Una prueba de penetración anual describe el sistema tal como era durante dos semanas del año. Un producto que publica versiones cada semana es un sistema distinto cuando se lee el informe. Las vulnerabilidades introducidas en la versión siguiente esperan a la próxima prueba o a que otro las encuentre.
Las pruebas continuas siguen el ciclo de lanzamientos. Los mismos especialistas se quedan con su producto, aprenden cómo está construido y prueban lo que ha cambiado, cuando cambia. Los hallazgos llegan a su herramienta de seguimiento en cuanto se confirman, no al final de un periodo de informe. La automatización vigila el perímetro entre versiones; cada resultado que produce lo verifica una persona antes de que le llegue a usted.
01Alcance
Qué ponemos a prueba
Pruebas de las versiones y de los cambios significativos en aplicaciones y API
Revisión periódica del perímetro externo
Verificación de las vulnerabilidades recién publicadas frente a su conjunto de tecnologías
Retest de las correcciones a petición
Evaluación periódica en profundidad de un componente seleccionado
Modelado de amenazas de las funciones previstas antes de desarrollarlas
Resumen trimestral con tendencias y causas raíz recurrentes
02Enfoque
Cómo se realiza el trabajo
01
Línea base
El proyecto empieza con una evaluación completa del alcance. Establece el estado del sistema y el conocimiento del equipo.
02
Recepción de cambios
Usted nos avisa de los lanzamientos o nos da acceso de lectura al registro de cambios. Seleccionamos los cambios que afectan a la seguridad y planificamos las pruebas.
03
Pruebas
Los cambios se prueban a mano. Entre versiones, el descubrimiento automatizado vigila el perímetro y un especialista verifica lo que detecta.
04
Entrega
Un hallazgo confirmado se convierte en un ticket en su herramienta de seguimiento, con evidencias y una corrección. El retest se activa con el estado del ticket.
Probabilidad de que se explote una vulnerabilidad conocida; se usa para priorizar.
FIRST
06Preguntas
Preguntas sobre este servicio
¿Es un escáner automático con suscripción?
No. La automatización se usa para el descubrimiento y la regresión. Las pruebas de los cambios son manuales y no se le comunica nada que no haya verificado un especialista.
¿Sustituyen las pruebas continuas a la prueba de penetración anual?
La incluyen. La línea base y las evaluaciones periódicas en profundidad generan el informe que piden marcos como PCI DSS, y la carta indica el periodo cubierto.
¿Cómo se define el volumen de trabajo?
Como un número mensual de días de pruebas, acordado de antemano. Los días que no se usan en un mes tranquilo se trasladan dentro del trimestre.