Pentesting: ¿qué parte de tu empresa deberías comprobar?
Descubre si tu principal riesgo de seguridad en tu empresa reside en tus aplicaciones web, en los sistemas conectados a Internet o en la conexión entre tu red corporativa y el entorno de producción.
¿Qué parte de tu empresa deberías evaluar primero?
La mayoría de las empresas ya cuentan con medidas de seguridad: software antivirus, cortafuegos, copias de seguridad, autenticación multifactorial o el apoyo de un proveedor de TI.
La verdadera cuestión no es simplemente si esos controles existen, sino si funcionarían cuando alguien intentara realmente acceder al sistema.
Una prueba de penetración ayuda a responder a esa pregunta mediante una evaluación autorizada y controlada. El objetivo no es elaborar la lista más extensa posible de vulnerabilidades, sino comprender a qué podría acceder un atacante, cuáles podrían ser las consecuencias y qué se debe corregir en primer lugar.
Sin embargo, no todas las organizaciones necesitan probar los mismos sistemas ni empezar por el mismo sitio. El punto de partida adecuado depende de la tecnología que sustenta el negocio.
¿Puede un fallo de seguridad afectar a tu negocio?
Las plataformas web ya no son solo escaparates corporativos. Muchas empresas las utilizan para gestionar clientes, pedidos, documentación, distribuidores y servicios internos.
Puede ser recomendable realizar una evaluación de seguridad si tu organización gestiona:
Un portal para clientes o proveedores.
Un área de usuarios privada.
Una plataforma de pedidos.
Un sitio de comercio electrónico.
Una API.
Una plataforma conectada a un ERP o CRM.
Una aplicación que procese información personal o comercial.
En estos entornos, no basta con comprobar si el software está actualizado. También deben someterse a prueba la autenticación, los permisos, las sesiones de usuario, la separación entre cuentas y la lógica de negocio.
Una vulnerabilidad de seguridad podría, por ejemplo, permitir que un cliente acceda a los pedidos de otro cliente, que un usuario modifique información sin el permiso adecuado o que una función interna quede expuesta a Internet.
Las pruebas de penetración web responden a una pregunta muy práctica:
¿Podría una vulnerabilidad en la aplicación afectar a los clientes, a las operaciones o a la información confidencial?
La Guía de pruebas de seguridad web de OWASP abarca áreas como la configuración, la gestión de identidades, la autenticación, la autorización, la gestión de sesiones, la validación de entradas y la lógica de negocio.
¿Tiene tu empresa alguna puerta de acceso?
Para facilitar el teletrabajo, realizar tareas de mantenimiento o gestionar los sistemas empresariales, las empresas ponen a disposición distintos servicios a través de Internet:
- Conexiones VPN.
- Escritorios remotos.
- Portales corporativos.
- Paneles de administración.
- Acceso para proveedores.
- Plataformas en la nube.
- Servicios de mantenimiento remoto.
Algunos de estos servicios son esenciales. Otros pueden haber quedado expuestos tras una migración, un cambio de proveedor o la finalización de un proyecto.
Una prueba de penetración externa examina lo que se puede ver y alcanzar desde Internet sin tener acceso inicial a la organización.
La evaluación ayuda a responder preguntas como:
- ¿Conocemos todos los activos publicados bajo nuestros dominios?
- ¿Siguen siendo necesarios todos esos servicios?
- ¿Utilizan software compatible y actualizado?
- ¿Están exponiendo información confidencial?
- ¿Utilizan mecanismos de acceso débiles u obsoletos?
- ¿Podrían servir de vía de acceso a otros sistemas?
El hecho de que un servicio sea visible desde Internet no significa automáticamente que sea vulnerable. Por lo tanto, es importante distinguir entre la exposición necesaria, un aspecto susceptible de mejora, una vulnerabilidad conocida y un riesgo que realmente pueda ser explotado.
La CISA recomienda identificar los sistemas accesibles desde Internet y prestar especial atención a las interfaces de gestión expuestas en dispositivos como cortafuegos, concentradores VPN, routers y sistemas de administración remota.
¿Está tu producción realmente aislada?
En una organización industrial, las redes corporativas y de producción pueden parecer independientes en un diagrama de arquitectura, aunque compartan conexiones que no resultan evidentes a primera vista.
El riesgo puede residir en:
- El acceso remoto utilizado por fabricantes o proveedores de mantenimiento.
- Dispositivos conectados tanto a redes de TI como de TO.
- Estaciones de trabajo de ingeniería.
- Reglas de cortafuegos heredadas.
- Redes inalámbricas.
- Routers móviles.
- Sistemas de monitorización.
- Servidores intermedios.
- Interfaces administrativas.
Una evaluación de la segmentación no tiene por qué comenzar interactuando con PLC, sistemas SCADA o funciones industriales sensibles. La primera fase puede centrarse en la arquitectura, las rutas de comunicación, el acceso de terceros y los servicios disponibles.
El objetivo es responder a la siguiente pregunta:
Si un dispositivo de oficina, una conexión con un proveedor o una red auxiliar se viera comprometida, ¿podría el incidente afectar al entorno de producción?
Las pruebas deben realizarse dentro de los límites acordados, en activos autorizados, con una comunicación continua y condiciones de interrupción claramente definidas.
La serie de normas ISA/IEC 62443 aborda la ciberseguridad industrial a través de conceptos como la evaluación de riesgos, las zonas, los conductos y los requisitos de seguridad adaptados a los sistemas de automatización y control industrial.
¿Qué resultados ofrece una prueba de penetración?
Una evaluación útil debe ofrecer respuestas claras:
- A qué se puede acceder.
- Qué vías de ataque son reales.
- Qué datos, servicios o procesos podrían verse afectados.
- Qué se debe corregir en primer lugar.
- Qué controles funcionan correctamente.
- Qué riesgo residual persiste tras las mejoras.
Los resultados deben presentarse en dos niveles.
Para la dirección
Una explicación concisa del riesgo empresarial, los procesos que podrían verse afectados y el orden de actuación recomendado.
Para el equipo técnico
Pruebas, activos afectados, condiciones de explotación y orientación práctica para la corrección.
No todas las empresas necesitan la misma evaluación
La primera decisión no debería ser qué tipo de prueba de penetración contratar, sino qué parte de la empresa hay que someter a prueba en primer lugar.
En CEISLAB, analizamos el contexto de la organización antes de proponer un alcance claramente definido que refleje sus sistemas, prioridades y limitaciones operativas.
Dinos qué sistemas sustentan tu negocio y te ayudaremos a identificar qué es lo que hay que someter a prueba en primer lugar.
Ponte en contacto con nuestro equipo en: [email protected]
