En lenguaje claro
La compra de un pentest, en el orden en que ocurre
La compra de un pentest sigue el mismo camino que otros servicios profesionales, con un paso extra. Antes de cualquier prueba, el propietario de cada sistema debe firmar la autorización. Así, el proceso de compra y el proceso legal avanzan en paralelo.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
En qué se diferencia la compra de un pentest
Casi todos los servicios se compran en cuanto se acuerdan precio y términos. Aquí no basta un contrato firmado. El trabajo solo es legal con la autorización escrita del propietario del sistema, como deja claro la guía sobre la Ley de Fraude y Abuso Informático de Estados Unidos (18 U.S.C., sección 1030).
Además, el proveedor tendrá información sensible sobre sus debilidades. Por eso seguridad y legal suelen revisarlo con más detalle que a un proveedor típico.
Los pasos de la compra de un pentest
Cada paso de la compra de un pentest tiene un responsable y un documento. Si conoce ambos de antemano, el proceso avanza más rápido.
Algunos pasos pueden ir en paralelo: la revisión del proveedor puede arrancar mientras se redacta el alcance.
| Paso | Documento | Responsable habitual |
|---|---|---|
| Solicitar | Resumen breve o solicitud de propuesta | Responsable de seguridad |
| Comparar | Alcances y tarifas por escrito | Seguridad y compras |
| Revisar al proveedor | Cuestionario de seguridad | Seguridad y legal |
| Contratar | Contrato y acuerdo de confidencialidad | Legal |
| Comprar | Orden de compra | Compras |
| Autorizar | Autorización firmada y reglas | Propietarios de los sistemas |
Lista de documentos para comprar
Marque lo que ya tiene en la carpeta de la compra de un pentest.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Retrasos habituales en la compra de un pentest
El retraso más común es que la revisión del proveedor empiece tarde. Otro es un propietario de sistema al que nadie avisó de que debe firmar. Ambos se evitan con un plan breve al iniciar la compra de un pentest.
En organizaciones grandes, una orden de compra puede tardar más de lo previsto. Consulte a su equipo de compras los plazos el primer día.
Qué enviar con la solicitud
Envíe el motivo de la prueba, una lista de sistemas y cualquier fecha límite. Luego solicite a cada empresa un alcance por escrito, una tarifa fija y sus términos estándar.
Como todas las empresas responden al mismo resumen, la comparación es justa. Así la decisión es fácil de explicar después.
Cerrar bien el expediente
Guarde una carpeta con el resumen, el alcance elegido, el contrato, la orden de compra y la autorización firmada. Los auditores suelen pedir ver la autorización junto al informe.
Por último, añada el informe y la carta de repetición cuando termine el trabajo. El año siguiente, esa carpeta será el punto de partida.
Trabajar con nosotros
Aceptamos un número limitado de proyectos, con profesionales sénior con nombre. El propietario firma la autorización antes de cualquier prueba, y el método sigue el Penetration Testing Execution Standard.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar.
Preguntas sobre la compra de un pentest
¿Cuánto tarda la compra de un pentest?
A menudo de dos a seis semanas, según las aprobaciones internas.
¿Quién se encarga de la compra de un pentest?
Normalmente el responsable de seguridad, con apoyo de compras y legal.
¿Basta un contrato para empezar a probar?
No. El propietario del sistema también debe firmar la autorización.
¿Los pasos de la compra de un pentest pueden ir en paralelo?
Sí. La revisión del proveedor puede arrancar mientras se redacta el alcance.
Guías relacionadas
Inicie la compra con un resumen breve
Envíe el motivo, los sistemas y su fecha límite. Respondemos con un alcance por escrito, nuestros términos estándar y una tarifa fija.
Pregunte por pruebas autorizadas