Procedimiento de Evaluación de Seguridad
Statement of Work (SOW) · Scope · Rules of Engagement (ROE)
Documento de trabajo para la planificación, delimitación y ejecución de evaluaciones de seguridad.
Statement of Work
En AlcaNox, estructuramos nuestros servicios de evaluación de seguridad mediante este Statement of Work (SOW), el documento oficial que define el alcance, objetivos, actividades, reglas y entregables acordados entre ambas partes. Su propósito es garantizar claridad total desde la planificación hasta el cierre del proyecto, estableciendo expectativas verificables, responsabilidades definidas y límites de trabajo antes de que comience cualquier actividad.
1. Objetivo del servicio
Cada evaluación se diseña según las necesidades expresadas por el cliente. Su propósito es identificar y validar riesgos y vulnerabilidades únicamente en los sistemas expresamente autorizados por escrito. El alcance, profundidad de las pruebas y resultados esperados se definen en función del tipo de evaluación contratada y las características del entorno del cliente.
Condición esencial: Ninguna prueba se ejecutará sin contar con la autorización escrita del cliente sobre los activos a evaluar. Las reglas específicas de ejecución se documentan en el documento independiente Reglas de Compromiso (Rules of Engagement — ROE), que complementa este SOW.
2. Alcance del trabajo
2.1 Elementos incluidos
Se detallan de forma explícita los activos cubiertos, que pueden comprender:
- Aplicaciones web e interfaces de programación (APIs).
- Infraestructura de red, sistemas y servicios en la nube.
- Cualquier otro componente expresamente acordado.
La descripción incluye dominios, direcciones IP, rutas, entornos, versiones y cualquier identificador necesario para delimitar con precisión qué se evaluará.
2.2 Elementos excluidos
Quedan expresamente fuera del alcance, salvo modificación formal por escrito:
- Sistemas, aplicaciones o activos no listados en este SOW.
- Activos propiedad de terceros.
- Pruebas de denegación de servicio (DoS/DDoS), a menos que se autorice explícitamente.
- Cualquier actividad no descrita en el presente documento.
La incorporación de nuevos activos o actividades requiere una actualización firmada del SOW antes de su ejecución.
2.3 Supuestos del proyecto
El trabajo se basa en los siguientes supuestos:
- La información proporcionada por el cliente sobre su entorno es veraz y completa.
- Se cuenta con acceso operativo a los activos durante las ventanas acordadas.
- Los terceros involucrados han dado su consentimiento cuando corresponda.
2.4 Ventanas y restricciones de prueba
Las pruebas se ejecutarán durante los días y horarios acordados en el SOW. Cualquier ejecución fuera de estos intervalos requiere aprobación previa por escrito. Se indicarán también las restricciones técnicas u operativas que limiten el tipo de pruebas a realizar.
2.5 Activos de terceros, proveedores externos y servicios compartidos
Los activos de terceros quedan excluidos de la evaluación salvo que su inclusión haya sido expresamente acordada por escrito y se cuente con las autorizaciones necesarias para realizar las pruebas previstas.
Esta condición puede aplicarse, entre otros, a proveedores de alojamiento web, infraestructura en la nube, servicios SaaS, CDN, APIs externas, proveedores de identidad, pasarelas de pago y cualquier otro servicio o componente tecnológico operado o administrado por una entidad distinta del cliente.
Antes de iniciar pruebas que involucren activos de terceros, deberán considerarse las siguientes condiciones:
- Identificación del proveedor
- El cliente deberá identificar los proveedores externos relacionados con los activos incluidos en la evaluación y comunicar las restricciones que conozca.
- Autorización suficiente
- Deberá verificarse que la autorización del cliente cubre los activos y las actividades previstas. La autorización para evaluar una aplicación no implica automáticamente autorización para probar toda la infraestructura que la aloja.
- Permisos adicionales
- Cuando las condiciones del proveedor, los acuerdos aplicables o las facultades del cliente lo requieran, deberá obtenerse la autorización adicional del propietario o proveedor correspondiente antes de iniciar las pruebas afectadas.
- Políticas del proveedor
- Deberán respetarse las políticas y restricciones aplicables a las pruebas de seguridad, incluidas las relativas a servicios compartidos, entornos de producción y técnicas permitidas.
- Infraestructura compartida
- La autorización sobre un activo no permite evaluar sistemas pertenecientes a otros clientes del proveedor ni componentes ajenos al alcance aprobado.
- Falta de autorización
- Cuando no pueda acreditarse el permiso necesario o exista incertidumbre sobre las actividades permitidas, el activo o la actividad afectada permanecerá excluido hasta que la situación se resuelva.
- Ampliaciones del alcance
- La incorporación de nuevos activos, proveedores o actividades requerirá la actualización y aprobación escrita del SOW y, cuando corresponda, de las ROE, además de las autorizaciones adicionales necesarias.
AlcaNox podrá suspender las pruebas que involucren a terceros cuando se detecte una autorización insuficiente, una restricción del proveedor o un riesgo de afectación a sistemas ajenos. La situación se comunicará al cliente para acordar los pasos correspondientes.
La autorización del cliente no se considerará un permiso general para evaluar activos externos que no estén cubiertos por sus facultades o por las autorizaciones obtenidas.
3. Metodología y planificación
Las actividades se organizan en fases definidas. AlcaNox podrá tomar como opciones de referencia estándares reconocidos internacionalmente, tales como NIST SP 800-115, OWASP Web Security Testing Guide (WSTG) y otras guías técnicas especializadas. Estas referencias no constituyen una lista exhaustiva ni limitan la metodología de trabajo, ya que su aplicación dependerá de la naturaleza, los objetivos y las características de cada evaluación.
Los profesionales responsables de la ejecución contarán con autonomía técnica para aplicar sus conocimientos, experiencia y criterio profesional en la selección y aplicación de metodologías, técnicas de evaluación, investigación y pruebas de penetración que resulten pertinentes para el servicio contratado, incluso cuando estas no se encuentren descritas expresamente en las guías mencionadas, siempre dentro del alcance autorizado, las restricciones establecidas y las Reglas de Compromiso (ROE) acordadas con el cliente.
El plan de trabajo detalla:
- Fases del proyecto y cronograma estimado.
- Requisitos de acceso y dependencias técnicas del cliente.
- Hitos de entrega y revisión.
- Responsabilidades específicas por fase.
4. Responsabilidades de las partes
Del cliente
- Acreditar autorización legítima sobre los activos a evaluar.
- Proporcionar accesos, credenciales, información técnica y puntos de contacto según lo acordado.
- Gestionar los permisos de terceros cuando los activos involucren a entidades externas.
- Revisar y aprobar los entregables dentro de los plazos establecidos.
- Comunicar con anticipación cualquier circunstancia que pueda afectar la ejecución del servicio.
- Mantener respaldos y medidas de contingencia sobre sus sistemas durante toda la evaluación.
De AlcaNox
- Ejecutar únicamente las actividades descritas en este SOW y dentro de las ventanas aprobadas.
- Preservar la confidencialidad e integridad de toda información obtenida durante el proyecto.
- Comunicar hallazgos de forma clara, técnica y comprensible.
- Notificar de inmediato cualquier hallazgo de criticidad crítica que requiera atención urgente.
- Informar al cliente si durante la ejecución se identifica la necesidad de ampliar el alcance; dicha ampliación solo procederá tras aprobación escrita.
4.1 Exclusión y limitación de responsabilidad
AlcaNox ejecuta las pruebas dentro de los límites y con las técnicas acordadas en este SOW y en las Reglas de Compromiso (ROE). Por lo tanto:
AlcaNox no asumirá responsabilidad por daños, interrupciones, fallas o afectaciones que existieran antes del inicio de la evaluación o que se deriven de condiciones preexistentes de los sistemas evaluados.
El cliente es responsable de informar previamente sobre la fragilidad, estabilidad limitada, restricciones operativas o condiciones especiales de los activos evaluados, así como de mantener respaldos y medidas de contingencia durante toda la evaluación.
La ocurrencia de un incidente, daño, interrupción o afectación durante la ejecución del servicio no implicará, por sí sola, la exención del pago ni la devolución de los importes acordados. El costo de los servicios contratados seguirá siendo exigible conforme a las condiciones comerciales pactadas.
La excepción a lo anterior se producirá cuando se demuestre que la afectación fue causada directamente por una actuación de AlcaNox realizada con fines maliciosos. En tal supuesto, la responsabilidad correspondiente se determinará conforme al contrato suscrito entre las partes y a la legislación aplicable.
5. Entregables
Al finalizar la evaluación, AlcaNox entrega un informe técnico adaptado al tipo de servicio contratado, que incluye según corresponda:
- Resumen ejecutivo
- Panorama general del estado de seguridad, nivel de riesgo global observado y recomendaciones prioritarias.
- Hallazgos técnicos
- Descripción detallada de cada vulnerabilidad, activo afectado, evidencias, impacto potencial y nivel de severidad.
- Recomendaciones de mitigación
- Pasos prácticos para corregir o reducir cada riesgo identificado.
Una reunión de cierre para revisar resultados se incluye cuando así se especifique en la propuesta comercial.
6. Control de cambios, plazos y aceptación
Plazos: Se establecen fechas estimadas de inicio y finalización, así como ventanas de prueba. Los retrasos motivados por accesos tardíos, información o respuestas del cliente pueden extender el cronograma sin responsabilidad para AlcaNox.
Modificaciones al alcance: Cualquier cambio, adición o eliminación de actividades requiere actualización del SOW y aprobación por escrito por ambas partes antes de proceder.
Criterios de aceptación: El servicio se da por completado una vez entregados los informes conforme al alcance acordado y tras la verificación de recepción por parte del cliente. Si en un plazo establecido no hay observaciones por escrito, se considerará aceptado.
Condiciones comerciales: Precio, forma de pago y facturación se rigen por lo indicado en la propuesta comercial y el contrato suscrito entre las partes.
7. Confidencialidad y tratamiento de la información
Todos los datos, credenciales, registros, evidencias y documentación intercambiados u obtenidos durante el servicio son información confidencial. Se aplican las medidas técnicas y organizacionales necesarias para proteger su integridad y disponibilidad. Al finalizar el proyecto y según se acuerde, se procederá a la eliminación segura de los datos recolectados, conforme a las políticas de protección de datos aplicables y al acuerdo de confidencialidad vigente.
8. Verificación posterior / Repetición de pruebas
Una vez que el cliente haya realizado las correcciones o ajustes necesarios para remediar las vulnerabilidades identificadas durante la evaluación inicial, podrá solicitar a AlcaNox una repetición de pruebas (retesting) para verificar si dichas vulnerabilidades han sido corregidas de forma efectiva.
Durante esta verificación, AlcaNox comprobará los hallazgos previamente reportados dentro del alcance acordado y documentará el resultado de cada uno, indicando si la vulnerabilidad ha sido corregida, si persiste o si no ha sido posible verificarla. Cuando corresponda, también se podrán señalar riesgos residuales observados durante la verificación.
Compromiso profesional
En AlcaNox llevamos a cabo nuestras evaluaciones con rigor técnico, respeto a la legalidad y estricto cumplimiento de lo acordado. Este SOW tiene como objetivo principal que ambas partes cuenten con un instrumento claro, preciso y verificable, de manera que los resultados del trabajo sean útiles y accionables para mejorar la postura de seguridad de su organización.
Documentos complementarios: Este SOW opera junto con las Reglas de Compromiso (ROE), la propuesta comercial y el contrato de servicios suscrito entre las partes.
Aclaración sobre el carácter del documento
Este documento constituye una referencia de trabajo para describir el alcance y las condiciones operativas propuestas para los servicios de evaluación de seguridad de AlcaNox. Por sí solo, no constituye asesoría jurídica ni sustituye la revisión legal correspondiente, el contrato de prestación de servicios, las autorizaciones escritas necesarias ni los acuerdos que deban formalizarse entre las partes. Su utilización deberá ajustarse a la legislación aplicable y a los documentos efectivamente suscritos por las partes.
Anexo técnico
Scope y Rules of Engagement (ROE)
AlcaNox — Evaluaciones de Seguridad
Documento de trabajo complementario al Statement of Work (SOW). No constituye, por sí solo, un documento legal ni sustituye los contratos, las autorizaciones escritas o los acuerdos que deban formalizarse entre las partes.
Este anexo complementa el Statement of Work (SOW) y establece los activos autorizados, las actividades permitidas, las restricciones operativas y las condiciones de ejecución de la evaluación.
Ninguna prueba podrá comenzar sin autorización escrita, alcance aprobado y aceptación de estas reglas por las partes.
Parte I. Scope — Alcance técnico
1. Activos autorizados
La evaluación se limitará exclusivamente a los activos identificados y aprobados por escrito. La relación técnica entre sistemas, la aparición en herramientas de reconocimiento o la pertenencia a una misma infraestructura no implican autorización.
| Proyecto / cliente | |
|---|---|
| Activos autorizados | |
| Entorno | |
| Propietario | |
| Actividades autorizadas | |
| Exclusiones específicas | |
| Autorización |
Los activos no identificados, pendientes de aprobación o pertenecientes a terceros sin permiso suficiente quedarán fuera del alcance.
2. Actividades y exclusiones
Las actividades permitidas serán únicamente las seleccionadas y aprobadas para el proyecto. Podrán incluir reconocimiento, identificación de servicios, análisis de vulnerabilidades y validación controlada de hallazgos.
Salvo autorización expresa y documentada, quedan excluidos:
- Denegación de servicio, estrés y pruebas de carga.
- Ingeniería social, phishing y pruebas físicas.
- Instalación de malware, persistencia y puertas traseras.
- Modificación o eliminación de datos y cambios de configuración.
- Extracción masiva de información y transacciones reales.
- Pruebas sobre sistemas de terceros no autorizados.
La explotación de vulnerabilidades requerirá autorización expresa y límites definidos. Las pruebas deberán detenerse una vez obtenida evidencia suficiente cuando continuar pueda incrementar innecesariamente el riesgo.
3. Accesos y datos
El cliente proporcionará los accesos, cuentas de prueba, roles y restricciones necesarios. AlcaNox utilizará únicamente los permisos autorizados y evitará acceder, copiar o divulgar información sensible que no sea necesaria para documentar los hallazgos.
Si se accede accidentalmente a información de terceros o se detecta una condición que pueda causar daños, se suspenderá la actividad afectada y se aplicará el procedimiento de las ROE.
Parte II. Rules of Engagement (ROE) — Reglas de compromiso
4. Condiciones de inicio
Antes de comenzar, deberán estar aprobados el SOW, el Scope, las ROE y las autorizaciones necesarias. También deberán verificarse los accesos, las restricciones y los contactos operativos y de emergencia.
La disponibilidad de un sistema, una instrucción verbal o la falta de respuesta del cliente no constituyen autorización para ampliar el alcance.
5. Horarios y ejecución
Fecha de inicio:
Fecha de finalización:
Horario autorizado:
Zona horaria:
Origen de las pruebas:
Límites de tráfico:
Las pruebas se ejecutarán dentro de los horarios y límites aprobados. Cualquier modificación relevante requerirá autorización escrita previa.
6. Comunicación y emergencias
Contacto del cliente:
Contacto alternativo o de emergencia:
Responsable de AlcaNox:
Canal de emergencia:
Ante una interrupción, exposición de información sensible, actividad fuera del alcance, vulnerabilidad crítica o posible interferencia con un incidente real, AlcaNox deberá:
- Detener la actividad afectada y evitar acciones que aumenten el riesgo.
- Contactar al responsable designado por el cliente.
- Comunicar el activo afectado, la situación observada y las medidas adoptadas.
- Registrar los hechos y conservar únicamente la evidencia necesaria.
- Mantener la suspensión hasta recibir autorización escrita para reanudar.
Si el contacto principal no responde, se utilizará el contacto alternativo. Los datos de contacto y el procedimiento de escalamiento deberán verificarse antes del inicio.
7. Suspensión y reanudación
AlcaNox podrá suspender parcial o totalmente la evaluación cuando exista riesgo de daño, autorización insuficiente, incumplimiento de las reglas o dudas razonables sobre la seguridad de las pruebas.
La reanudación requerirá confirmación escrita del representante autorizado del cliente y verificación de que las condiciones de ejecución siguen siendo válidas. Si es necesario modificar el alcance, deberá aprobarse la modificación correspondiente antes de continuar.
8. Evidencias y confidencialidad
AlcaNox recopilará únicamente la evidencia necesaria para respaldar los hallazgos. Los registros y resultados se tratarán de forma confidencial y se entregarán conforme a las condiciones establecidas en el SOW.
Al finalizar la evaluación, AlcaNox destruirá de forma segura todas las evidencias y datos recopilados, o los devolverá al cliente, según lo acordado. No se conservará ninguna copia más allá del plazo establecido en el SOW, salvo autorización escrita expresa.
Si se detecta un incidente de seguridad ajeno a las pruebas, se notificará al cliente y se evitará interferir con su investigación. La respuesta a incidentes y la investigación forense no están incluidas, salvo contratación expresa.
9. Aceptación
Las partes declaran haber revisado y aceptado el alcance, las restricciones y las reglas operativas de este anexo.
Fin del documento
Nota de uso: Este documento reúne la descripción del servicio (SOW), el alcance técnico (Scope) y las reglas de compromiso (ROE) en una sola estructura documental. Su incorporación no reemplaza la formalización de los acuerdos, las autorizaciones y las condiciones contractuales que correspondan a cada proyecto. La eficacia jurídica de sus disposiciones dependerá de su contenido definitivo, de las circunstancias de su aceptación y de la legislación aplicable.