En lenguaje claro
Un checklist de pentest para el lado del comprador
Este checklist de pentest cubre su parte del trabajo, no la prueba en sí. Por eso cada punto es una decisión, un documento o una persona. Recórralo en orden y el proyecto saldrá a tiempo.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
Cómo usar este checklist de pentest
Cada etapa tiene una lista corta. Marque un punto solo cuando exista por escrito. Como un acuerdo de palabra se olvida con facilidad, solo cuentan los puntos escritos.
Comparta también el checklist con la empresa. Así ambas partes ven los mismos puntos abiertos.
Antes de la prueba
Aquí ocurre la mayor parte del trabajo. El motivo, el alcance, los propietarios y la autorización van antes de que empiece cualquier prueba.
Además, confirme las aprobaciones de terceros. Los proveedores de alojamiento y otros proveedores pueden necesitar aviso.
| Punto | Listo cuando |
|---|---|
| Motivo de la prueba | Escrito en una frase |
| Alcance | Lista firmada de lo que entra y lo que no |
| Autorización | Firmada por cada propietario de sistema |
| Reglas de enfrentamiento | Horarios, contactos y límites acordados |
| Contrato y acuerdo de confidencialidad | Firmados por ambas partes |
| Aprobaciones de terceros | Recibidas por escrito |
Resumen de la lista
Marque los puntos del checklist de pentest que ya existen por escrito.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
El checklist de pentest durante la ventana
Manténgalo breve. El contacto de operaciones está localizable, el responsable de seguridad sabe cómo recibir avisos urgentes y todos entienden la regla de pausa.
Luego deje trabajar a los evaluadores. Como los cambios durante la ventana pueden confundir los resultados, aplace los grandes lanzamientos si puede.
El checklist de pentest después del informe
Lea primero el resumen y después comparta los hallazgos con los propietarios que los corregirán. Asigne a cada hallazgo un responsable y una fecha. Luego reserve la repetición de la prueba.
Por último, archive juntos el informe, el resultado de la repetición y el alcance firmado. Así la evidencia queda lista para auditores y clientes.
Puntos que los compradores suelen olvidar
La carencia más común es un suplente para cada contacto. Otra es una lista con nombres de lectores del informe. Una tercera es la fecha de la repetición.
Revise dos veces esos tres puntos. Son pequeños, pero cada uno puede retrasar el proyecto.
Nuestra parte de la lista
Redactamos el alcance y las reglas, nombramos al profesional sénior y confirmamos las aprobaciones de terceros antes del primer día. El propietario firma la autorización antes de cualquier prueba.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar. El método sigue el Penetration Testing Execution Standard.
Preguntas sobre el checklist de pentest
¿Qué incluye un checklist de pentest?
Decisiones, documentos y personas de su lado, del alcance a la repetición.
¿Quién mantiene el checklist de pentest?
Normalmente el responsable de seguridad que lleva el proyecto.
¿La lista es igual cada año?
Casi. Actualice el alcance y los contactos cada vez.
¿La empresa ve nuestro checklist de pentest?
Conviene compartirlo, para que ambas partes sigan los mismos puntos.
Guías relacionadas
Recorra la lista punto por punto con nosotros
Envíe un resumen breve. Respondemos con un alcance por escrito, reglas de enfrentamiento y una tarifa fija.
Pregunte por pruebas autorizadas