Evidencia que tu auditor puede contrastar.
Una organización certificada no necesita un informe de vulnerabilidades cualquiera: necesita evidencia que el auditor pueda cruzar contra controles concretos. Nuestro entregable está construido con ese criterio.
Lo que recibes al cierre
- Informe ejecutivo para dirección y comité
- Informe técnico con PoC, evidencia gráfica y pasos de reproducción
- Clasificación CVSS v3.1 (o v4.0 a pedido) y referencia OWASP por hallazgo
- Plan de remediación priorizado
- Mapeo de cada hallazgo al control que corresponde
- Carta de atestación para entregar al auditor
- Reunión de presentación de resultados
- Re-test de verificación con el estado actualizado de cada hallazgo
Qué control cubre el ejercicio
El informe cita el requisito por hallazgo. Esto es lo que normalmente contrasta un auditor de certificación o recertificación.
| Requisito de la norma | Qué aporta el ethical hacking |
|---|---|
| A.8.8 Gestión de vulnerabilidades técnicas | Identificación documentada de vulnerabilidades sobre los activos en alcance, con clasificación de riesgo y plazos de remediación sugeridos. |
| A.8.29 Pruebas de seguridad en desarrollo y aceptación | Verificación independiente de que las aplicaciones en producción resisten ataques reales, no sólo escaneos automatizados. |
| A.8.9 / A.8.20 Configuración y seguridad de redes | Validación de la configuración expuesta: servicios, cifrado, segmentación y superficie externa. |
| Cl. 9.1 Seguimiento, medición y evaluación | Medición objetiva de la eficacia de los controles del SGSI, comparable ciclo a ciclo. |
| Cl. 10.1 Mejora continua | Hallazgos priorizados que alimentan el plan de tratamiento de riesgos y el re-test de verificación. |
También sirve para tu reporte SOC 2
SOC 2 no usa la palabra "pentest", pero lo piden la mayoría de los auditores CPA y de los clientes que exigen el reporte. El ejercicio aporta evidencia para los criterios de monitoreo.
| Criterio (TSC) | Cómo lo cubre |
|---|---|
| CC4.1 | La entidad evalúa sus controles mediante evaluaciones continuas y/o separadas. Una prueba de penetración es una evaluación separada que los puntos de enfoque reconocen expresamente. |
| CC7.1 | Detección de vulnerabilidades y cambios de configuración. El ejercicio aporta evidencia de identificación de vulnerabilidades sobre los sistemas en alcance. |
El mapeo fino a los criterios de tu auditor lo cerramos en la llamada de alcance; cada firma los interpreta distinto.
El re-test es lo que cierra el hallazgo
Un informe con hallazgos ya remediados y verificados pesa mucho más ante el auditor que uno con hallazgos abiertos. Por eso el re-test va incluido y por eso recomendamos cerrar el alcance con 8 semanas de margen: 4 para ejecutar y entregar, el resto para remediar y verificar.
- Carta de atestación: documento firmado que resume alcance, metodología, fechas y estado de los hallazgos, pensado para que tu auditor lo incorpore al expediente.
- Evidencia trazable: cada hallazgo con PoC y pasos de reproducción, no una captura suelta.
- Confidencialidad: NDA antes de cualquier dato técnico; la evidencia se destruye a los 90 días del cierre.
Alinéalo con tu fecha de auditoría
Dinos cuándo es y armamos el calendario hacia atrás para que el informe llegue con los hallazgos cerrados.