Remediación de vulnerabilidades en Centroamérica: corregimos los hallazgos de su pentest

No necesitamos haber hecho nosotros la prueba. Sirve el informe, el alcance que se probó y un contacto de su equipo que pueda abrir un servidor si hace falta.

• Los hallazgos quedan ordenados por el daño que harían en su operación, no por el color que les puso el escáner.
• Un plan con nombre y fecha. Si el hallazgo es de un proveedor, el plan lo dice.
• El cambio en el sistema, hecho por nosotros, o el procedimiento para que su gente de TI lo aplique.
• Una nota de cierre para su auditor o para el supervisor: qué se tocó, qué se volvió a probar y qué sigue abierto.

Un banco y una fintech no traen el mismo informe. El tamaño cambia. El orden del trabajo, poco.

• Leemos el informe, sea de la firma que sea, y apartamos lo que quedó demostrado de lo que el escáner supuso.
• Lo explotable, y lo que toca dinero o datos de clientes, va primero. Lo demás entra al plan con fecha.
• El parche lo ponemos nosotros, o su equipo lo pone y nosotros miramos cómo quedó.
• Volvemos a probar esos hallazgos. Cada uno queda en corregido o en pendiente.

Alguien anota que ya se corrigió. Auditoría interna suele pedir ver la prueba, no la nota. El requisito 11.4.4 de PCI DSS v4.0.1 pide lo mismo después de corregir lo explotable: repetir la prueba.

En esta página no hay tarifa. Cambia con la cantidad de hallazgos y con quién mete las manos en el servidor, su equipo o el nuestro. El número sale cuando vemos el PDF.

Este encargo es para un pentest que hizo otra firma. Si todavía no hay informe, lo que toca es una prueba con alcance y autorización por escrito. Corregir hallazgos que nadie confirmó no lleva a ningún lado.

La NRP-32, en El Salvador, pide remediar o mitigar las brechas, también las que no son críticas, y un plan para las que queden. El Art. 24 de la Circular CNBS 025/2022, en Honduras, pide pruebas de intrusión hechas por un tercero. La JM-98-2025, en Guatemala, pide pruebas de penetración internas y externas con informe técnico. Si hay tarjetas, el 11.4.4 de PCI DSS v4.0.1 pide repetir la prueba cuando lo explotable ya se corrigió. Ninguna de esas reglas nos nombra. Usted presenta lo que le entregamos.