Cómo elegir una empresa de pentesting

¿Qué es un pentest y por qué importa elegir bien?

Un pentest (prueba de penetración) es una prueba autorizada en la que especialistas intentan entrar a sus sistemas como lo haría un atacante, para mostrarle qué debilidades son reales y qué corregir primero. El resultado es tan útil como el trabajo que lo respalda: un alcance claro, una guía de pruebas reconocida, personas que responden por lo que reportan y un informe que su equipo pueda aplicar.

Dos propuestas con el mismo nombre pueden ser muy distintas. Una puede ser una prueba hecha por especialistas, con un informe a la medida. Otra puede ser el reporte de una herramienta automática. La tabla siguiente le ayuda a comparar propuestas con los mismos criterios.

Preguntas para hacerle al proveedor

Lléveselas a la reunión o envíelas por escrito. Las respuestas concretas valen más que las generales:

1. ¿Qué sistemas incluye el alcance y qué queda por fuera? ¿Dónde lo dice la propuesta?
2. ¿Qué guía de pruebas siguen, por ejemplo OWASP WSTG, PTES o NIST SP 800-115, y en qué parte de la prueba?
3. ¿Quiénes harán las pruebas y qué certificaciones tienen?
4. ¿Qué parte de la prueba hace una herramienta automática y qué parte hace una persona?
5. ¿Cómo confirman cada hallazgo antes de reportarlo? ¿El informe dice cuáles demostraron y cuáles no?
6. ¿El retest está incluido? ¿Hasta cuándo puedo pedirlo?
7. ¿Qué informes recibo y quién me los explica?
8. ¿Cuándo firmamos el acuerdo de confidencialidad y la carta de autorización?
9. ¿Desde qué IP prueban, en qué horarios y qué pruebas quedan prohibidas?
10. ¿A quién llamo para detener las pruebas si algo se afecta?
11. ¿Cuál es la fecha del informe y del retest?
12. ¿Mis datos y los resultados se envían a un tercero, como un servicio en la nube o un modelo de inteligencia artificial?

Si las respuestas son vagas, pida la propuesta corregida por escrito antes de firmar.

Cómo lo hace Pralogy

Pralogy es una empresa de ciberseguridad. Así responde a los criterios de la tabla en su servicio de pentesting y ethical hacking:

• Alcance por escrito. Definimos qué se prueba, de qué forma, qué recibe y para qué fecha.
• Quién ejecuta. Las pruebas las hace nuestro equipo de ingeniería. Entre las certificaciones de sus especialistas están OSCP, OSWE, eWPT y CEH Practical.
• Retest incluido. Todo ethical hacking incluye ventana de remediación de un mes, de 2 a 10 horas de acompañamiento en la remediación y retest sin costo hasta tres meses después.
• Informes. Entregamos un informe ejecutivo y uno técnico. Cada hallazgo trae su severidad y cómo corregirlo.
• NDA y autorización. Firmamos la autorización escrita y el acuerdo de confidencialidad antes de empezar.
• Reglas de compromiso. Trabajamos con reglas firmadas, un canal para detener las pruebas cuando usted lo pida y, por defecto, sin pruebas que busquen tumbar su servicio. Si un sistema es delicado, sus cuidados quedan en el alcance.
• Tiempos. Después del diagnóstico de 30 minutos, sin costo, le enviamos una propuesta por escrito con el alcance, el costo y el plazo.

Ninguna prueba puede encontrarlo todo. Por eso buscamos como lo haría un atacante, le decimos qué corregir y comprobamos en el retest qué quedó cerrado.