Guía para clientes que contratan su primera prueba de penetración

1. ¿Es tu primera prueba de penetración?

Si tu empresa nunca ha contratado una prueba de penetración, es normal que no sepas exactamente qué solicitar, qué sistemas deben evaluarse, qué información debes proporcionar o qué documentos necesitas preparar.

Es posible que un cliente, un socio comercial, un auditor o tu propio equipo te haya solicitado una prueba de penetración (pentest), un análisis de seguridad o un informe que permita conocer el estado de protección de tus sistemas.

También es posible que hayas recibido una solicitud que no especifica los detalles técnicos necesarios para realizar la evaluación.

No necesitas tener todas las respuestas técnicas antes de contactar con AlcaNox.

Nuestro objetivo es ayudarte a comprender qué necesitas, identificar la información disponible y definir progresivamente el trabajo que se realizará. Te orientaremos durante la planificación para que puedas revisar y comprender el servicio propuesto antes de autorizar su ejecución.

No esperamos que diseñes una prueba de penetración por tu cuenta. Tu conocimiento del negocio, de los sistemas que utilizas y de la solicitud recibida constituye el punto de partida para definir la evaluación.

2. ¿Por dónde debes empezar?

El primer paso consiste en comprender por qué necesitas la evaluación y qué resultado esperas obtener.

Para iniciar la conversación con AlcaNox, puedes compartir la información que ya conoces, aunque todavía no dispongas de un inventario técnico completo.

Información inicial que puede ayudarnos

• Motivo de la solicitud: explica si la prueba fue solicitada por un cliente, un auditor, un socio comercial, la dirección de tu empresa o por una iniciativa interna.
• Indica qué te pidieron exactamente.
• Sistema que podría evaluarse: indica si se trata de una página web, una aplicación, una API, una infraestructura de red u otro entorno tecnológico. Si no estás seguro, podemos ayudarte a aclararlo.
• Resultado esperado: explica si necesitas identificar vulnerabilidades, obtener un informe técnico, preparar un resumen ejecutivo o responder a una solicitud específica.
• Fecha límite: indica si existe una fecha de entrega o un compromiso comercial que debamos considerar.
• Restricciones conocidas: menciona cualquier limitación operativa, dependencia de terceros o sistema que no pueda interrumpirse.

Esta información inicial nos permite comprender tu necesidad y determinar qué preguntas deben resolverse antes de preparar una propuesta.

No es necesario que todos los campos estén completos para iniciar la conversación.

3. ¿Qué ocurre si no sabes qué tipo de prueba necesitas?

No todas las solicitudes de seguridad significan lo mismo. Por ejemplo, una empresa puede pedir un análisis de vulnerabilidades cuando en realidad necesita una prueba de penetración.

Por eso, antes de definir el servicio, es importante aclarar qué actividad se espera y para qué se utilizarán sus resultados.

AlcaNox puede ayudarte a distinguir entre las necesidades que deben analizarse durante la definición del servicio:

• Análisis de vulnerabilidades: busca identificar posibles debilidades de seguridad mediante técnicas y herramientas acordes con el servicio contratado.
• Prueba de penetración: evalúa la seguridad de los activos autorizados mediante actividades controladas destinadas a investigar y explotar vulnerabilidades y, cuando corresponda, su impacto.

La descripción que recibiste es el punto de partida, no necesariamente el plan definitivo de pruebas.

AlcaNox te ayudará a identificar qué información falta y qué aspectos deben confirmarse. La aceptación final de los resultados por parte de un cliente, auditor u otra entidad solicitante dependerá de sus propios requisitos.

4. ¿Qué es el alcance y por qué no tienes que definirlo solo?

En una evaluación de seguridad, el alcance determina qué sistemas, componentes, entornos y actividades pueden incluirse en el trabajo autorizado.

Si nunca has contratado un pentest, es posible que no sepas si debes incluir tu página web, las API, los paneles administrativos, los distintos tipos de usuario o las integraciones con otros proveedores.

No necesitas resolver todas esas cuestiones sin ayuda.

A partir de la información inicial, AlcaNox te orientará para identificar los sistemas que podrían estar involucrados, aclarar las dudas pendientes y preparar una descripción del alcance que puedas revisar y aprobar.

Durante esta etapa podemos necesitar información adicional sobre:

• Aplicaciones, dominios, direcciones IP, API o componentes que se desea evaluar.
• Entornos de producción, pruebas o desarrollo.
• Tipos de usuarios y niveles de acceso relevantes.
• Sistemas conectados e integraciones con proveedores externos.
• Actividades permitidas, restricciones y exclusiones.
• Disponibilidad de cuentas de prueba y accesos necesarios.
• Horarios, condiciones operativas y contactos responsables.
• Entregables esperados y requisitos del informe.

La información solicitada dependerá del tipo de evaluación y de los activos involucrados.

Importante: identificar un sistema durante la conversación inicial no significa que quede automáticamente incluido en la prueba. Los activos y las actividades que podrán evaluarse deberán quedar definidos y aprobados en la documentación correspondiente antes de comenzar.

5. ¿Qué documentos intervienen y para qué sirve cada uno?

Para evitar confusiones, AlcaNox organiza la definición y ejecución del servicio mediante documentos con funciones diferenciadas.

5.1. SOW — Statement of Work

El SOW describe el trabajo acordado entre las partes. Permite comprender qué servicio se propone realizar, cuáles son sus objetivos, qué responsabilidades corresponden a cada parte y qué entregables se contemplan.

En esta etapa se aclaran las expectativas del cliente y las condiciones generales de la evaluación, incluyendo los resultados que se espera recibir.

5.2. Scope — Alcance técnico

El Scope identifica de manera específica los activos, sistemas, entornos y actividades comprendidos en la evaluación. También permite establecer las exclusiones, restricciones, limitaciones técnicas y demás condiciones necesarias para evitar interpretaciones equivocadas sobre qué será evaluado.

El alcance debe ser suficientemente claro para que tanto el cliente como el equipo evaluador comprendan qué está incluido y qué queda fuera del trabajo autorizado.

5.3. ROE — Rules of Engagement

El ROE establece las reglas operativas bajo las cuales se ejecutarán las pruebas. Puede contemplar los horarios autorizados, los contactos principales y de escalamiento, los canales de comunicación, las técnicas permitidas, las restricciones, las condiciones de suspensión y los procedimientos para comunicar situaciones relevantes.

Su finalidad es establecer cómo se desarrollará la evaluación y cómo se gestionarán las situaciones que puedan afectar la seguridad o la continuidad de las operaciones.

¿Cómo se relacionan estos documentos?

El SOW describe el trabajo acordado; el Scope concreta qué se puede evaluar; y el ROE determina bajo qué reglas se ejecutarán las actividades autorizadas.

AlcaNox te acompañará durante su definición para que puedas comprender el servicio antes de aprobarlo.

Esta guía es únicamente orientativa. No sustituye el SOW, el Scope, el ROE, la autorización escrita, los contratos ni los demás documentos que correspondan a la prestación del servicio.

6. ¿Qué responsabilidades tendrá tu empresa?

Una evaluación de seguridad requiere colaboración entre el cliente y el equipo evaluador. AlcaNox te explicará qué información, permisos y preparativos se necesitan para el servicio concreto que se haya definido.

Según el alcance acordado, tu empresa deberá proporcionar o confirmar:

• Autorización: acreditar que tiene facultades para autorizar la evaluación o conseguir los permisos correspondientes del propietario de los sistemas.
• Información: proporcionar datos suficientemente precisos sobre los sistemas, su funcionamiento y las restricciones conocidas.
• Accesos: preparar las cuentas, los roles y los mecanismos de acceso que se hayan acordado.
• Contactos: designar una persona responsable y, cuando corresponda, un contacto de escalamiento que pueda responder durante la evaluación.
• Restricciones: informar sobre procesos sensibles, operaciones críticas, dependencias externas y actividades prohibidas.
• Preparación operativa: coordinar, según corresponda, las copias de seguridad, la supervisión, las ventanas de mantenimiento y las comunicaciones internas.
• Revisión de resultados: analizar los hallazgos recibidos y coordinar las medidas correctivas que correspondan.
• Nuevas pruebas: facilitar la verificación de las correcciones cuando se haya acordado un servicio de reevaluación.

AlcaNox te indicará qué requisitos son aplicables y cuáles deben resolverse antes de comenzar.

La responsabilidad de AlcaNox es realizar las actividades que hayan sido acordadas y autorizadas, comunicar las limitaciones relevantes y documentar los resultados obtenidos. La corrección de las vulnerabilidades dentro de los sistemas del cliente deberá coordinarse según las responsabilidades establecidas para el servicio.

7. ¿Qué debes preparar antes de comenzar las pruebas?

Una vez aclarado el objetivo y elaborado el alcance propuesto, se revisará si existen las condiciones necesarias para realizar la evaluación de forma controlada.

Antes del inicio deben completarse, según corresponda:

1. La revisión y aprobación del SOW y de la documentación aplicable.
2. La identificación de los activos y las actividades autorizadas en el Scope.
3. La autorización escrita necesaria para realizar las pruebas.
4. La revisión y aceptación del ROE y de las condiciones operativas.
5. La confirmación de los accesos, las cuentas y los permisos requeridos.
6. La identificación de los contactos responsables y los canales de comunicación.
7. La confirmación de las restricciones, los horarios y las condiciones de suspensión.
8. La coordinación de las medidas de protección operativa que resulten necesarias.

Si existen dependencias de terceros, también deberá verificarse que se dispone de los permisos pertinentes antes de intervenir sobre los activos afectados.

Si falta una autorización, un permiso, una condición de seguridad o una definición esencial del alcance, las actividades afectadas no deberán comenzar hasta que la situación se haya resuelto.

La conversación inicial, el envío de información o la recepción de una propuesta no constituyen por sí mismos una autorización para ejecutar pruebas.

8. ¿Cómo se desarrollará la evaluación?

Una vez cumplidas las condiciones de inicio, AlcaNox realizará las actividades previstas conforme al servicio contratado y a los límites documentados.

Durante el trabajo:

• Se evaluarán únicamente los activos y las actividades autorizados.
• Se respetarán las restricciones técnicas y operativas acordadas.
• Se utilizarán los canales de comunicación establecidos para resolver dudas y comunicar situaciones relevantes.
• Se investigarán los posibles hallazgos de acuerdo con la metodología y las condiciones de la evaluación.
• Se documentarán las limitaciones que puedan afectar la cobertura o la interpretación de los resultados.
• Se aplicarán las condiciones de suspensión y escalamiento previstas cuando corresponda.

Si durante las pruebas se identifica la necesidad de ampliar el alcance, cambiar una técnica o incorporar un sistema que no estaba incluido, el cambio deberá revisarse y aprobarse por escrito antes de realizar las actividades afectadas.

Del mismo modo, si se detecta una situación que pueda comprometer la estabilidad de un sistema o superar las condiciones autorizadas, se actuará de acuerdo con las reglas de comunicación, escalamiento y suspensión establecidas.

9. ¿Qué recibirás al finalizar?

Los entregables dependerán del servicio contratado y de lo establecido en el SOW.

Cuando corresponda, los resultados podrán incluir un informe técnico que describa:

• El objetivo de la evaluación.
• Los sistemas y componentes incluidos en el alcance.
• Las actividades realizadas y sus limitaciones.
• Los hallazgos identificados y la evidencia pertinente.
• La descripción del riesgo y su posible impacto.
• Las recomendaciones para abordar las vulnerabilidades.
• Las limitaciones que impidan extraer conclusiones sobre aspectos no evaluados.
• El estado de las nuevas pruebas, cuando se haya contratado una reevaluación.

Cuando se haya acordado, también podrá proporcionarse un resumen ejecutivo orientado a responsables de negocio o dirección, con una explicación de los principales riesgos y de las acciones que requieren atención.

La documentación se preparará conforme a los entregables acordados y a las condiciones de confidencialidad aplicables.

El informe representa los resultados y las limitaciones de la evaluación realizada. No constituye una garantía de que un sistema esté completamente libre de vulnerabilidades ni acredita automáticamente el cumplimiento de cualquier requisito externo.

Si la prueba responde a una solicitud de un cliente o auditor, corresponde a esa parte determinar si los resultados satisfacen sus condiciones.

Limitación de responsabilidad sobre los resultados esperados

AlcaNox no garantiza la obtención de resultados específicos ni se hace responsable de que los resultados de la evaluación satisfagan las expectativas particulares del cliente, los requisitos de terceros o los objetivos comerciales, técnicos o regulatorios que este pretenda alcanzar mediante la contratación del servicio. La prestación del servicio se limita a las actividades y los entregables expresamente acordados.

10. ¿Qué ocurre después del informe?

La evaluación no tiene por qué terminar con la entrega del informe.

Una vez recibidos los resultados, tu equipo podrá revisar los hallazgos, priorizar las medidas correctivas y coordinar su implementación.

Si el servicio contempla una nueva prueba o se acuerda posteriormente una reevaluación, AlcaNox podrá verificar los hallazgos seleccionados para determinar si las vulnerabilidades correspondientes continúan siendo reproducibles bajo las condiciones de la nueva prueba.

La reevaluación deberá tener en cuenta los activos, los hallazgos, las condiciones de acceso, el plazo y las actividades aprobadas para ese trabajo.

El resultado permitirá documentar el estado observado durante la reevaluación. No implica que todas las vulnerabilidades hayan sido corregidas ni que se hayan evaluado automáticamente otras áreas del sistema.

Para evitar malentendidos, las condiciones, el alcance y los entregables de la reevaluación deberán quedar acordados antes de su ejecución.

11. Errores comunes que te ayudaremos a evitar

Confundir una solicitud con un alcance aprobado

Una petición genérica no determina por sí sola qué sistemas se evaluarán. Primero debemos aclarar el requisito y después definir el trabajo autorizado.

Creer que todos los sistemas conectados están incluidos

Las integraciones, plataformas de terceros y otros activos deben identificarse y contar con las autorizaciones necesarias cuando corresponda.

No identificar los distintos tipos de usuario

Los permisos y las funciones disponibles para cada usuario pueden influir significativamente en la cobertura de una evaluación.

Comenzar sin autorización suficiente

La evaluación requiere los permisos correspondientes y la documentación previa necesaria. No se realizarán pruebas sobre sistemas cuya autorización no esté acreditada.

Suponer que un pentest garantiza seguridad absoluta

La evaluación proporciona evidencia sobre los sistemas, las actividades y las condiciones que se pudieron examinar. Sus resultados tienen límites definidos.

No reservar tiempo para las correcciones

La implementación de medidas correctivas puede requerir coordinación técnica, pruebas internas y planificación. Conviene contemplar esos tiempos si existe una fecha límite externa.

Entregar información sensible innecesaria

Para iniciar la conversación no necesitas enviar contraseñas, claves privadas, tokens de acceso, datos personales innecesarios, bases de datos de producción ni otros secretos. Si se requiere información sensible para ejecutar el servicio, su necesidad y el mecanismo de entrega deberán acordarse mediante los canales y procedimientos apropiados.

Cada evaluación debe responder a una necesidad concreta, tener un alcance comprensible y ejecutarse bajo condiciones expresamente autorizadas.

Nuestra prioridad es que puedas tomar decisiones informadas antes de contratar el servicio y que el trabajo se desarrolle con expectativas, responsabilidades y límites claramente definidos.