Guía de contratación
El contrato marco de pentest, cláusula por cláusula
Un contrato marco de pentest es el acuerdo general de servicios que está por encima de cada trabajo. Se firma una vez. Después, cada proyecto se añade como un alcance breve, así que las pruebas siguientes empiezan antes y las condiciones básicas no cambian.
- Alcance firmado antes de las pruebas
- Precio fijo acordado por escrito
- Métodos de OWASP y PTES
Por qué ayuda un contrato marco de pentest
Sin condiciones marco, cada prueba exige una revisión completa del contrato, y eso puede sumar semanas. Con un contrato marco, el área legal revisa las grandes cuestiones una sola vez, y cada nuevo proyecto solo necesita su alcance y su autorización.
Además, las condiciones se mantienen. Así el manejo de datos y la responsabilidad no cambian por accidente de una prueba a otra.
Qué debe incluir un contrato marco de pentest
Centre el acuerdo en las condiciones que aplican a todos los proyectos. Lo específico de una prueba va en su alcance.
Después confirme que los dos documentos se remiten entre sí. Como el alcance depende del contrato marco, el vínculo debe ser explícito.
| Cláusula | Qué revisar |
|---|---|
| Confidencialidad | Cubre hallazgos, informes y a cada persona implicada |
| Manejo de datos | Almacenamiento, acceso y destrucción tras la entrega |
| Autorización | Ninguna prueba sin el alcance firmado por el propietario |
| Responsabilidad | Límites y exclusiones claros y mutuos |
| Pago | Tarifa fija por alcance, facturación y vencimientos |
| Vigencia y salida | Cómo puede terminar el acuerdo cada parte |
Lista de revisión del contrato marco de pentest
Marque cada cláusula que su borrador de contrato marco de pentest ya cubre.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
La autorización en el contrato marco
El contrato marco nunca debe autorizar pruebas por sí solo. Debe indicar que cada proyecto requiere un alcance escrito firmado por el propietario del sistema. Normas como la guía sobre la Ley de Fraude y Abuso Informático de Estados Unidos (18 U.S.C., sección 1030) dependen de esa firma.
Las condiciones marco fijan las reglas, y el alcance da el permiso. Por eso conviene mantener claros ambos papeles.
Cómo se vinculan los alcances al contrato marco de pentest
En la práctica, cada nuevo proyecto es un documento breve: sistemas, fechas, reglas de enfrentamiento y tarifa fija. Para todo lo demás, remite al contrato marco.
Así una nueva prueba puede pasar del resumen al alcance firmado en días, no en semanas.
Huecos frecuentes
Un hueco habitual es un contrato marco que permite ampliar el alcance sin una nueva firma. Otro es una cláusula de datos que no dice nada sobre su destrucción. Ambos se corrigen fácilmente antes de firmar.
Revise también el orden de prelación. Si el contrato marco y un alcance no coinciden, el acuerdo debe decir cuál prevalece.
Cómo contratamos
Cada proyecto se basa en tres documentos: el alcance de trabajo, la autorización escrita del propietario del sistema y las reglas de enfrentamiento. Las pruebas empiezan en 48 horas tras la autorización.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La Focused Exposure Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Se acuerda una sola cifra fija tras el resumen de alcance, y no cambia durante el proyecto. El método sigue el Penetration Testing Execution Standard.
Dudas sobre el contrato marco de pentest
¿Necesitamos un contrato marco de pentest para una sola prueba?
No siempre. Un contrato único sirve para un proyecto puntual.
¿Un contrato marco de pentest autoriza las pruebas?
No. Cada proyecto sigue necesitando un alcance firmado por el propietario del sistema.
¿Quién lo revisa?
Legal y seguridad, una vez, antes del primer proyecto.
¿Cuánto dura un contrato marco de pentest?
Suele tener una vigencia fija, que se renueva o termina por escrito.
Guías relacionadas
Solicite un borrador de contrato marco de pentest
Envíe un breve resumen y sus condiciones estándar. Respondemos con un alcance por escrito, nuestras condiciones marco y una sola cifra fija.
Pedir un precio fijo