Pruebas de penetración

Sí, cuando la encarga el titular del sistema y existe autorización escrita con alcance y fechas. Sin ese documento no hacemos nada, aunque la persona que contacta asegure tener permiso. Si el sistema pertenece a un grupo o lo aloja un proveedor, la autorización debe venir de quien realmente tiene la titularidad.

Podemos trabajar sin información, como lo haría alguien de fuera, o con usuarios de prueba de cada perfil. La segunda opción, llamada de caja gris, es la que más recomendamos: con el mismo presupuesto cubre mucha más superficie y encuentra los fallos de permisos entre usuarios.

Evitamos cualquier acción destructiva, pero ninguna prueba tiene riesgo cero. Por eso preferimos un entorno de preproducción. Si hay que probar en producción, se hace en una ventana pactada, con copia de seguridad reciente y verificada y una persona de su equipo localizable.

No emitimos certificados ni lo prometemos. Recibe un informe con alcance, fechas, metodología y hallazgos y, tras las correcciones, un documento de verificación. Es lo que suele pedir un auditor o un cliente grande en su proceso de homologación de proveedores.

Una vez al año como referencia, y siempre tras cambios relevantes: nuevo método de pago, API abierta a terceros, migración de alojamiento o cambios en el inicio de sesión. Para entidades obligadas por el ENS o por NIS2, encaja en la gestión de riesgos periódica.