Seguridad y rendimiento
Auditoría de seguridad informática para encontrar los fallos antes que un atacante.
Intentamos entrar en tu web, tus aplicaciones y tus servidores como lo haría alguien con malas intenciones, pero con tu autorización por escrito y solo en lo que hayamos acordado. Recibes un informe con qué arreglar primero y, cuando lo arreglas, volvemos a comprobarlo.
Qué resolvemos
Lo que no se revisa, alguien acaba encontrándolo.
- 01
Nunca se ha probado de verdad
La aplicación funciona y hace lo que debe, pero nadie ha intentado entrar sin contraseña, ver los datos de otro cliente o sacar por sus conexiones con otros programas más información de la permitida.
- 02
Configuraciones que nadie mira
Accesos a los servidores que se quedaron abiertos, paneles de administración a la vista de cualquiera, protecciones básicas sin activar o permisos de una prueba que siguen activos en lo que usan tus clientes.
- 03
Te piden pruebas y no las tienes
Un cliente, un socio o un inversor quiere saber cómo de segura es tu plataforma, y no tienes un informe externo que enseñarle.
Qué incluye
Pruebas reales, con permiso y con método.
Cada auditoría se ajusta al alcance que firmamos contigo. Esto es lo que solemos revisar.
Qué recibes
- Resumen de riesgos para dirección
- Informe detallado con la prueba de cada fallo
- Plan de arreglos, de lo más urgente a lo menos
- Informe actualizado tras comprobar los arreglos
- Alcance y autorización: definimos por escrito qué sistemas entran, qué pruebas se permiten, en qué horario y quién es el contacto si surge algo. Sin ese documento firmado no empezamos.
- Aplicaciones web: si se puede entrar sin permiso, hacerse pasar por otro usuario, ver lo que no te corresponde, colar órdenes dañinas a través de los formularios o saltarse las reglas de tu negocio. Seguimos las guías de referencia del sector (OWASP) y probamos a mano, no solo con una herramienta automática.
- Conexiones con otros programas (APIs): que cada petición compruebe quién la hace y qué puede ver, que no se acepten datos trampa, que no se entregue más información de la necesaria y que nadie pueda saturarlas a base de peticiones.
- Servidores y red: qué se ve desde internet, programas sin actualizar con fallos ya conocidos, si las comunicaciones viajan cifradas y si entrar en un servidor abre la puerta a los demás, siempre dentro de lo acordado.
- Configuración y nube: permisos de más, archivos que quedaron públicos por error, contraseñas y claves mal guardadas, protecciones del navegador sin activar y copias de seguridad, en tus servidores o en tu nube.
- Informe para dirección y para tu equipo: un resumen de riesgos para dirección y el detalle de cada problema para quien lo tenga que arreglar, con la prueba de que existe, su gravedad y cómo corregirlo.
- Nueva prueba tras los arreglos: cuando aplicas las correcciones, repetimos la prueba de cada problema y actualizamos el informe con lo que ya está resuelto.
Cómo lo hacemos
De la autorización firmada al informe cerrado.
- Paso 01
Alcance
Hablamos de qué te preocupa, qué sistemas tienes y qué no se puede tocar. Salimos con un alcance y unas reglas de prueba por escrito.
- Paso 02
Autorización
Firmas la autorización con el alcance, las fechas y los contactos. Si algún sistema lo gestiona un tercero, como tu hosting, también contamos con su permiso.
- Paso 03
Pruebas
Combinamos herramientas automáticas con pruebas a mano. Si encontramos algo grave, te avisamos en el momento y no esperamos al informe.
- Paso 04
Informe
Te presentamos lo que hemos encontrado en una reunión con tu equipo y resolvemos las dudas sobre cada arreglo.
- Paso 05
Nueva prueba
Cuando has hecho los arreglos, comprobamos de nuevo cada problema y te entregamos el informe actualizado.
Método y herramientas
Con qué lo probamos.
Guías públicas y herramientas conocidas en el sector, para que los resultados se puedan revisar y repetir.
- Método
- OWASP WSTG
- OWASP API Security
- CVSS
- Web y conexiones
- Burp Suite
- ZAP
- Postman
- Servidores y red
- Nmap
- OpenVAS
- testssl.sh
- Claves y piezas de terceros
- Trivy
- Gitleaks
Para quién
¿Encajamos?
Encaja contigo si…
- Tu plataforma maneja datos personales, pagos o cuentas de clientes
- Vas a lanzar algo importante y quieres revisarlo antes
- Un cliente, un socio o un inversor te pide pruebas de seguridad
- Quieres un informe con el que tu equipo pueda corregir, no solo una nota
No somos para ti si…
- Buscas un sello o una certificación oficial (te diremos a quién acudir)
- Quieres que probemos sistemas que no son tuyos o sin permiso de su responsable
- Solo necesitas una revisión automática para cumplir el expediente
Cómo contratarlo
Elige el formato.
Proyecto cerrado
Alcance, plazos y presupuesto definidos antes de empezar.
Para una auditoría con alcance firmado
Bolsa de horas
Horas de desarrollo y soporte para usar cuando las necesites.
Para hacer los arreglos
Refuerzo de equipo
Desarrolladores que se integran en tu equipo actual.
Si tu equipo corrige y necesita apoyo
Preguntas frecuentes
Sobre la auditoría de seguridad.
¿No basta con pasar una herramienta automática?
Una herramienta automática encuentra fallos ya conocidos. La auditoría la usa, pero añade pruebas a mano: saltarse permisos, juntar varios fallos pequeños hasta llegar a uno grande o aprovechar las reglas de tu aplicación, que es donde suelen esconderse los problemas graves. Si además quieres saber cómo está construido tu software por dentro, eso es una auditoría técnica.
¿Qué tengo que autorizar?
Hace falta una autorización por escrito del responsable de los sistemas, con lo que se revisa, las fechas y las pruebas permitidas. Si parte de tus sistemas la gestiona un proveedor, como tu hosting o tu nube, revisamos sus condiciones o pedimos su conformidad. Sin eso no empezamos.
¿Puede afectar a mis clientes mientras probáis?
Diseñamos las pruebas para no afectar al servicio, y las más delicadas se hacen en una copia aparte o en el horario que acordemos. Antes de empezar comprobamos contigo que hay copias de seguridad recientes y un plan por si hay que parar.
¿Cuánto cuesta una auditoría de seguridad?
Depende de cuántas aplicaciones, conexiones y servidores entran y de lo a fondo que haya que probar. Con el alcance claro te enviamos un presupuesto por escrito, con la nueva prueba tras los arreglos incluida si la quieres.
¿Arregláis vosotros lo que encontréis?
Si quieres, sí. Los arreglos en la aplicación los asumimos como proyecto o con una bolsa de horas, y los de servidores dentro de la gestión de tus servidores. También puedes dárselo a tu equipo o a otro proveedor: el informe es tuyo y lo tratamos como confidencial.
Relacionados
También te puede interesar
Auditoría técnica
Una revisión a fondo de tu software antes de invertir o de crecer.
Administración de sistemas
Servidores Linux y Windows gestionados, seguros y al día.
Monitorización 24/7
Alertas antes de que tus usuarios noten el problema.
Contacto
¿Hablamos de tu proyecto?
Cuéntanos qué necesitas. Te respondemos en menos de 24 horas laborables con los siguientes pasos, sin compromiso.