toukan.dev

producto

Pentest Honduras

Ciberseguridad y pentesting en HondurasCiberseguridad y pentesting en Honduras

Que es

Un sistema tiene puertas. Internet, un proveedor remoto, una cuenta que varios usan, un privilegio que nadie revoco.

Pentesting es caminar esas puertas con una firma, y dejar escrito que se pudo hacer y como se cierra.

La cadena

  1. 01Sistema

    Lo que corre. Tiene nombre.

  2. 02Superficie

    Por donde se llega. Internet, proveedor, cuenta, privilegio.

  3. 03Firma

    Quien autoriza que se toque. Sin firma no hay prueba.

  4. 04Ruta

    Se camina un camino real. No se lista un puerto.

  5. 05Hallazgo

    Que se pudo hacer con eso.

  6. 06Informe

    Sistema, hallazgo, correccion. Para quien tiene que defenderlo.

Si falta un eslabon, no hay prueba. Hay un documento.

Lectura previa

Antes de pedir alcance. No se envia a nadie. Es para ver que ya puedes sostener.

Puedes nombrar los sistemas que entrarian en alcance?
Hay una persona que puede firmar que se toquen?
Sabes por donde se llega a esos sistemas?

Internet, VPN, proveedor remoto, cuentas compartidas, privilegio.

El ultimo informe nombra que entro y que no?
Si aparece un hallazgo, quien cambia el sistema?
Para ti
Tu. El que tiene que llevar evidencia a un comite, a auditoria, o a CNBS. Banco o cooperativa supervisada. A veces una red a la que le pidieron un pentest con alcance.
Tu problema
Te pidieron evidencia. El PDF de hace un ano no tiene alcance. Las normas CNBS ya existen. Falta una prueba que puedas autorizar y un informe que puedas defender.La Circular CNBS 025/2022, Art. 24, pide evaluaciones de seguridad y pruebas de intrusion ejecutadas por terceros. Si tu equipo de TI se prueba a si mismo, eso no cuenta. Auditoria interna lo va a preguntar.
El producto
Una prueba autorizada. Un informe que un comite, auditoria o CNBS pueda sostener. Hallazgos escritos para ISO 27001, PCI DSS o CNBS si esa es la evidencia que te pidieron.Prueba de intrusion por terceros, como pide el Art. 24 de la Circular CNBS 025/2022. Alcance escrito antes de empezar. Informe en espanol que un comite, auditoria o CNBS puede leer, con cada hallazgo y su correccion.

Recibes

Alcance
Sistemas nombrados. Dueno nombrado. Que entra y que no, por escrito, antes de tocar nada.
Autorizacion
Firma primero. Sin firma no hay prueba. Tu decides cuando empieza.
Prueba
Rutas reales: accesos privilegiados, exposicion a internet, cuentas compartidas, acceso remoto de proveedores.
Informe
Sistema, hallazgo, que se puede hacer con eso, como cerrarlo. Escrito para quien tiene que defenderlo.

Como corre

  1. 01Tu escribes institucion, sistemas, y para que es.
  2. 02Acordamos alcance y autorizacion. Si no cabe, te lo decimos.
  3. 03Corremos la prueba en un tiempo cerrado.
  4. 04Entregamos el informe. Cada hallazgo trae una correccion que tu equipo puede hacer.

Esto no es

  • Un dashboard.
  • Un escaneo sin autorizacion para "mostrar valor".
  • La certificacion ISO 27001 o PCI DSS. Eso lo firma quien certifica.
  • Un programa de transformacion. Esto es un producto: una prueba, un informe.
  • Un banco de 200 ingenieros. Esto no es nearshore.
  • Un firewall. Esto no es la caja, ni un SOC 24/7.

Empezar

Escribe institucion, sistemas en alcance, y si esto es para comite, CNBS, ISO 27001 o PCI DSS.

[ Pedir alcance ][ Agendar 30 min para definir el alcance ][email protected]