Pentesting
Pruebas de intrusión controladas y autorizadas sobre tu web, tus aplicaciones o tu infraestructura.
- De 2 a 3 semanas según el alcance
- Autorización firmada
- Informe para dirección e informe técnico
- Remoto en toda España
Hacemos pentesting en Móstoles y en remoto para toda España: pruebas de intrusión controladas y autorizadas sobre tu web, tus aplicaciones o tu infraestructura, externa o interna.
El objetivo es encontrar los fallos antes que un atacante.
Leer más Leer menos
Cada hallazgo se entrega con su evidencia, su gravedad y la forma de corregirlo. Recibes un informe ejecutivo para dirección y un informe técnico para tu equipo. Ningún pentest puede asegurar que no habrá un incidente, pero sí te enseña qué fallos hay en lo que se ha probado y cuáles son más graves.
Pide presupuesto
Para hablar de pentesting, llámanos o escríbenos y te decimos cómo seguir.
En qué te ayudamos
- Probar una web o una aplicación nueva antes de lanzarla.
- Tener un informe de pentest reciente que te pide un cliente o un seguro.
- Saber cómo está todo después de cambiar de proveedor de sistemas.
- Comprobar hasta dónde llegaría alguien que ya está dentro de tu red.
- Conocer la gravedad de cada fallo, con la evidencia que lo demuestra.
- Dar a tu equipo una recomendación concreta para corregir cada fallo.
Qué es un pentest y qué recibes
Un pentest es una prueba de intrusión. La hacemos sobre tu web, tus aplicaciones o tu infraestructura, siempre de forma controlada y con tu autorización.
Sirve para encontrar los fallos antes que un atacante.
No se queda en una lista automática de avisos. En un pentest una persona comprueba a mano qué fallos se pueden aprovechar de verdad.
Leer más Leer menos
Lo que recibes es un resultado que se puede usar. Cada hallazgo llega con su evidencia, su gravedad y la forma de corregirlo. Así dirección sabe qué importa más y quien se ocupa de los sistemas sabe qué tiene que hacer.
Para qué empresas tiene sentido
Está pensado para empresas con una web, una tienda online o una aplicación propia. Si tu negocio depende de ellas, conviene saber qué fallos tienen y cómo de graves son.
Leer más Leer menos
También es para empresas a las que un cliente, un seguro o una auditoría les pide un pentest. En ese caso, antes de encargarlo, pregunta qué alcance te piden y qué tipo de informe esperan. Con esa información es más fácil definir bien la prueba.
Si no tienes claro si es lo que necesitas, llámanos y lo miramos contigo.
Por qué se suele encargar
Detrás de un pentest casi siempre hay un motivo concreto. Estos son los más habituales:
- Vas a lanzar una web o una aplicación nueva y quieres probarla antes.
- Un cliente o un seguro te pide un informe de pentest reciente.
- Has cambiado de proveedor de sistemas y quieres saber cómo está todo.
- Quieres comprobar hasta dónde llegaría alguien que ya está dentro de tu red.
Leer más Leer menos
Cada motivo cambia lo que conviene probar. Con una web nueva, la prueba se centra en esa web. Si quieres saber qué podría hacer alguien que ya está dentro, hace falta una prueba interna. Por eso el primer paso es contarnos qué te ha llevado a plantearlo.
Cómo trabajamos, paso a paso
No empezamos a probar nada sin haber acordado antes el alcance y sin una autorización firmada. El proceso sigue siempre este orden:
Cómo empezamos
- Nos reunimos para definir qué se prueba, cuándo y con qué límites.
- Firmamos la autorización y la ventana de pruebas.
- Hacemos las pruebas en las fechas acordadas, con una persona de contacto tuya disponible y aviso inmediato si aparece un fallo crítico.
- Entregamos los informes y te los presentamos en una reunión.
- Comprobamos las correcciones de los fallos graves.
- Reunión para definir qué se prueba, cuándo y con qué límites.
- Firma de la autorización y de la ventana de pruebas.
- Pruebas en las fechas acordadas, con una persona de contacto tuya disponible.
- Aviso inmediato si aparece un fallo crítico durante las pruebas.
- Entrega de los informes y reunión de presentación.
- Comprobación de las correcciones.
Qué incluye el servicio
El trabajo cubre desde la reunión inicial hasta la comprobación de los fallos graves. Esto es lo que entra:
Para probar webs y aplicaciones usamos metodologías públicas como la de OWASP. Es una referencia abierta sobre cómo hacer estas pruebas, no una acreditación.
Te la citamos para que sepas con qué criterio trabajamos.
- Reunión de alcance y documento de autorización firmado.
- Pruebas de web y aplicaciones.
- Pruebas de infraestructura externa, interna o ambas, según lo acordado.
- Clasificación de cada hallazgo por gravedad, con la evidencia que lo demuestra.
- Recomendación concreta de corrección para cada fallo.
- Informe ejecutivo para dirección e informe técnico para tu equipo.
- Nueva comprobación de los fallos graves una vez corregidos.
Cómo se presupuesta y cuánto dura
El precio depende de lo que entre en la prueba. Un alcance pequeño es, por ejemplo, una web o una aplicación.
El precio queda cerrado por escrito antes de empezar, y los precios que damos no incluyen IVA (21 %).
Un pentest dura de 2 a 3 semanas según el alcance. Las fechas concretas de las pruebas se fijan en la reunión inicial.
Para que podamos orientarte mejor, ten a mano qué webs, aplicaciones o sistemas quieres probar, si la prueba es externa, interna o ambas, y si tienes una fecha límite.
Si un cliente o un seguro te ha pedido el informe, dinos también qué te ha pedido exactamente.
De 2 a 3 semanas según el alcance
Qué queda fuera
- La corrección de los fallos, que hace tu equipo o se presupuesta aparte.
- Las pruebas de ingeniería social a la plantilla, que van en el servicio de concienciación.
- Las pruebas de denegación de servicio que puedan tumbar sistemas en producción.
Leer más Leer menos
Conviene saberlo antes de encargarlo, porque es lo que más se suele dar por hecho. Un pentest localiza y explica los fallos, pero no los arregla.
Tampoco hacemos pruebas de denegación de servicio que puedan tumbar sistemas en producción. Este límite forma parte de cómo trabajamos.
Cada cuánto repetirlo
Lo habitual es repetir el pentest una vez al año y después de cada cambio importante.
Un informe describe cómo estaba lo que se probó en esas fechas. Los sistemas cambian: se publica una aplicación nueva, se cambia de proveedor o se modifica la infraestructura.
Cuando eso pasa, parte de lo revisado deja de estar al día.
Leer más Leer menos
Por eso conviene anotar en el calendario la siguiente revisión y comentar con tu equipo qué cambios están previstos.
Con quién hablas
Aitor se ocupa de la dirección y de la relación con clientes. Con él puedes hablar de qué necesitas probar y de cómo encaja en tu empresa.
Antes de firmar con cualquier proveedor de pentesting, es razonable preguntar quién hará las pruebas y qué experiencia tiene en sistemas como los tuyos.
Es una pregunta normal y conviene hacerla.
Dónde trabajamos
Trabajamos en remoto en toda España y en presencial en la Comunidad de Madrid. Nuestra sede está en Móstoles.
Da igual dónde esté tu empresa para empezar a hablar: la reunión de alcance sirve para acordar qué se hace en remoto y qué, si hace falta y estás en la Comunidad de Madrid, en persona.
Lo que más se pregunta antes de empezar
Las dudas suelen ser las mismas: cuánto dura, si afectará al trabajo diario, qué acceso hace falta y cómo se fija el precio.
Un pentest tarda entre 2 y 3 semanas desde que se firma el alcance, y el precio queda cerrado por escrito antes de empezar.
Leer más Leer menos
Las pruebas se planifican para no interrumpir el trabajo. También suele preguntarse en qué se diferencia de un análisis de vulnerabilidades: ese análisis es una revisión automática, y en el pentest una persona comprueba a mano qué se puede aprovechar. En cuanto a la frecuencia, lo habitual es repetirlo una vez al año y después de cada cambio importante.
Preguntas sobre pentesting
¿Cuánto tarda un pentest?
Entre 2 y 3 semanas desde que se firma el alcance, según el número de aplicaciones y sistemas que entren en la prueba.
¿Puede afectar al funcionamiento de la empresa?
Las pruebas se planifican para no interrumpir el trabajo. Acordamos fechas, horarios y límites. Lo que pueda afectar a producción se prueba en otro entorno o se deja fuera.
¿Qué diferencia hay entre un pentest y un análisis de vulnerabilidades?
Un análisis de vulnerabilidades es una revisión automática que lista posibles fallos. En un pentest una persona comprueba a mano cuáles se pueden aprovechar de verdad y hasta dónde llegaría un atacante.
¿Cuánto cuesta?
Depende de lo que entre en la prueba. No es lo mismo un alcance pequeño, como una web o una aplicación, que varios sistemas. El precio queda cerrado por escrito antes de empezar. Llámanos, cuéntanos qué quieres probar y te decimos cómo seguir.
¿Hace falta dar acceso a nuestros sistemas?
Depende de la prueba. La externa se hace desde internet, como lo haría un atacante. La interna se hace conectados a tu red, en remoto o en persona. En las aplicaciones podemos probar con usuarios de prueba que nos des.
¿Cada cuánto conviene repetirlo?
Lo habitual es repetir el pentest una vez al año y después de cada cambio importante.
¿La corrección de los fallos entra en el pentest?
No. La corrección la hace tu equipo o se presupuesta aparte. Nosotros te damos una recomendación concreta para cada fallo y volvemos a comprobar los graves una vez corregidos.
¿Se prueba también a la plantilla?
No. Las pruebas de ingeniería social a la plantilla no forman parte del pentesting. Van en el servicio de concienciación.
Diagnóstico de exposición
Revisamos desde fuera lo que un atacante puede ver de tu empresa y te entregamos un informe para dirección y un plan priorizado.
Concienciación y simulación de phishing
Formación práctica para la plantilla y simulaciones de correos de phishing, con resultados agregados para dirección.
Vigilancia y respuesta 24/7
SOC gestionado para pymes: vigilamos equipos y servidores a todas horas, analizamos las alertas y, si un ataque es real, lo contenemos y te avisamos.
Cumplimiento NIS2, ENS e ISO 27001
Preparamos a tu empresa para NIS2, ENS o ISO/IEC 27001 y te acompañamos en la auditoría.
Cuéntanos qué quieres probar
Llámanos al +34699240879 o escríbenos a hola@oteosecurity.com. Dinos qué web, aplicación o sistemas quieres probar y si alguien te ha pedido el informe.
Con eso vemos el siguiente paso y te decimos cómo seguir.