Dudas habituales
Autorización, alcance, evidencia, pago y límites legales del servicio de seguridad externa de GH Sentinel.
10 preguntas
No. El formulario es una solicitud comercial. La autorización requiere contrato firmado, identidad y facultades verificadas, activos individualizados, exclusiones versionadas y Rules of Engagement aprobadas. Sin eso no se ejecuta ninguna prueba.
P0 es observación pasiva: usa fuentes públicas de terceros sin solicitudes a tus sistemas. P1 es navegación ordinaria con permiso previo, escrito y verificable. A1 permite pruebas activas de bajo impacto, A2 confirmación con evidencia mínima y supervisión humana, y A3 encargos especiales separados. Cada acción exige los permisos y controles de su nivel.
Identificamos al responsable técnico y a quien tiene facultades para autorizar, y verificamos el control del activo mediante un mecanismo trazable, como un registro DNS TXT o el correo corporativo del dominio. Si hay infraestructura de terceros, exigimos permiso adicional.
La denegación de servicio y las pruebas de estrés están permanentemente excluidas, incluso ante una autorización informal. El contrato define límites de solicitudes, concurrencia y horario, contactos de emergencia y un procedimiento de suspensión inmediata.
La prueba se detiene y el caso escala a revisión humana. No accedemos deliberadamente a datos reales cuando se puede usar evidencia sintética, y no descargamos volúmenes de información para acreditar una falla de control de acceso.
El informe preliminar P0 es sin costo. La revisión P1–A3 se cotiza a consulta: acordamos onboarding y alcance, y el componente principal se paga por hallazgo válido, nuevo, reproducible y dentro de alcance. La tabla de recompensas se fija por escrito antes de comenzar y no cambia a mitad de campaña.
Los duplicados, los hallazgos que ya conocías antes de empezar, los informativos sin vulnerabilidad explotable acreditada y todo lo que quede fuera del alcance acordado. Varios endpoints con una misma causa raíz suelen contar como un solo hallazgo.
Al cerrar el caso, la evidencia se elimina o se devuelve según el anexo de datos, y se conserva únicamente el registro mínimo necesario para auditoría contractual. El anexo define acceso, retención y disposición final.
No. Ningún proveedor externo puede dejar a una empresa en cumplimiento por sí solo, y no vendemos el servicio como certificación legal ni técnica. Una revisión externa aporta evidencia sobre tu superficie expuesta, que es un insumo del cumplimiento, no su equivalente.
Sí. Partimos con un informe preliminar de superficie pública P0 sin costo. Usa fuentes públicas de terceros, sin solicitudes a tus sistemas ni confirmación de vulnerabilidades. P1, A1, A2 y A3 se contratan a consulta, según los activos, las técnicas y los permisos que requiere tu empresa. La propuesta define alcance, límites, responsables y condiciones antes de comenzar. El onboarding, los plazos y las fechas de revisión se acuerdan en la propuesta de cada campaña.