En lenguaje claro
Las exclusiones del pentest y cómo redactarlas
Las exclusiones del pentest son los sistemas, horarios y actividades que se dejan fuera a propósito. Son tan importantes como el propio alcance. Como todo lo que no figura puede causar confusión, la lista de lo excluido merece el mismo cuidado que la de lo incluido.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
Por qué importan las exclusiones del pentest
Una exclusión protege algo. Puede ser un sistema frágil, la plataforma de un proveedor o un periodo en que el negocio no acepta ningún riesgo. Por eso cada una necesita un motivo.
Además, las exclusiones influyen en cómo se lee el informe. Un lector que no sabe qué quedó fuera puede suponer que se probó más de lo que se probó en realidad.
Las exclusiones del pentest más comunes
Algunas exclusiones aparecen en casi todos los alcances. Otras dependen de los sistemas y del calendario del negocio.
Redacte cada una en palabras sencillas, con su motivo. Así nadie tendrá que adivinar después.
| Exclusión | Motivo habitual |
|---|---|
| Sistemas de otros propietarios | Sin autorización de su propietario |
| Sistemas frágiles o heredados | Riesgo de interrupción |
| Periodos de mucha actividad | Ninguna tolerancia a retrasos |
| Ciertas actividades | Límites acordados en las reglas de enfrentamiento |
| Datos reales de clientes | Se excluyen salvo que sean estrictamente necesarios |
Revisión de la lista de lo excluido
Marque lo que ya incluye su lista de exclusiones del pentest.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Las exclusiones del pentest y la ley
Un sistema sin la autorización firmada de su propietario debe excluirse, por importante que sea. Leyes como la que describe la guía sobre la Ley de Fraude y Abuso Informático de Estados Unidos (18 U.S.C., sección 1030) dependen de esa autorización.
Si otra empresa aloja un sistema clave, obtenga su consentimiento o inclúyalo en la lista de exclusiones. No hay término medio.
Redactar bien cada exclusión
Nombre con precisión cada elemento excluido. Una exclusión vaga, como todos los sistemas antiguos, es difícil de aplicar. Después añada el motivo y quién lo decidió.
Fije también una fecha de revisión para cada una. Como los sistemas cambian, una exclusión sensata este año puede sobrar el siguiente.
Cómo aparecen las exclusiones en el informe
Un buen informe repite las exclusiones cerca del inicio. Así auditores y clientes ven de un vistazo los límites del trabajo.
Del mismo modo, el informe debe anotar lo que no pudo probarse durante la ventana. De este modo la evidencia es honesta sobre sus propios límites.
Cómo las gestionamos
Listamos las exclusiones en el alcance por escrito, con sus motivos, y las repetimos en el informe. El propietario firma la autorización antes de cualquier prueba.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar. El método sigue el Penetration Testing Execution Standard.
Preguntas sobre las exclusiones del pentest
¿Las exclusiones del pentest son normales?
Sí. Casi todos los alcances dejan fuera algunos sistemas o periodos.
¿Las exclusiones del pentest deben tener un motivo?
Deberían, para que los lectores entiendan los límites del trabajo.
¿Se puede añadir después un sistema excluido?
Sí, en cuanto su propietario firme la autorización.
¿Las exclusiones del pentest aparecen en el informe?
Deberían, cerca del inicio, para que los lectores vean los límites.
Guías relacionadas
Redacte con nosotros lo que queda fuera
Envíe su lista de sistemas y cualquier preocupación. Respondemos con un alcance por escrito, sus exclusiones y una tarifa fija.
Pregunte por pruebas autorizadas