Ciberseguridad, test de intrusión y análisis de vulnerabilidades

El contexto normativo

Los ataques informáticos ya no afectan solo a las grandes organizaciones. El ransomware, el robo de credenciales, el compromiso del correo corporativo y los ataques a través de los proveedores golpean con regularidad a las pymes, a menudo aprovechando vulnerabilidades conocidas desde hace meses y nunca corregidas. La pregunta que la dirección debe hacerse no es si la empresa es atacable, sino cuánto, desde dónde y con qué consecuencias.

Las normas han tomado nota de esta realidad. El art. 32 del RGPD impone medidas de seguridad adecuadas al riesgo e indica expresamente, entre las que deben adoptarse cuando proceda, un procedimiento para probar, verificar y evaluar periódicamente la eficacia de las medidas técnicas y organizativas. La Directiva NIS2, transpuesta en Italia mediante el Decreto Legislativo italiano 138/2024, exige a los sujetos esenciales e importantes adoptar medidas de gestión de los riesgos de ciberseguridad y evaluar su eficacia (art. 24), con responsabilidades directas de los órganos de administración (art. 23). Las especificaciones técnicas y los plazos los fija la Agencia para la Ciberseguridad Nacional (ACN), la autoridad italiana que supervisa su aplicación.

La ISO/IEC 27001:2022 incluye entre sus controles la gestión de las vulnerabilidades técnicas (A.8.8) y las pruebas de seguridad en desarrollo y aceptación (A.8.29), que deben revisarse en la supervisión periódica del sistema. En el sector financiero, el Reglamento DORA introduce un programa periódico de pruebas de resiliencia operativa digital.

Nuestro enfoque

Un test de seguridad vale lo que vale su preparación. Por eso la primera fase es siempre la definición del perímetro: entendemos junto con la empresa qué sistemas cuentan de verdad para el negocio, qué datos hay que proteger y qué actividades no pueden detenerse. De ahí derivan la amplitud de las verificaciones, el tipo de test y las reglas de actuación (rules of engagement), formalizadas en una autorización por escrito y cubiertas por un acuerdo de confidencialidad.

Distinguimos con claridad las dos herramientas. El análisis de vulnerabilidades es una fotografía amplia y repetible: escaneo sistemático, verificación manual de los resultados, clasificación con CVSS. El test de intrusión es una investigación en profundidad: explotación controlada de las vulnerabilidades para medir las consecuencias efectivas de un ataque, con enfoque black, grey o white box según lo que se sepa de los sistemas al comenzar. Seguimos metodologías reconocidas (PTES, NIST SP 800-115, OSSTMM) y, para las aplicaciones, los estándares OWASP.

Además de los ámbitos descritos arriba, cuando el contexto lo requiere extendemos las verificaciones a los entornos OT e IoT y, para las organizaciones más maduras, a ejercicios de red team que ponen a prueba toda la capacidad de detección y respuesta. El trabajo no termina con el informe: el retest y el acompañamiento en la corrección forman parte del recorrido.

Qué distingue nuestro servicio

• Dos niveles de lectura: un informe ejecutivo que la dirección puede leer y usar para decidir, y un informe técnico con indicaciones que el área de sistemas puede ejecutar sin ambigüedades.
• Integración con el cumplimiento normativo: vinculamos los resultados de los test a las obligaciones del RGPD, de la NIS2 y de la ISO/IEC 27001, de modo que una sola actividad responda a varias exigencias y deje evidencias utilizables en auditorías y certificaciones.
• Resultados verificados a mano: las vulnerabilidades señaladas por las herramientas automáticas se confirman manualmente, se depuran de falsos positivos y se documentan con prueba de concepto y puntuación CVSS.
• Acompañamiento hasta el cierre: no nos detenemos en la lista de problemas, sino que permanecemos junto a los técnicos hasta que las vulnerabilidades están corregidas y verificadas.