los objetivos y métodos expresamente autorizados. Antes de empezar, deben acordarse el impacto potencial, el entorno, los horarios de prueba, las medidas de protección y las condiciones de interrupción. Ninguna prueba debe considerarse libre de riesgos.
¿Cómo se definen el precio, los plazos y el retest?
Cada servicio tiene una propuesta económica a medida una vez acordado el alcance. La propuesta detalla el precio, los plazos, los requisitos de acceso y los entregables, e indica si incluye un retest y qué cubre.
¿Una evaluación garantiza la seguridad o el cumplimiento normativo?
Ninguna evaluación puede garantizar que un sistema sea seguro. Los hallazgos corresponden al alcance acordado y al momento de las pruebas. Una evaluación puede aportar información a una revisión más amplia de seguridad o cumplimiento, pero no certifica por sí sola el cumplimiento normativo.
Definamos el alcance adecuado.
Cuéntanos qué quieres evaluar, qué ha motivado la revisión y cuáles son tus plazos. Una descripción general nos ayudará a plantear el siguiente paso. No incluyas contraseñas, tokens de acceso, información detallada sobre vulnerabilidades ni datos confidenciales de tus sistemas.