CondicionadoAUD-02
Ejemplo
Portal de clientes: dos cambios para quedar apto
El dominio no publica DMARC y la API deja que cualquier sitio lea sus respuestas.
- Frente a la anterior
- 4 cerrados · 1 nuevo
- Pendientes
- 2
Servicio · Seguridad
Auditoría de seguridad
Revisamos lo que sus sistemas exponen a internet y cómo están configurados. Cada sistema recibe un veredicto por escrito: apto, condicionado o no apto.
No escaneamos nada hasta que usted firma el alcance y la carta de autorización.
Para quién es
Cuándo conviene una auditoría
Heredó un sistema o cambió de proveedor
Antes de hacerse cargo, para saber en qué estado lo recibe y qué quedó pendiente.
Va a publicar un sistema nuevo
El veredicto le dice si puede salir como está o qué tiene que corregir antes.
Un cliente le pide evidencia
El informe deja constancia de qué se revisó, en qué fechas y con qué resultado.
Quiere ver si las correcciones se sostienen
Una auditoría periódica compara cada informe con el anterior: lo que se cerró y lo que apareció desde entonces.
Qué revisamos
Configuración y vulnerabilidades conocidas
Las revisiones repetibles las hace una herramienta nuestra y una persona confirma cada resultado a mano. Solo revisamos lo que usted autorice por escrito.
- Cabeceras de seguridad, incluida la política de seguridad de contenido (CSP)
- Certificados y configuración de TLS
- DNS y autenticación de correo: SPF, DKIM y DMARC
- Claves de API y contraseñas publicadas por error
- CORS y tokens JWT de sus API, y su exposición a SSRF
- Vulnerabilidades conocidas, con los escáneres OWASP ZAP y Nuclei
- Auditoría únicaUna revisión completa, con su veredicto y su informe.
- Auditorías periódicasCon la frecuencia que acordemos. Cada informe trae la comparación con el anterior.
Cómo trabajamos
Siempre con los mismos pasos
Los pasos 2 y 3 se repiten igual en cada auditoría periódica. Por eso un informe se puede comparar con el anterior.
- 01
Alcance y autorización
Listamos dominio por dominio lo que entra y quién responde de cada lado. Firmamos la carta de autorización y el acuerdo de confidencialidad.
- 02
Revisión con la herramienta
La herramienta revisa cabeceras, certificados, DNS, correo y secretos expuestos, y corre OWASP ZAP y Nuclei sobre lo autorizado.
- 03
Revisión manual
Confirmamos a mano cada resultado y descartamos los falsos positivos. Si algo es crítico, se lo decimos el mismo día.
- 04
Veredicto e informe
Un veredicto por sistema, la severidad y la evidencia de cada hallazgo, y el plan de corrección.
- 05
Comparación
Tras sus correcciones, o en la siguiente auditoría periódica, repetimos la revisión; el informe marca lo cerrado y lo nuevo.
Qué recibe
Un veredicto por sistema, con su evidencia
Una parte es para dirección y otra para quien va a corregir.
Veredicto por sistema
Apto, condicionado o no apto. Si es condicionado, las condiciones van escritas.
Informe ejecutivo
Qué significa el veredicto para su operación, sin jerga.
Informe técnico
Cada hallazgo con su evidencia y la corrección recomendada, ordenado por severidad.
Plan de corrección
Qué corregir primero y qué puede esperar, según el riesgo.
Comparación con la auditoría anterior
Hallazgo por hallazgo: si se cerró, si sigue abierto o si es nuevo.
Antes del primer escaneo
Auditar también requiere su firma
En México, acceder sin autorización a sistemas informáticos es delito (Código Penal Federal, artículos 211 bis 1 a 211 bis 7). Una auditoría no explota fallas, pero OWASP ZAP y Nuclei envían solicitudes de prueba a su sistema; por eso la carta de autorización, firmada por quien tiene facultades para darla, va antes del primer escaneo. Lo mismo si Noxcom construyó o mantiene su sistema: la auditoría se autoriza aparte.
Preguntas
Sobre la auditoría de seguridad
Si tiene otra pregunta, escríbanos.
¿En qué se diferencia de una prueba de penetración?
La auditoría revisa a lo ancho la configuración y las vulnerabilidades conocidas de todo lo autorizado, y termina en un veredicto. La prueba de penetración explota las fallas y las encadena para ver hasta dónde llegaría un atacante. Se pueden combinar: primero la auditoría y después una prueba de penetración sobre lo que más le preocupe.
¿Qué quiere decir cada veredicto?
Apto: en lo revisado no hay hallazgos que impidan operar el sistema como está. Condicionado: puede operar mientras corrige lo que el informe enumera. No apto: hay al menos un hallazgo que debe corregirse antes de seguir exponiéndolo. Apto se refiere a lo revisado y a la fecha del informe; no vuelve invulnerable al sistema.
¿Cuánto tarda?
Entre dos y cuatro semanas, según cuántos dominios y aplicaciones entren. La fecha de entrega queda escrita en la carta antes de empezar.
¿Cómo funcionan las auditorías periódicas?
Acordamos la frecuencia y la herramienta programa cada revisión. Como cada informe se compara con el anterior, si una falla corregida reaparece tras una actualización, el informe lo señala. La carta de autorización cubre todo el periodo pactado.
¿Puede afectar la operación de mi sistema?
Los escáneres envían solicitudes de prueba, así que pactamos horario y ritmo antes de empezar. Si su sistema responde con lentitud o con errores, paramos y le avisamos.
Contacto
Díganos qué dominios quiere revisar
Con esa lista le proponemos un alcance y una fecha de entrega.