En lenguaje claro
Las partes interesadas del pentest y qué hace cada una
Las partes interesadas del pentest son las personas de su lado del proyecto. Cada una tiene una tarea pequeña y clara. Sin embargo, que falte una es el motivo más común de que una prueba empiece tarde o de que nadie lea el informe.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
Por qué importan las partes interesadas del pentest
La empresa evaluadora hace la prueba. Todo lo demás depende de su gente: alcance, aprobaciones, accesos, contactos y correcciones. Nombrarlas pronto ahorra tiempo después.
Además, una lista con nombres evita que los hallazgos sensibles circulen. Como el informe enumera debilidades, solo debe llegar a quien lo necesita.
Las principales partes interesadas del pentest
La mayoría de los proyectos necesita cinco papeles. En una organización pequeña, una persona puede asumir dos o tres.
Ponga la lista por escrito, con un suplente para cada papel. Así unas vacaciones no detienen el trabajo.
| Papel | Tarea principal |
|---|---|
| Patrocinador ejecutivo | Aprueba el motivo y el presupuesto |
| Responsable de seguridad | Lleva el proyecto del resumen a la repetición |
| Propietarios de los sistemas | Firman la autorización y corrigen los hallazgos |
| Contacto de operaciones | Localizable durante la ventana de prueba |
| Legal y compras | Contrato, acuerdo de confidencialidad y orden de compra |
Lista de papeles con nombre
Marque cada papel de las partes interesadas del pentest que ya tiene nombrado, con suplente.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Partes interesadas del pentest durante la ventana
Durante la prueba, un contacto de operaciones debe estar localizable en todo el horario acordado. Si ocurre algo inesperado, la empresa hace una pausa y avisa a esa persona.
Mantenga también una vía corta hacia el responsable de seguridad. Como los problemas graves se comunican de inmediato, alguien debe estar listo para actuar.
Después del informe
El informe tiene dos públicos. Los ingenieros necesitan los hallazgos y las correcciones. La dirección necesita el resumen y el riesgo de negocio.
Por eso conviene planear dos sesiones cortas en lugar de una larga. Así cada grupo escucha lo que necesita.
Carencias habituales
La carencia más común es un propietario que se entera tarde de la prueba. Otra es un contacto de operaciones al que nadie comunica las fechas. Ambas se resuelven con un mensaje al principio.
Del mismo modo, las correcciones se estancan cuando nadie se responsabiliza de ellas. Por eso cada hallazgo debe terminar con un responsable con nombre y una fecha.
Trabajar con nosotros
Nombramos al profesional sénior que dirigirá el trabajo y pedimos su lista de partes interesadas en el alcance por escrito. El propietario firma la autorización antes de cualquier prueba.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar. El método sigue el Penetration Testing Execution Standard.
Preguntas sobre las partes interesadas del pentest
¿Cuáles son las principales partes interesadas del pentest?
El patrocinador, el responsable de seguridad, los propietarios, el contacto de operaciones y legal.
¿Una persona puede cubrir varias partes interesadas del pentest?
Sí, en una organización pequeña. Nombre un suplente de todos modos.
¿Quién lee el informe?
Los ingenieros leen los hallazgos y la dirección lee el resumen.
¿Cuándo deben nombrarse las partes interesadas del pentest?
En el alcance por escrito, antes de fijar la ventana de prueba.
Guías relacionadas
Nombre primero a las personas clave
Envíe su lista de partes interesadas con un resumen breve. Respondemos con un alcance por escrito y una tarifa fija.
Pregunte por pruebas autorizadas