Pentest continuo, a la medida de tu operación

Menos de 50

No se puede probar lo que no se ve, y el atacante no espera a que la lista esté terminada: arma la suya con herramientas públicas en horas. Antes de cualquier prueba, levanta lo que la empresa expone a internet, con un dueño por activo. La primera versión incompleta ya cambia el alcance de cualquier conversación sobre pruebas.

De 50 a 79

La superficie se conoce en parte, y la parte desconocida es justo la preferida del atacante: busca lo olvidado, no lo vigilado. Vale confrontar tu lista con una enumeración externa hecha de afuera hacia adentro. La diferencia entre las dos es tu punto ciego.

80 o más

Superficie mapeada y con dueños es la base correcta en tus respuestas. La próxima ganancia es la actualización continua: la superficie de ataque cambia con cada deploy, y el mapa de hace seis meses describe a otra empresa.

Menos de 50

Sin pruebas conducidas por personas, la seguridad del entorno es una hipótesis que nunca fue confrontada. El escáner cubre lo conocido; las fallas de lógica y las cadenas de fallas pequeñas solo aparecen cuando alguien lo intenta. Una primera prueba sobre los activos más expuestos convierte la hipótesis en una lista de hechos.

De 50 a 79

La prueba existe, pero como evento: ocurre cuando la auditoría lo pide o cuando sobra presupuesto. El salto de esta franja es atar la prueba a disparadores del entorno: cambio grande, sistema nuevo, integración nueva. El riesgo nace al ritmo del negocio, no al ritmo del calendario.

80 o más

Cadencia estructurada en tus respuestas. El refinamiento siguiente es variar profundidad y técnica por criticidad: el sistema que procesa pagos merece más tiempo de prueba que el sitio institucional, y una prueba siempre igual se vuelve una rutina que el entorno aprende a pasar.

Menos de 50

Una prueba ofensiva sin autorización escrita expone a la empresa y a quien prueba: jurídicamente, no hay diferencia entre una prueba informal y un ataque. Alcance, ventana, objetivos y contacto de emergencia en un documento firmado es el mínimo antes de cualquier intento. Vale también para la prueba rápida de alguien de la casa.

De 50 a 79

La autorización existe, pero los bordes están sueltos: terceros, nube, qué hacer ante un hallazgo grave. Los bordes son los que generan incidentes en medio de la prueba. Un documento estándar de reglas de compromiso, revisado por quien responde por lo legal, resuelve esto una vez y sirve para todas las pruebas siguientes.

80 o más

Reglas de compromiso maduras en tus respuestas. Mantén el documento vivo: cada nube actualiza sus propias políticas de prueba, y el contacto de emergencia de hace dos años puede ya no trabajar ahí.

Menos de 50

Una prueba cuyo informe no se vuelve corrección solo produjo un documento confidencial que describe cómo invadir la empresa. Antes de la próxima prueba, dale destino a la anterior: cada hallazgo con dueño, plazo por criticidad y estado verificable. Es la parte menos glamorosa del ciclo y la que define si vale algo.

De 50 a 79

Los hallazgos entran en un flujo, pero la corrección trata el síntoma señalado, no el patrón. Cuando la prueba encuentra una falla, la pregunta siguiente es dónde más se repitió el mismo error: la respuesta suele multiplicar el valor del informe sin costar otra prueba.

80 o más

Corrección estructurada en tus respuestas. La ganancia siguiente es realimentar el inicio del ciclo: los patrones que reaparecen en las pruebas se vuelven requisitos de desarrollo y verificaciones de build, y la falla deja de nacer.

Menos de 50

Sin retest, corregido es una declaración, no un hecho: parte de las correcciones no cierra la falla, cierra solo el camino que el informe describió. Exigir un nuevo intento de explotación después de cada corrección crítica es el hábito que convierte informes en seguridad. Sin evidencia reproducible, ni siquiera se sabe qué volver a probar.

De 50 a 79

El retest ocurre, pero depende de quién se acuerda o de lo que permite la agenda. Formalízalo: una corrección crítica solo se cierra con un nuevo intento de explotación documentado. Y exige evidencia en los informes; un hallazgo sin pasos reproducibles genera debate, no corrección.

80 o más

Ciclo de retest funcionando en tus respuestas. El refinamiento es el historial: medir cuánto tarda cada criticidad entre hallazgo, corrección y retest da el número que la dirección entiende y el argumento de presupuesto que el equipo técnico necesita.

Menos de 50

Si solo se prueba la aplicación web principal, el entorno tiene frentes enteros sin confrontar: la API que sirve a la aplicación móvil, la configuración de la nube, la red interna detrás del perímetro. El atacante elige la puerta menos vigilada, no la más famosa. Amplía el alcance en el orden de lo que más expone datos críticos.

De 50 a 79

El alcance va más allá del sitio, pero todavía hay territorio virgen, y la red interna suele ser el mayor. Una prueba que parte de la premisa de la credencial comprometida responde la pregunta que importa: cayó el perímetro, ¿qué queda? La respuesta suele reordenar prioridades.

80 o más

Cobertura amplia en tus respuestas. El paso siguiente es encadenar los frentes como lo hace el atacante: de la API a la nube, de la estación a la red interna, en un escenario continuo en vez de pruebas aisladas. Ahí aparecen los caminos que ninguna prueba de un solo frente revela.