En lenguaje claro
Cómo redactar objetivos de un pentest que el informe pueda responder
Los objetivos de un pentest dicen por qué prueba, no solo dónde. Una lista de sistemas indica a la empresa qué mirar. En cambio, los objetivos le indican qué preguntas responder, de modo que el informe resulte útil a quien lo pidió.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
Por qué importan los objetivos de un pentest
Dos pruebas de los mismos sistemas pueden producir informes muy distintos. Uno enumera cada problema encontrado. El otro responde a una pregunta de negocio clara, por ejemplo si se puede llegar a los datos de clientes desde internet.
Como los objetivos deciden la profundidad y el enfoque, también influyen en la tarifa. Por eso conviene redactarlos antes de pedir presupuestos.
Ejemplos de objetivos de un pentest
Los buenos objetivos de un pentest son breves, concretos y ligados a una preocupación real. Cada uno debe poder responderse con un sí, un no o una explicación clara.
Vincule además cada objetivo a quien pidió la prueba. Así el informe puede hablar directamente a ese lector.
| Preocupación | Objetivo en palabras sencillas |
|---|---|
| Una revisión de un cliente | Demostrar que una parte externa probó nuestro producto principal |
| Un nuevo lanzamiento | Encontrar debilidades en las nuevas funciones antes del lanzamiento |
| Una auditoría | Aportar al auditor evidencia de la prueba anual |
| Un susto reciente | Confirmar qué más es accesible desde el sistema afectado |
| Una fusión | Entender la seguridad de los sistemas que vamos a asumir |
Revisión de sus objetivos
Marque lo que ya cumplen los objetivos de un pentest que ha redactado.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Acordar los objetivos de un pentest
Redáctelos con el responsable de seguridad y luego compártalos con el patrocinador. Si el patrocinador haría otra pregunta, cámbielos ahora y no después del informe.
Además, compártalos con la empresa antes de que redacte el alcance. Así la propuesta responde a su pregunta real.
Lo que los objetivos no cambian
Los objetivos nunca amplían la autorización. Una prueba solo puede cubrir sistemas cuyos propietarios han firmado, diga lo que diga el objetivo. Leyes como la Computer Misuse Act 1990 del Reino Unido no hacen excepciones por buenos motivos.
Si un objetivo necesita un sistema fuera del alcance, consiga antes la firma del propietario.
Usar los objetivos en el informe
Solicite a la empresa que responda a cada objetivo cerca del inicio del informe. Así los lectores ven la conclusión antes del detalle.
Por último, revise los objetivos en la sesión de cierre. Si alguno quedó sin respuesta, el motivo debe constar por escrito.
Cómo los usamos
Pedimos los objetivos de un pentest junto con el resumen y los incluimos en el alcance. Profesionales sénior con nombre hacen el trabajo, y el propietario firma la autorización primero.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar. El método sigue el Penetration Testing Execution Standard.
Preguntas sobre los objetivos de un pentest
¿Cuántos objetivos de un pentest conviene fijar?
Normalmente de dos a cuatro. Más suele diluir el enfoque.
¿Quién redacta los objetivos de un pentest?
Los redacta el responsable de seguridad y los aprueba el patrocinador.
¿Los objetivos cambian la tarifa?
Pueden hacerlo, porque deciden la profundidad y el enfoque.
¿Los objetivos de un pentest pueden ampliar el alcance?
No. Solo una autorización firmada puede hacerlo.
Guías relacionadas
Envíenos los objetivos de su prueba
Díganos qué preguntas debe responder el informe. Respondemos con un alcance por escrito y una tarifa fija.
Pregunte por pruebas autorizadas