Una metodología pública, para que pueda auditar cómo trabajamos.

Publicamos los estándares que seguimos, las condiciones que firmamos antes de probar, cómo tratamos sus datos y qué contiene cada informe. Si algo de esto no le sirve, es mejor que lo sepa antes de contratar.

01Fases

Ocho fases, de la autorización al retest

Metodología en ocho fasesAutorización, alcance, reconocimiento, pruebas manuales, validación, informe, corrección y retest. Las dos primeras ocurren antes de cualquier prueba. Si el retest encuentra algo abierto, se vuelve a la corrección.ANTES DE PROBARPRUEBAS AUTORIZADASDESPUÉS DEL INFORMEF1AutorizaciónFirma del titulary reglas escritasF2AlcanceActivos y rolesVentana e IPsF3ReconocimientoSuperficie y rutasTecnologíasF4PruebasWSTG, API Top 10ASVS nivel 2F5ValidaciónPrueba mínimaMáx. 3 registrosF6InformeCVSS 4.0Plan de correcciónF7CorrecciónSu equipoo el nuestroF8RetestCada hallazgoControl en CISI ALGO SIGUE ABIERTOCRITICAL → AVISO INMEDIATO, SIN ESPERAR EL INFORMEMetodología en ocho fases, de la autorización al retestF1AutorizaciónFirma del titular · y reglas escritasF2AlcanceActivos y roles · Ventana e IPsF3ReconocimientoSuperficie y rutas · TecnologíasF4PruebasWSTG, API Top 10 · ASVS nivel 2F5ValidaciónPrueba mínima · Máx. 3 registrosF6InformeCVSS 4.0 · Plan de correcciónF7CorrecciónSu equipo · o el nuestroF8RetestCada hallazgo · Control en CISI ALGO SIGUE ABIERTO: VUELTA A F7CRITICAL → AVISO INMEDIATO
Fig. 2Las fases F1 y F2 son condición: sin autorización firmada y alcance escrito no se envía una sola petición.
02Estándares

Qué estándares seguimos y para qué

EstándarVersiónPara qué lo usamos
OWASP Web Security Testing Guide (WSTG)v4.2Guía de pruebas de aplicaciones web: información, configuración, identidad, autenticación, autorización, sesiones, entradas, lógica de negocio y cliente.
OWASP ASVS5.0, nivel 2Lista de verificación de controles. Define qué debería cumplir la aplicación.
OWASP API Security Top 102023Riesgos propios de las API: BOLA, autenticación rota, autorización a nivel de función, consumo sin límites.
CIS AWS Foundations BenchmarkVigenteControles base de configuración segura para cuentas AWS.
CVSS4.0 (base)Puntaje técnico de cada hallazgo, con su vector completo.
CWEVigenteClasificación de la debilidad de fondo, útil para que el equipo encuentre casos parecidos.
03Reglas de enfrentamientoCondiciones de la prueba

Lo que firmamos antes de enviar una sola petición

Sin autorización, no hay prueba.

En Ecuador, el acceso no consentido a un sistema informático está tipificado en el artículo 234 del COIP. La autorización escrita del titular es lo que separa un pentest de un delito, y la pedimos aunque el pago ya esté hecho.

  1. Autorización firmada por el titular legítimo de los activos. Si hay terceros (proveedor de nube, SaaS, hosting), se respeta su política.
  2. Alcance exacto por escrito: dominios, API, cuentas, roles y entorno. Lo que no está listado no se prueba.
  3. Exclusiones por defecto: denegación de servicio, ingeniería social y sistemas de producción críticos, salvo pacto expreso.
  4. Ventana horaria acordada, IP de origen comunicadas antes de empezar y contactos de emergencia de ambos lados.
  5. Parada de emergencia: cualquiera de las partes puede detener las pruebas en cualquier momento.
  6. Herramientas automáticas siempre con límite de velocidad.
  7. Hallazgos de severidad Critical comunicados el mismo día en que se confirman, por el canal acordado.
  8. En el pentest web y API, un retest incluido que se solicita dentro de los 30 días posteriores a la entrega del informe.
04Manejo de datosLOPDP

Sus datos, al mínimo y con fecha de borrado

Durante una prueba podemos llegar a ver datos personales. Por eso actuamos como encargados del tratamiento según la Ley Orgánica de Protección de Datos Personales de Ecuador, con estas reglas:

  • Accedemos solo a lo necesario para demostrar un hallazgo: como máximo tres registros por prueba de concepto.
  • No extraemos datos más allá de la prueba de concepto.
  • Los datos que aparecen en el informe van enmascarados.
  • La evidencia se guarda cifrada y se elimina en el plazo acordado, por defecto 30 días después del retest.
  • Si detectamos una vulneración de datos durante la prueba, se la comunicamos de inmediato.
  • Firmamos un acuerdo de confidencialidad antes de recibir cualquier información.
05SeveridadCVSS 4.0 + impacto de negocio

Cómo calificamos cada hallazgo

Escala de severidad según CVSS 4.0: Info 0, Low 0.1 a 3.9, Medium 4.0 a 6.9, High 7.0 a 8.9, Critical 9.0 a 10.INFO · 0.0LOW0.1–3.9MEDIUM4.0–6.9HIGH7.0–8.9CRITICAL9.0–10Escala de severidad CVSS 4.0LOW0.1–3.9MEDIUM4.0–6.9HIGH7.0–8.9CRITICAL9.0–10
Fig. 3Severidad por CVSS 4.0. La etiqueta escrita acompaña siempre al color; la prioridad final considera además el impacto de negocio.
SeveridadCVSS 4.0Significado para el negocioPlazo sugerido
Critical9.0 – 10.0Compromiso total o masivo, explotable con facilidad.24 – 72 horas
High7.0 – 8.9Acceso a datos o funciones sensibles.7 días
Medium4.0 – 6.9Facilita ataques o expone información limitada.30 días
Low0.1 – 3.9Defensa en profundidad.90 días
Info0.0Buenas prácticas sin riesgo directo.A criterio
06El informe

Qué contiene cada informe

El informe tiene dos lectores. La gerencia lee el resumen ejecutivo en quince minutos y el equipo técnico encuentra en cada hallazgo todo lo necesario para reproducirlo y corregirlo.

Ver el informe de muestra

  1. Resumen ejecutivoRiesgo general en lenguaje de negocio, hallazgos por severidad, recomendaciones para la gerencia y fortalezas observadas.
  2. Alcance y metodologíaActivos, cuentas, entorno, estándares aplicados, escala de severidad y limitaciones.
  3. Hallazgos detalladosSeveridad, CVSS 4.0 y vector, activo, categoría OWASP, CWE, descripción, impacto de negocio, pasos de reproducción, evidencia enmascarada, recomendación con código y referencias.
  4. Plan de remediaciónOrden sugerido, responsable, esfuerzo estimado y plazo por hallazgo.
  5. Anexo de retestEstado de cada hallazgo después de la corrección y verificación realizada.
  6. Glosario para la gerenciaLos términos técnicos explicados en una línea.
07Límites

Lo que un pentest no es

  • No es una garantía.

    Es una muestra acotada en tiempo y alcance. Reduce el riesgo; no certifica la ausencia de vulnerabilidades.

  • No es un escaneo automático.

    Usamos herramientas, pero las fallas que más daño hacen se encuentran a mano.

  • No es una auditoría de cumplimiento.

    El informe ayuda a demostrar diligencia, pero no reemplaza la evaluación de un auditor acreditado cuando la norma la exige.

Siguiente paso

Empecemos por una llamada de 30 minutos.

Entendemos su sistema, lo que le preocupa y el plazo, y le decimos si podemos ayudar. La llamada no tiene costo y no compromete a nada.

Agendar llamada gratuita Cómo se contrata