toukan.dev

producto

Pentest El Salvador

Ciberseguridad y pentesting en El SalvadorCiberseguridad y pentesting en El Salvador

Que es

Un sistema tiene puertas. Internet, un proveedor remoto, una cuenta que varios usan, un privilegio que nadie revoco.

Pentesting es caminar esas puertas con una firma, y dejar escrito que se pudo hacer y como se cierra.

La cadena

  1. 01Sistema

    Lo que corre. Tiene nombre.

  2. 02Superficie

    Por donde se llega. Internet, proveedor, cuenta, privilegio.

  3. 03Firma

    Quien autoriza que se toque. Sin firma no hay prueba.

  4. 04Ruta

    Se camina un camino real. No se lista un puerto.

  5. 05Hallazgo

    Que se pudo hacer con eso.

  6. 06Informe

    Sistema, hallazgo, correccion. Para quien tiene que defenderlo.

Si falta un eslabon, no hay prueba. Hay un documento.

Lectura previa

Antes de pedir alcance. No se envia a nadie. Es para ver que ya puedes sostener.

Puedes nombrar los sistemas que entrarian en alcance?
Hay una persona que puede firmar que se toquen?
Sabes por donde se llega a esos sistemas?

Internet, VPN, proveedor remoto, cuentas compartidas, privilegio.

El ultimo informe nombra que entro y que no?
Si aparece un hallazgo, quien cambia el sistema?
Para ti
Tu. El que tiene que mostrar evidencia junto a la Ley de Ciberseguridad o a ACE. Banco u operador. No somos ACE. Somos el proveedor que entrega una prueba con alcance.
Tu problema
ACE y la ley cambiaron lo que tienes que poder mostrar. La compra es evidencia, no un programa de transformacion. El ultimo PDF no tiene dueno ni alcance.NRP-23 pide pruebas de vulnerabilidad e intrusion al menos una vez al ano y cuando hay cambios. NRP-32 pide remediar todas las brechas, no solo las criticas. El informe del ano pasado no cubre lo que cambio.
El producto
Una prueba autorizada. Un informe que un responsable de cumplimiento puede poner al lado de una conversacion con ACE. ISO 27001 y PCI DSS si esa es la evidencia.Prueba anual de vulnerabilidad e intrusion para NRP-23 y NRP-32. Alcance acordado, informe que auditoria interna puede revisar, y lista de brechas para cerrar todas, no solo las criticas.

Recibes

Alcance
Sistemas nombrados. Dueno nombrado. Que entra y que no, por escrito, antes de tocar nada.
Autorizacion
Firma primero. Sin firma no hay prueba. Tu decides cuando empieza.
Prueba
Rutas reales: accesos privilegiados, exposicion a internet, cuentas compartidas, acceso remoto de proveedores.
Informe
Sistema, hallazgo, que se puede hacer con eso, como cerrarlo. Escrito para quien tiene que defenderlo.

Como corre

  1. 01Tu escribes institucion, sistemas, y para que es.
  2. 02Acordamos alcance y autorizacion. Si no cabe, te lo decimos.
  3. 03Corremos la prueba en un tiempo cerrado.
  4. 04Entregamos el informe. Cada hallazgo trae una correccion que tu equipo puede hacer.

Esto no es

  • Un dashboard.
  • Un escaneo sin autorizacion para "mostrar valor".
  • La certificacion ISO 27001 o PCI DSS. Eso lo firma quien certifica.
  • Un programa de transformacion. Esto es un producto: una prueba, un informe.
  • Un banco de 200 ingenieros. Esto no es nearshore.
  • ACE. No somos el Estado. Somos el proveedor que entrega la prueba.

Empezar

Escribe institucion, sistemas, y si esto es para la Ley de Ciberseguridad, ACE, ISO 27001 o PCI DSS.

[ Pedir alcance ][ Agendar 30 min: alcance NRP-23 / NRP-32 ][email protected]