En lenguaje claro
Cómo redactar un brief de pentest
Un brief de pentest es la nota breve que envía a una empresa antes de que presupueste. No es un contrato y no necesita detalle técnico. Sin embargo, un brief claro es el camino más rápido hacia un alcance por escrito y una tarifa fija.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
Para qué sirve un brief de pentest
La empresa necesita entender su motivo, sus sistemas y sus plazos. Con esas tres cosas puede redactar un alcance y ponerle precio. Sin ellas, solo puede adivinar.
Además, el mismo brief enviado a varias empresas hace comparables sus respuestas. Así sirve también como inicio de su expediente de compra.
Qué incluir en un brief de pentest
Limítelo a una página. Use palabras sencillas e indique dónde tiene dudas. Una buena empresa hará preguntas de seguimiento por escrito.
Mencione además cualquier fecha límite y quién pide la prueba. Como importa quién leerá el informe, la empresa puede escribir para esa persona.
| Apartado | Qué escribir |
|---|---|
| Motivo | Quién pidió la prueba y por qué |
| Sistemas | Una lista corta, con tamaños aproximados |
| Plazos | Ventana preferida y cualquier fecha límite |
| Restricciones | Sistemas frágiles o periodos de mucha actividad |
| Contactos | Quién llevará el proyecto |
Revisión del borrador
Marque lo que ya cubre el borrador de su brief de pentest.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Qué dejar fuera de un brief de pentest
No envíe contraseñas, diagramas internos ni debilidades conocidas en esta etapa. Eso va en el alcance y las reglas, después de firmar un acuerdo de confidencialidad.
Del mismo modo, no intente diseñar la prueba. Describa su preocupación y deje que la empresa proponga el enfoque.
Del brief al alcance
La empresa lee el brief y responde con preguntas o un borrador de alcance. Luego ustedes acuerdan por escrito el alcance, las exclusiones y la tarifa.
Por último, cada propietario de sistema firma la autorización. Solo entonces empieza la prueba, como exigen leyes como la que describe la guía sobre la Ley de Fraude y Abuso Informático de Estados Unidos (18 U.S.C., sección 1030).
Carencias habituales
La carencia más común es que falte el motivo. Otra es una lista que mezcla sistemas propios con sistemas que opera un proveedor. Ambas retrasan la respuesta.
Compruebe dos cosas antes de enviarlo: ¿está claro el motivo y es suyo todo lo que figura en la lista?
Enviarnos uno
Envíe su brief con el formulario de nuestra página de inicio. Lo leen profesionales sénior con nombre, y respondemos por escrito con un alcance y una tarifa fija.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar. El método sigue el Penetration Testing Execution Standard.
Preguntas sobre el brief de pentest
¿Qué extensión debe tener un brief de pentest?
Normalmente basta una página.
¿Un brief de pentest debe incluir detalle técnico?
No. Resérvelo para el alcance, después de firmar un acuerdo de confidencialidad.
¿Podemos enviar el mismo brief de pentest a varias empresas?
Sí. Así es más fácil comparar las respuestas.
¿Qué viene después del brief?
Un alcance por escrito, una tarifa fija y luego la autorización firmada.
Guías relacionadas
Envíenos su resumen de la prueba
Use el formulario de nuestra página de inicio. Respondemos por escrito con un alcance y una tarifa fija, y nada empieza antes de que firme el propietario.
Pregunte por pruebas autorizadas