Confirmá quién puede autorizar
La organización debe demostrar control o permiso sobre cada activo. Un proveedor no debería ampliar dominios, redes o terceros por inferencia.
- Activos exactos incluidos y excluidos
- Ventanas y límites de carga
- Técnicas prohibidas
- Contactos y criterios de parada
Definí cómo se protege la evidencia
Acordá cifrado, acceso, retención, borrado y canal de entrega antes de que exista un hallazgo sensible.
Separá prueba de garantía
Un pentest representa objetivos, alcance y tiempo determinados. No demuestra ausencia de otras debilidades.
Compará propuestas con las mismas preguntas
Pedí que ambas propuestas respondan estos puntos por escrito. Un listado de herramientas o una cantidad de hallazgos no reemplaza el alcance.
| Punto a comparar | Qué pedir | Cómo usar la respuesta |
|---|---|---|
| Objetivo | Qué pregunta de negocio responderá la prueba | Comprobá que la devolución responde al motivo de la contratación |
| Alcance | Activos autorizados, exclusiones y terceros | Separá una cobertura real de una afirmación general |
| Entregables | Informe, reunión de devolución y tratamiento de evidencia | Confirmá quién podrá usar cada documento |
| Seguimiento | Correcciones incluidas y condiciones de una nueva prueba | Distinguí una recomendación de un trabajo adicional |
Si una propuesta solo ofrece un escaneo automatizado, preguntá en qué se diferencia de una evaluación de vulnerabilidades. Acordá cómo se documentan las limitaciones y quién acepta el cierre; no uses la ausencia de hallazgos como prueba de seguridad absoluta.
Fuentes
- NIST CSF 2.0General
- CERT-PYParaguay
Servicios relacionados con esta guía
Compará el alcance antes de pedir una cotización. La disponibilidad se confirma con cada proveedor.