Pentesting en Madrid

Sí, cuando hay autorización por escrito, y eso es justo lo que lo separa de un delito. Firmamos un acuerdo de confidencialidad y una autorización expresa sobre los sistemas incluidos en el alcance. Las dos cosas quedan recogidas en el plan de auditoría que firmas antes de que empecemos a probar nada.

No, con las reglas por escrito. En el plan de auditoría queda qué se prueba, qué queda fuera y en qué ventana horaria, y esa ventana la eliges tú. En Madrid solemos trabajar fuera del horario de más actividad. Si algo se sale de lo previsto, paramos y llamamos.

El análisis entrega una lista de fallos conocidos. El pentesting los encadena y demuestra hasta dónde llega quien los aproveche. En una empresa de banca y seguros la diferencia se ve en el informe: uno dice qué versiones están desactualizadas, el otro dice que desde el portal de clientes se llega al servidor de facturación.

Una vez al año como referencia, y siempre que cambie lo que entra en el alcance: una web nueva, una migración o una integración con un tercero. En España varias normas ya lo piden de forma periódica, y ISO 27001, el ENS y NIS2 es la referencia que más nos citan las empresas de Comunidad de Madrid.