Casi todas las propuestas de auditoría externa se terminan comparando por dos números: cuánto cuesta y cuántos días dura. Son justamente los dos datos que menos dicen sobre lo que vas a recibir. Esta es la lista de lo que sí conviene exigir por escrito antes de firmar.
¿Ya tienes una propuesta? Evalúala punto por punto
Alcance individualizado, no una categoría
Qué pedir
Pide:
- la lista concreta de dominios, subdominios, aplicaciones, APIs y rangos de IP que entran
- la lista de lo que queda excluido
Ambas deben tener versión y fecha, porque van a cambiar durante el trabajo.
Por qué
Una propuesta que dice “sus sistemas” o “su infraestructura” no tiene alcance: tiene una intención.
Activos de terceros
Presta atención especial a los activos que no son tuyos aunque los uses: si algo está alojado en un proveedor SaaS o cloud, tu autorización puede no bastar. Esa conversación es mucho más barata antes de firmar.
Qué técnicas se van a usar exactamente
Qué pedir
Pide la matriz de técnicas permitidas por tipo de activo:
- qué se enumera
- qué se prueba contra autenticación
- si habrá carga de archivos
- si se van a manipular parámetros
- si se tocan APIs
Por qué
Incluir un dominio en el alcance no debería habilitar automáticamente todo lo que se puede hacer contra él.
Si el proveedor no puede describir esto sin hablar en general, no ha definido qué va a hacer.
Ventana, ritmo y origen del tráfico
Qué pedir
Necesitas saber:
- en qué horarios se ejecuta
- con cuánta concurrencia
- a qué tasa de solicitudes
- desde qué direcciones IP
Por qué
El origen no es un detalle: sin origen identificado, tu propio equipo no puede distinguir la auditoría de un ataque real, y vas a gastar una noche investigando a tu proveedor.
Cómo se detiene todo
Qué pedir
Pide por escrito:
- el procedimiento de suspensión inmediata
- quién puede invocarlo de tu lado
- en cuánto tiempo se hace efectivo
- a quién se llama fuera de horario
Por qué
Una auditoría bien hecha casi nunca necesita el freno. La que lo necesita y no lo tiene es un incidente.
Qué pasa con la evidencia
Qué pedir
Pregunta:
- qué se guarda
- dónde queda alojado
- quién tiene acceso
- cuánto tiempo se conserva
- cómo se destruye al cerrar
Por qué
Durante una revisión se generan capturas, respuestas de servidores y, a veces, fragmentos de datos reales.
Datos personales
Pide también el protocolo para el caso incómodo: qué hacen si durante una prueba aparecen datos personales que no esperaban.
La respuesta correcta es detener y escalar, no seguir y documentar.
Cómo es el entregable
Qué pedir
Pide ver un informe de ejemplo, aunque venga anonimizado. Fíjate en:
- si cada hallazgo trae pasos de reproducción que tu equipo pueda seguir
- cómo se justifica la severidad
- si hay una recomendación accionable o solo una referencia a un estándar
Pregunta cómo combinan el puntaje técnico con el contexto de tu negocio.
Por qué
Sobre la severidad, conviene acordar de antemano que no se decide solo con un puntaje.
Un ejemplo de severidad con contexto
- CVSS altoSistema sin datos ni conectividadImporta menos
- Severidad mediaSistema en el que facturasImporta más
Una falla con CVSS alto en un sistema sin datos ni conectividad importa menos que una media en el que factura.
Retest y cierre
La auditoría termina cuando arreglaste, no cuando te entregaron.
Qué pedir
Deja claro:
- si el retest está incluido
- cuántas rondas cubre
- con qué plazo
- si requiere una autorización nueva
Por qué
Muchas propuestas guardan silencio sobre el retest, y aparece como un costo adicional justo cuando ya no tienes alternativa.
Quién ejecuta el trabajo
Qué pedir
Pregunta:
- quiénes son las personas
- qué experiencia tienen
- si hay subcontratación
Por qué
Si parte del trabajo lo hace un tercero, tu acuerdo de confidencialidad tiene que alcanzarlo.
Automatización y agentes
Si hay automatización o agentes de por medio, pregunta qué decide la máquina y qué revisa una persona antes de que un hallazgo llegue a tu bandeja.
Evalúa tu propuesta
Con la propuesta en la mano, marca qué responde por escrito en cada punto. Para lo que falte o quede a medias aparece la pregunta que conviene hacerle al proveedor.
Marca Sí, Parcial o No según lo que dice la propuesta por escrito. Nada sale de tu navegador.
- Alcance con activos y exclusiones
- Técnicas por tipo de activo
- Horario, ritmo e IP de origen
- Procedimiento de suspensión
- Manejo de la evidencia
- Informe de ejemplo y severidad
- Retest y sus condiciones
- Quién ejecuta el trabajo
0de 8 puntos por escrito
- Sí 0
- Parcial 0
- No 0
- Sin marcar 8
Sin marcar todavía
Marca los 8 puntos y verás qué conviene pedir antes de firmar.
Tramos orientativos, definidos para esta nota.
Señales para descartar una propuesta
- Promete dejarte “en cumplimiento” de una ley
Ningún proveedor externo puede hacer eso por sí solo.
- Garantiza que vas a quedar seguro o que no tienes vulnerabilidades
- Describe el alcance como “todos sus sistemas”
- Insinúa que ya encontró algo grave y que te lo cuenta si contratas
Eso es presión, no venta técnica.
- No menciona exclusiones, ni suspensión, ni retención de evidencia
- Entrega un precio sin haber preguntado qué tienes expuesto
Cómo respondemos nosotros
Nuestra respuesta a cada uno de estos puntos está en qué revisamos y qué no y en cómo funciona el pago. Si te sirve usar esta lista para evaluarnos a nosotros, mejor.