toukan.dev

producto

Pentest Costa Rica

Ciberseguridad y pentesting en Costa Rica

Que es

Un sistema tiene puertas. Internet, un proveedor remoto, una cuenta que varios usan, un privilegio que nadie revoco.

Pentesting es caminar esas puertas con una firma, y dejar escrito que se pudo hacer y como se cierra.

La cadena

  1. 01Sistema

    Lo que corre. Tiene nombre.

  2. 02Superficie

    Por donde se llega. Internet, proveedor, cuenta, privilegio.

  3. 03Firma

    Quien autoriza que se toque. Sin firma no hay prueba.

  4. 04Ruta

    Se camina un camino real. No se lista un puerto.

  5. 05Hallazgo

    Que se pudo hacer con eso.

  6. 06Informe

    Sistema, hallazgo, correccion. Para quien tiene que defenderlo.

Si falta un eslabon, no hay prueba. Hay un documento.

Lectura previa

Antes de pedir alcance. No se envia a nadie. Es para ver que ya puedes sostener.

Puedes nombrar los sistemas que entrarian en alcance?
Hay una persona que puede firmar que se toquen?
Sabes por donde se llega a esos sistemas?

Internet, VPN, proveedor remoto, cuentas compartidas, privilegio.

El ultimo informe nombra que entro y que no?
Si aparece un hallazgo, quien cambia el sistema?
Para ti
Tu. El que opera en un banco o entidad regulada y tiene que entregar evidencia ISO 27001 o PCI DSS. No necesitas una pagina de infraestructura critica. Necesitas una prueba con alcance.
Tu problema
El operador regulado compra evidencia. El ultimo test no tiene alcance real. El comite quiere un informe que puedas sostener.
El producto
Una prueba autorizada. Un informe para ISO 27001 y PCI DSS. El mismo producto que en el resto de la region, en las palabras que ya buscas.

Recibes

Alcance
Sistemas nombrados. Dueno nombrado. Que entra y que no, por escrito, antes de tocar nada.
Autorizacion
Firma primero. Sin firma no hay prueba. Tu decides cuando empieza.
Prueba
Rutas reales: accesos privilegiados, exposicion a internet, cuentas compartidas, acceso remoto de proveedores.
Informe
Sistema, hallazgo, que se puede hacer con eso, como cerrarlo. Escrito para quien tiene que defenderlo.

Como corre

  1. 01Tu escribes institucion, sistemas, y para que es.
  2. 02Acordamos alcance y autorizacion. Si no cabe, te lo decimos.
  3. 03Corremos la prueba en un tiempo cerrado.
  4. 04Entregamos el informe. Cada hallazgo trae una correccion que tu equipo puede hacer.

Esto no es

  • Un dashboard.
  • Un escaneo sin autorizacion para "mostrar valor".
  • La certificacion ISO 27001 o PCI DSS. Eso lo firma quien certifica.
  • Un programa de transformacion. Esto es un producto: una prueba, un informe.
  • Un banco de 200 ingenieros. Esto no es nearshore.
  • Una carrera universitaria. Esto es una prueba, no un titulo.

Empezar

Escribe institucion, sistemas en alcance, y si esto es para comite, ISO 27001 o PCI DSS.

[ Pedir alcance ][email protected]