Qué debe incluir el alcance de un pentest empresarial
Por Carlos Isidoro De Ayala Diaz ·
Activos, permisos, límites, evidencias y entregables que conviene acordar antes de una prueba de penetración autorizada.
Define la pregunta que necesita responder la prueba
Un pentest simula ataques autorizados y controlados para comprobar vulnerabilidades en un alcance. La pregunta puede referirse a permisos de una aplicación, exposición de un servicio o consecuencias de un acceso limitado. Definirla ayuda a elegir qué activos y condiciones deben incluirse. Una petición genérica de revisar toda la seguridad no permite comparar propuestas con precisión.
El resultado debe interpretarse según lo evaluado. Una prueba sobre una aplicación no acredita el estado de toda la infraestructura. Tampoco garantiza que no existan otros fallos o que no aparezcan después. Es importante que estas limitaciones se expliquen al principio y permanezcan visibles en el informe.
Identifica activos y autorización
El alcance necesita nombres o identificadores de sistemas, responsables y autorización suficiente. Deben aclararse entornos compartidos o de terceros. Que una aplicación utilice un servicio externo no autoriza a probarlo. Si aparece un activo relacionado durante el trabajo, su inclusión requiere una decisión explícita.
También se acuerdan cuentas de prueba, información disponible y restricciones. Las modalidades no se presuponen por utilizar la palabra pentesting. La propuesta especificará las modalidades, el alcance, las actuaciones de corrección y si incluye una segunda comprobación. Esta frase distingue tareas que pueden tener objetivos y costes diferentes.
Prepara reglas de ejecución y comunicación
Fechas, ventanas, contactos y condiciones de parada permiten coordinar la actividad con el negocio. Una actuación que pueda afectar disponibilidad o datos necesita condiciones específicas. Debe existir un canal para comunicar una situación relevante y una persona con capacidad para decidir cómo continuar.
Las evidencias se limitan a lo necesario para acreditar hallazgos. Se acuerdan protección, entrega y conservación, evitando redistribuir secretos o datos personales sin necesidad. El informe debe permitir comprender el problema sin exponer más información de la imprescindible.
Separa informe, corrección y segunda comprobación
El informe identifica hallazgos, impacto, prioridades y recomendaciones. Aplicar una corrección puede corresponder a otro equipo o proveedor. Una segunda comprobación verifica cambios dentro de un alcance acordado; no se da por realizada porque se haya comunicado que el problema está resuelto.
Para una empresa de Murcia o de cualquier otra provincia, la preparación puede comenzar describiendo sistemas y objetivo sin enviar credenciales en la consulta inicial. Después se fija un canal de intercambio y una propuesta concreta. Un alcance claro ayuda a entender qué se contrata y qué conclusiones podrá sostener el resultado.