Guía de contratación
La responsabilidad en un pentest, vista desde el comprador
La responsabilidad en un pentest es la parte del contrato que dice quién asume cada riesgo. Las pruebas tocan sistemas en producción, así que la cuestión es real. Pero casi toda la protección viene de lo que se firma antes.
- Alcance firmado antes de las pruebas
- Precio fijo acordado por escrito
- Métodos de OWASP y PTES
Dónde empieza la responsabilidad en un pentest
La primera protección es la autorización. Una prueba sin el permiso firmado del propietario del sistema es ilegal según normas como la guía sobre la Ley de Fraude y Abuso Informático de Estados Unidos (18 U.S.C., sección 1030), diga lo que diga el contrato. Por eso el alcance firmado va antes que cualquier cláusula de responsabilidad.
Después, las reglas de enfrentamiento reducen el riesgo: ventanas, límites y reglas de pausa hacen menos probable una interrupción.
Las cláusulas que definen la responsabilidad en un pentest
Lea cada cláusula con una sola pregunta: si algo sale mal, ¿quién paga y cuánto? Después confirme que la respuesta es la misma para ambas partes donde corresponde.
Pida también a legal que las lea juntas, porque límites, exclusiones e indemnizaciones se combinan.
| Cláusula | Qué hace |
|---|---|
| Limitación de responsabilidad | Fija un tope, a menudo ligado a la tarifa |
| Exclusiones | Enumera las pérdidas que ninguna parte cubre |
| Indemnización | Dice quién cubre las reclamaciones de terceros |
| Declaración de autorización | El comprador confirma que puede autorizar la prueba |
| Incumplimiento de confidencialidad | A menudo queda fuera del tope |
Lista de control de la responsabilidad en un pentest
Marque lo que ya cubrió su revisión de la responsabilidad en un pentest.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
La declaración de autorización
Casi todos los contratos piden al comprador confirmar que posee los sistemas o tiene el permiso escrito del propietario. La firma se apoya en esa cláusula.
Por eso revise cada sistema del alcance antes de firmar. Si un proveedor aloja alguno, obtenga antes su consentimiento por escrito.
Confidencialidad y riesgo
Un informe filtrado puede hacer más daño que un sistema interrumpido. Por eso muchos acuerdos tratan aparte el incumplimiento de confidencialidad.
Revise también la destrucción de datos. Si no se conserva nada tras la entrega, la exposición termina cuando termina el trabajo.
Reducir la responsabilidad en un pentest en la práctica
Nombre los sistemas frágiles y exclúyalos o limítelos. Mantenga un contacto localizable durante la ventana. Acuerde por escrito la regla de pausa.
Así el contrato pasa a ser un respaldo y no la defensa principal.
Nuestra posición
Solo probamos sistemas que usted posee o tiene permiso expreso para probar, bajo un alcance firmado, una autorización escrita y unas reglas de enfrentamiento. No conservamos ningún hallazgo del cliente tras la entrega.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La Focused Exposure Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. El método sigue el Penetration Testing Execution Standard.
Dudas sobre la responsabilidad en un pentest
¿Quién asume la responsabilidad en un pentest si un sistema se cae?
Lo decide el contrato, por lo general con un tope. Las reglas de enfrentamiento lo hacen menos probable.
¿Qué es una declaración de autorización?
El comprador confirma que puede autorizar las pruebas de cada sistema.
¿La responsabilidad en un pentest por confidencialidad queda dentro del tope?
A menudo no. Revise cómo la trata su acuerdo.
¿Cómo podemos reducir la responsabilidad en un pentest?
Excluya los sistemas frágiles, mantenga un contacto localizable y acuerde una regla de pausa.
Guías relacionadas
Revise la responsabilidad en un pentest antes de firmar
Envíe un breve resumen y sus condiciones estándar. Respondemos con un alcance por escrito, nuestras condiciones y una sola cifra fija.
Pedir un precio fijo