Cómo trabajamos una auditoría

Todo empieza por el alcance, y por escrito. Qué sistemas entran, qué queda fuera, en qué ventana de tiempo y con qué nivel de intrusión. Esto no es burocracia: una prueba de penetración sin autorización explícita del dueño del sistema es un delito, y el documento de alcance es lo que separa una auditoría de un incidente. Si el sistema está alojado por un tercero, hace falta además su permiso.

A partir de ahí trabajamos siguiendo la metodología OWASP, que es el estándar de la industria para seguridad de aplicaciones: reconocimiento, identificación de superficie de ataque, pruebas de las categorías de riesgo conocidas y explotación controlada para confirmar que un hallazgo es real y no un falso positivo.

Qué recibes al final

Un informe con hallazgos verificados. Cada uno con la evidencia de que es real, no una lista salida de un escáner automático sin revisar.
El riesgo de cada uno, en orden. Qué puede pasar si se explota y qué tan fácil es hacerlo, para que sepas qué arreglar el lunes y qué puede esperar al trimestre.
Cómo se cierra cada cosa. Instrucciones concretas para tu equipo técnico, no recomendaciones genéricas.
Un resumen que se entiende sin ser técnico. Para que la decisión de invertir en corregir se pueda tomar en la mesa donde se decide el presupuesto.
Verificación posterior. Volvemos a probar lo corregido, porque un arreglo que no se verifica no está arreglado.

Seguridad desde el diseño

La otra mitad de este servicio no es ofensiva. Cuando desarrollamos, la seguridad entra en el diseño: permisos por rol, validación en el servidor y no solo en el navegador, manejo cuidadoso de datos sensibles, secretos fuera del código y dependencias al día.

Sale mucho más barato que auditar al final y descubrir que la forma de arreglarlo pasa por rehacer el modelo de permisos. Si vas a construir algo nuevo, este es el momento de involucrar seguridad; si ya está en producción, el momento es ahora.

Cuándo suelen llamarnos

Las situaciones que más nos llegan:

Antes de salir a producción

Una aplicación nueva que va a manejar datos de clientes y se quiere revisar antes de abrirla al mundo.

Porque un cliente lo exige

Contratos o licitaciones que piden una auditoría de seguridad como requisito para firmar.

Después de un susto

Un intento de intrusión, una fuga o un correo sospechoso que dejó la duda de qué más está expuesto.

Sistema heredado sin revisar

Software que lleva años en producción, que nadie ha auditado nunca y que hoy sostiene la operación.

Con qué lo construimos

Elegimos cada herramienta por el problema que hay que resolver y por su mantenibilidad a largo plazo. Puedes ver el stack completo en la portada.

OWASP Pruebas de penetración Análisis de vulnerabilidades Hardening Revisión de código Linux Docker Redes AWS

Cómo empezamos

Con una conversación de diagnóstico, sin costo, en la que entendemos el proceso actual y dónde se está perdiendo tiempo o dinero. Con eso preparamos una propuesta con alcance, arquitectura, entregables y plazos. Si la apruebas, desarrollamos por iteraciones revisables hasta el despliegue en producción. Está explicado paso a paso en cómo trabajamos.

Los otros servicios

Casi todos los proyectos combinan varias áreas. Estas son las demás:

Software a medida Automatización con IA Automatización de tareas Machine Learning Apps móviles

Hacking ético y ciberseguridad