Cualquier organizaci\u00f3n que maneje datos confidenciales debe ser diligente en sus esfuerzos de seguridad, que incluyen pruebas de penetraci\u00f3n peri\u00f3dicas. Incluso una peque\u00f1a filtraci\u00f3n de datos puede resultar en un da\u00f1o significativo para la reputaci\u00f3n y el resultado final de una organizaci\u00f3n.<\/p>\n
Hay dos razones principales por las que las pruebas de penetraci\u00f3n peri\u00f3dicas son necesarias para el desarrollo de aplicaciones web seguras:<\/p>\n
- \n
- Seguridad:<\/strong> Las aplicaciones web evolucionan constantemente y se descubren nuevas vulnerabilidades todo el tiempo. Las pruebas de penetraci\u00f3n ayudan a identificar vulnerabilidades que los piratas inform\u00e1ticos podr\u00edan explotar y le permiten corregirlas antes de que puedan causar alg\u00fan da\u00f1o.<\/li>\n
- Cumplimiento: <\/strong>Dependiendo de su industria y del tipo de datos que maneje, es posible que deba cumplir con ciertos est\u00e1ndares de seguridad (p. ej., PCI DSS, NIST, HIPAA). Las pruebas de penetraci\u00f3n regulares pueden ayudarlo a verificar que sus aplicaciones web cumplan con estos est\u00e1ndares y evitar sanciones por incumplimiento.<\/li>\n<\/ul>\n
\u00bfCon qu\u00e9 frecuencia debe hacer un Pentest?<\/h2>\n
Muchas organizaciones, grandes y peque\u00f1as, tener un ciclo de prueba de pluma una vez al a\u00f1o<\/a>. Pero, \u00bfcu\u00e1l es la mejor frecuencia para las pruebas de penetraci\u00f3n? \u00bfEs suficiente una vez al a\u00f1o, o necesita ser m\u00e1s frecuente?<\/p>\n
La respuesta depende de varios factores, incluido el tipo de ciclo de desarrollo que tenga, la criticidad de sus aplicaciones web y la industria en la que se encuentre.<\/p>\n
Es posible que necesite pruebas de penetraci\u00f3n m\u00e1s frecuentes si:<\/strong><\/p>\n
Tiene un ciclo de lanzamiento \u00e1gil o continuo<\/h3>\n
Los ciclos de desarrollo \u00e1giles se caracterizan por ciclos de lanzamiento cortos e iteraciones r\u00e1pidas. Esto puede dificultar el seguimiento de los cambios realizados en el c\u00f3digo base y hace que sea m\u00e1s probable que se introduzcan vulnerabilidades de seguridad.<\/p>\n
Si solo realiza pruebas una vez al a\u00f1o, es muy probable que las vulnerabilidades pasen desapercibidas durante largos per\u00edodos de tiempo. Esto podr\u00eda dejar a su organizaci\u00f3n expuesta a ataques.<\/p>\n
Para mitigar este riesgo, los ciclos de pruebas de penetraci\u00f3n deben alinearse con el ciclo de desarrollo de la organizaci\u00f3n. Para aplicaciones web est\u00e1ticas, las pruebas cada 4 a 6 meses deber\u00edan ser suficientes. Pero para las aplicaciones web que se actualizan con frecuencia, es posible que deba realizar pruebas con m\u00e1s frecuencia, por ejemplo, mensualmente o incluso semanalmente.<\/p>\n
Sus aplicaciones web son cr\u00edticas para el negocio<\/h3>\n
Cualquier sistema que sea esencial para las operaciones de su organizaci\u00f3n debe recibir atenci\u00f3n adicional en lo que respecta a la seguridad. Esto se debe a que una violaci\u00f3n de estos sistemas podr\u00eda tener un impacto devastador en su negocio. Si su organizaci\u00f3n depende en gran medida de sus aplicaciones web para hacer negocios, cualquier tiempo de inactividad podr\u00eda generar p\u00e9rdidas financieras significativas.<\/p>\n
Por ejemplo, imagine que el sitio de comercio electr\u00f3nico de su organizaci\u00f3n dej\u00f3 de funcionar durante una hora debido a un ataque DDoS. No solo perder\u00eda ventas potenciales, sino que tambi\u00e9n tendr\u00eda que lidiar con el costo del ataque y la publicidad negativa.<\/p>\n
Para evitar este escenario, es importante asegurarse de que sus aplicaciones web est\u00e9n siempre disponibles y seguras.<\/p>\n
Por lo general, las aplicaciones web no cr\u00edticas pueden probarse una vez al a\u00f1o, pero las aplicaciones web cr\u00edticas para el negocio deben probarse con m\u00e1s frecuencia para garantizar que no corran el riesgo de una interrupci\u00f3n importante o p\u00e9rdida de datos.<\/p>\n
Sus aplicaciones web est\u00e1n orientadas al cliente<\/h3>\n
Si todas sus aplicaciones web son internas, es posible que pueda realizar pruebas de penetraci\u00f3n con menos frecuencia. Sin embargo, si sus aplicaciones web son accesibles al p\u00fablico, debe ser m\u00e1s diligente en sus esfuerzos de seguridad. <\/p>\n
Las aplicaciones web accesibles al tr\u00e1fico externo tienen m\u00e1s probabilidades de ser atacadas por atacantes. Esto se debe a que hay una mayor cantidad de vectores de ataque y m\u00e1s puntos de entrada potenciales para que un atacante los explote.<\/p>\n
Las aplicaciones web orientadas al cliente tambi\u00e9n tienden a tener m\u00e1s usuarios, lo que significa que cualquier vulnerabilidad de seguridad se explotar\u00e1 m\u00e1s r\u00e1pidamente. Por ejemplo, una vulnerabilidad de secuencias de comandos entre sitios (XSS) en una aplicaci\u00f3n web externa con millones de usuarios podr\u00eda explotarse a las pocas horas de ser descubierta.<\/p>\n
Para protegerse contra estas amenazas, es importante realizar pruebas de penetraci\u00f3n en las aplicaciones web orientadas al cliente con m\u00e1s frecuencia que en las internas. Seg\u00fan el tama\u00f1o y la complejidad de la aplicaci\u00f3n, es posible que deba realizar una prueba de penetraci\u00f3n cada mes o incluso cada semana.<\/p>\n
Est\u00e1s en una industria de alto riesgo<\/h3>\n
Ciertas industrias tienen m\u00e1s probabilidades de ser objetivo<\/a> por piratas inform\u00e1ticos debido a la naturaleza sensible de sus datos. Las organizaciones de atenci\u00f3n m\u00e9dica, por ejemplo, a menudo son atacadas debido a la informaci\u00f3n de salud protegida (PHI, por sus siglas en ingl\u00e9s) que poseen.<\/p>\n
Si su organizaci\u00f3n pertenece a una industria de alto riesgo, deber\u00eda considerar realizar pruebas de penetraci\u00f3n con m\u00e1s frecuencia para asegurarse de que sus sistemas sean seguros y cumplan con las normas. Esto ayudar\u00e1 a proteger sus datos y reducir las posibilidades de un incidente de seguridad costoso.<\/p>\n
No tiene operaciones de seguridad interna o un equipo de pruebas de penetraci\u00f3n<\/h3>\n
Esto puede parecer contradictorio, pero si no tiene un equipo de seguridad interno, es posible que deba realizar pruebas de penetraci\u00f3n con m\u00e1s frecuencia. <\/p>\n
Las organizaciones que no cuentan con personal de seguridad dedicado tienen m\u00e1s probabilidades de ser vulnerables a los ataques.<\/p>\n
Sin un equipo de seguridad interno, deber\u00e1 confiar en evaluadores de penetraci\u00f3n externos para evaluar la postura de seguridad de su organizaci\u00f3n.<\/p>\n
Seg\u00fan el tama\u00f1o y la complejidad de su organizaci\u00f3n, es posible que deba realizar una prueba de penetraci\u00f3n cada mes o incluso cada semana.<\/p>\n
Est\u00e1 enfocado en fusiones o adquisiciones<\/h3>\n
Durante una fusi\u00f3n o adquisici\u00f3n, suele haber mucha confusi\u00f3n y caos. Esto puede dificultar el seguimiento de todos los sistemas y datos que deben protegerse. Como resultado, es importante realizar pruebas de penetraci\u00f3n con m\u00e1s frecuencia durante estos tiempos para garantizar que todos los sistemas est\u00e9n seguros.<\/p>\n
Las fusiones y adquisiciones tambi\u00e9n significan que est\u00e1 agregando nuevas aplicaciones web a la infraestructura de su organizaci\u00f3n. Estas nuevas aplicaciones pueden tener vulnerabilidades de seguridad desconocidas que podr\u00edan poner en riesgo a toda su organizaci\u00f3n.<\/p>\n
En 2016, Marriott adquiri\u00f3 Starwood sin saber que los piratas inform\u00e1ticos hab\u00edan aprovechado una falla en el sistema de reservas de Starwood dos a\u00f1os antes. M\u00e1s de 500 millones de registros de clientes se vieron comprometidos. Esto puso a Marriott en problemas con el regulador brit\u00e1nico ICO<\/a>, lo que result\u00f3 en 18,4 millones de libras en multas en el Reino Unido. Seg\u00fan Bloomberg, se avecinan m\u00e1s problemas, ya que el gigante hotelero podr\u00eda “enfrentar hasta $ 1 mil millones en multas regulatorias y costos de litigios”.<\/p>\n
Para protegerse contra estas amenazas, es importante realizar pruebas de penetraci\u00f3n antes y despu\u00e9s de una adquisici\u00f3n. Esto lo ayudar\u00e1 a identificar posibles problemas de seguridad para que puedan solucionarse antes de que se complete la transici\u00f3n.<\/p>\n
La importancia de las pruebas de penetraci\u00f3n continuas<\/h2>\n
Si bien las pruebas de penetraci\u00f3n peri\u00f3dicas son importantes, ya no son suficientes en el mundo actual. A medida que las empresas conf\u00edan m\u00e1s en sus aplicaciones web, las pruebas de penetraci\u00f3n continuas se vuelven cada vez m\u00e1s importantes.<\/p>\n
Hay dos tipos principales de pruebas de penetraci\u00f3n: en intervalos de tiempo y continuas.<\/strong><\/p>\n
Las pruebas de penetraci\u00f3n tradicionales se realizan en un horario establecido, como una vez al a\u00f1o. Este tipo de pruebas de penetraci\u00f3n ya no es suficiente en el mundo actual, ya que las empresas conf\u00edan m\u00e1s en sus aplicaciones web.<\/p>\n
La prueba de penetraci\u00f3n continua es el proceso de escanear continuamente sus sistemas en busca de vulnerabilidades. Esto le permite identificar y reparar vulnerabilidades antes de que puedan ser explotadas por atacantes. Las pruebas de penetraci\u00f3n continuas le permiten encontrar y corregir problemas de seguridad como suceden<\/em> en lugar de esperar a una evaluaci\u00f3n peri\u00f3dica.<\/p>\n
Las pruebas de penetraci\u00f3n continuas son especialmente importantes para las organizaciones que tienen un ciclo de desarrollo \u00e1gil. Dado que el nuevo c\u00f3digo se implementa con frecuencia, existe una mayor posibilidad de que se introduzcan vulnerabilidades de seguridad.<\/p>\n
- Cumplimiento: <\/strong>Dependiendo de su industria y del tipo de datos que maneje, es posible que deba cumplir con ciertos est\u00e1ndares de seguridad (p. ej., PCI DSS, NIST, HIPAA). Las pruebas de penetraci\u00f3n regulares pueden ayudarlo a verificar que sus aplicaciones web cumplan con estos est\u00e1ndares y evitar sanciones por incumplimiento.<\/li>\n<\/ul>\n