Servicios de pentesting y auditoría
Cada activo pide una auditoría distinta. Aquí están todas: lo que expones a Internet, tus aplicaciones, tu red interna y tu cloud. Todas siguen el mismo proceso de seis fases, llevan su precio de partida publicado y las que necesites entran en un mismo alcance.
Confían en nosotros
Primero decidimos el enfoque
El mismo activo se puede auditar de tres maneras. La diferencia no es de matiz. Cambia la información con la que partimos y, con ella, hasta dónde se puede llegar a probar. El enfoque se decide contigo en el kick-off y queda escrito en el plan de auditoría, con las pruebas previstas y con las que quedan fuera.
Caja negra
Un pentesting de caja negra parte sin información: solo el nombre de tu empresa, igual que un atacante de fuera. Es lo que mide tu exposición real.
Exposición externa, webs públicas
Caja gris
En caja gris auditamos con acceso parcial: un usuario de tu aplicación, un empleado o alguien que ya ha logrado entrar. Responde a qué pasa cuando el atacante ya está dentro.
Aplicaciones con usuarios, red interna
Caja blanca
En caja blanca partimos con credenciales, documentación y, si procede, código fuente. Es el análisis más exhaustivo y el que más superficie cubre por euro: no gastamos tiempo en averiguar lo que puedes contarnos tú.
Software propio, cumplimiento normativo
Todo lo que podemos auditar
Organizado por tipo de activo. Sistemas y redes, aplicaciones, y plataformas y cumplimiento. Cada ficha lleva su precio de partida, lo que incluye y la metodología con la que se audita. Si no sabes cuál te toca, no hace falta que lo aciertes: nos dices qué quieres proteger y te decimos por dónde empezar.
Sistemas y redes
Aplicaciones
Plataformas y cumplimiento
Equipo acreditado por
¿Te piden una auditoría para cumplir una norma?
Cada vez más licitaciones y auditores piden una prueba de intrusión documentada. Declarar que todo está bien no basta. Nuestro informe se entrega tal cual como evidencia: alcance, fechas, metodología y, en cada hallazgo, su criticidad y las pruebas que lo demuestran. Si la norma exige verificar la corrección, tienes hasta seis meses para pedir el retest, que cierra con un informe nuevo.
¿No encuentras la norma que te aplica en el listado? Adaptamos el informe al marco que necesites: cuéntanos tu caso y te decimos cómo lo enfocamos.
Consultar mi caso →Metodologías y normas con las que trabajamos
Seis pasos. Sin desviaciones.
El mismo para todas las auditorías: seis fases, cada una con su plazo y su entregable.
Kick-Off
Definimos alcance, objetivos y reglas de juego contigo. Alineamos expectativas y accesos.
Plan de auditoría
Documento formal con metodología (OWASP, PTES, MITRE), fases de la auditoría, programación y matriz de comunicación.
Auditoría
Atacamos como lo haría un adversario real, de forma controlada y sin afectar tu operación.
Informe técnico
Documentamos cada vulnerabilidad con su evidencia, su riesgo y su remediación paso a paso.
Presentación
Explicamos el riesgo a dirección sin tecnicismos, con las prioridades en términos de negocio. Te quedas con la presentación usada.
Retest
Tienes hasta seis meses para pedirlo. Volvemos a probar lo que has corregido y lo certificamos con un informe de auditoría nuevo.
Preguntas frecuentes sobre auditorías de seguridad y pentesting
Empieza por la superficie externa, que es lo que un atacante ve sin saber nada de ti, y por la aplicación de la que depende tu negocio. Con eso cubres lo más probable. Si no lo tienes claro, nos cuentas a qué te dedicas y qué tienes publicado, y te decimos el orden y lo que cuesta cada paso.
De una a tres semanas de pruebas, según el alcance. El resto del proceso es corto: un kick-off de media hora, un día para escribir el plan de auditoría y de uno a tres días para el informe técnico. Una auditoría de configuración, como la de Microsoft 365, se queda en la parte baja de esa horquilla.
No. En el plan de auditoría queda por escrito qué se prueba, qué queda fuera y en qué ventana horaria, y esa ventana la eliges tú. En entornos donde una parada tiene consecuencias físicas, como una planta industrial o un hospital, partimos de técnicas pasivas y cada prueba activa se acuerda una a una.
Las pruebas, el informe técnico con la evidencia de cada vulnerabilidad y los pasos para reproducirla, la presentación a dirección y el retest. Nada de eso va aparte. El retest lo pides hasta seis meses después, cuando hayas corregido, y cierra con un informe nuevo. Lo que mueve la cifra final es el número de activos y de roles de usuario.
Sí. El informe se entrega tal cual al auditor: lleva el alcance, las fechas, la metodología y, en cada hallazgo, su criticidad y las pruebas que lo demuestran. El requisito 11.4 de PCI DSS y los controles de pruebas de seguridad de ISO 27001 piden exactamente eso. Si la norma exige verificar la corrección, el informe de retest la acredita.
Siempre, antes de ver un solo sistema. Trabajamos bajo NDA y con autorización expresa por escrito sobre los sistemas incluidos en el alcance: eso es lo que separa una auditoría de un acceso no autorizado. Las dos cosas quedan recogidas en el plan de auditoría que firmamos en la segunda fase.
¿Listo para saber por dónde te atacarían?
Cuéntanos qué quieres proteger y te devolvemos un alcance y un presupuesto cerrado en menos de 24 horas.
- Respuesta en menos de 24 horas laborables
- Presupuesto cerrado, sin sorpresas
- Confidencialidad bajo acuerdo (NDA)