El servicio de Valoración de Vulnerabilidades y pruebas de penetración tiene como finalidad el descubrir posibles problemas potenciales que pudieran ser utilizados para efectuar un ataque sobre los activos de la organización. Estos problemas pudieran deberse a posibles mal configuraciones en los sistemas, alguna vulnerabilidad en los sistemas  operativos, portal web, aplicaciones del negocio o en la red misma y entender el impacto de negocio que una penetración exitosa significaría para la organización. La prueba se efectúa desde el punto de vista de un atacante para poder ensayar su posible éxito en las condiciones presentes de los sistemas, sujeto al código de Conducta de Hackeo Ético exigido por las Metodologías de la industria, como (ISC)2, OWASP, OSSTMM, ECCouncil, etc.

El conocer nuestras debilidades mediante la realización de este servicio permite al cliente Planear y prever el ataque, anticipando alguna medida de mitigación antes de que ocurra. Estos objetivos deberán estar basados en el análisis de cada una de las áreas:

Nivel de Seguridad a nivel de Portales de Internet y Sistemas Públicos

Seguridad de los Subsistemas de la Red Actual: Switches, routers, IDS, access points wireless, firewalls, etc.

Seguridad a nivel de Sistema Operativo de los servidores.

Seguridad en aplicaciones y bases de datos internas

Nivel de seguridad a nivel de Arquitectura y Protocolos de red.

Nivel de seguridad a nivel de aplicación de Telefonía IP

Estos servicios sirven como parte del enfoque de mejora continua en la seguridad y sirven para determinar el nivel de riesgo de la Organización en materia de Seguridad.

Al final del estudio se entrega un documento de Reporte de hallazgos, donde se describen los posibles hallazgos en materia de Vulnerabilidades y evidencias de las pruebas de Penetración. Este documento, contiene al menos:

Resumen Ejecutivo del servicio realizado

Detalle de vulnerabilidades por activo analizado, matriz de impacto y medida de mitigación sugerida

Observaciones acerca de arquitecturas y procesos generales de seguridad

Recomendaciones de mejora a la seguridad

Este servicio contempla el análisis de vulnerabilidades de aplicaciones, tomando como elementos las recomendaciones de OWASP y WASC. El análisis incluye la identificación y pruebas del tipo:

Al final del estudio se entregará un documento de Reporte de hallazgos, donde se describan los posibles hallazgos en materia de Vulnerabilidades encontradas en las aplicaciones. Este documento, deberá contener al menos:

Resumen Ejecutivo del servicio realizado

Resumen de vulnerabilidades encontradas

Detalle de vulnerabilidades por aplicación, riesgo asociado y forma de corregirlo

En base a las necesidades específicas de su compañía y en conjunto con su personal, desarrollaremos un plan para implementar las mejores prácticas de seguridad basado en metodologías probadas a nivel internacional.

- Assessment de Seguridad Conforme a Estándares y Mejores prácticas
- Análisis y Tratamiento de Riesgo
- Metodología BS-7799 / ISO-17799 / ISO-27001:2005
- Nivel de Tecnología
- Plan de Tratamiento de Riesgos
- Clasificación de Información
- Creación de Políticas de Seguridad
- Cumplimiento a Normativa y Leyes
- Programa de Concientización Organizacional
- Diseño de Arquitectura de Seguridad
- Diseño de controles de Seguridad
- Modelo conforme a ITIL
- Modelo conforme a CoBIT

Definición de Políticas de Seguridad Organizacionales

Este servicio permite definir un conjunto de políticas de seguridad que incluyan tecnología, procesos y elemento humano a la medida de cada organización. Como por ejemplo:

- Políticas de Uso de Encripción en los Procesos.
- Políticas de Uso Aceptable de Recursos.
- Políticas de Asignación y Administración de Passwords.
- Políticas de Uso de E-mail y de Internet.
- Políticas de Atención de Incidencias de Seguridad.
- Políticas de Control de Acceso, etc.

La definición de estas políticas permitirá al cliente contar un marco normativo sobre el cual se implantarán los controles tecnológicos en la organización.

La creación e implantación de un plan de concientización organizacional propicia que todos los niveles de su empresa cuenten con el conocimiento adecuado de la importancia de la práctica de la seguridad en el día a día, cumpliendo con las políticas definidas internamente.

De esta manera, se busca proteger la marca, la reputación y los activos de la organización, así como el respeto por las regulaciones de privacidad y marcos regulatorios y legales que apliquen.

La planeación del Programa de Entrenamiento y Conciencia de Seguridad considerará diversas formas de conciencia y entrenamiento de seguridad que incluyan:

El aprendizaje es un continuo