Com contractar una auditoria de seguretat sense que us colin un escaneig disfressat

Gairebé cap empresa sap del tot què està comprant quan demana una auditoria de seguretat. Sap que la necessita, té un pressupost i busca algú que l’hi faci. El problema arriba després, quan rep un informe i no té manera de saber si li han fet una feina seriosa o li han passat la sortida d’una eina automàtica amb el logotip del proveïdor a la portada.

Aquesta diferència val molts diners. Un escaneig costa una fracció del que costa una auditoria de debò, així que de vegades es ven el primer amb el nom i el preu del segon. Aquí teniu el criteri per no caure-hi, explicat des del costat de qui fa les auditories.

Abans de demanar pressupost, sapigueu què voleu protegir

El primer error es comet abans de parlar amb ningú. Moltes empreses demanen “una auditoria” sense haver decidit què volen posar a prova. Així és impossible comparar dues propostes, perquè cada proveïdor entendrà una cosa diferent. No és el mateix revisar un web de cara al públic que la xarxa interna on treballen els vostres empleats o l’aplicació amb què factureu.

Dediqueu una estona al que és avorrit abans de demanar preu. Quins sistemes us importen de debò, què passaria si cadascun caigués, què és el que no us podeu permetre perdre. Amb això clar, la conversa canvia del tot. Ja no demaneu “seguretat” en abstracte, demaneu que algú intenti entrar en allò que més us doldria perdre.

L’abast és la primera senyal

Quan arriba la proposta, el primer que us diu si teniu al davant algú seriós és com està definit l’abast. Una proposta bona és concreta. Deixa clar quins sistemes entren i quins no, des d’on es provarà, si hi haurà credencials o es comença a cegues, quants dies de feina hi ha al darrere i quin perfil els dedicarà.

Una proposta vaga és una senyal d’alarma. Si el document parla d‘“anàlisi de seguretat integral” sense concretar sobre què, o si el preu és el mateix tant si mireu un web com tota l’empresa, gairebé segur que al darrere hi ha una eina que es llança igual contra qualsevol cosa. La feina manual es cotitza per temps i per abast. Un preu pla que no depèn de res sol ser el preu de prémer un botó.

Les preguntes que destapen un proveïdor fluix

Hi ha un grapat de preguntes que no costen res i que diuen moltíssim. Pregunteu si la prova és manual o automàtica i qui la fa en concret, amb quina experiència al darrere. Pregunteu si explotaran els errors que trobin o només els llistaran, perquè explotar és el que separa una auditoria d’un inventari de sospites.

Demaneu veure un informe d’exemple, encara que vingui anonimitzat. Allà es veu en dos minuts si entreguen troballes treballades o l’abocament d’una eina. Pregunteu també per la comprovació posterior. Un proveïdor seriós torna a provar el que heu corregit per confirmar que ha quedat ben tancat, no us deixa amb una llista de deures i desapareix.

Què ha d’incloure l’informe

L’informe és l’única cosa que us queda quan la feina s’acaba, així que és on de debò es veu el que heu pagat. Un de bo té dues capes. D’una banda, un resum per a qui decideix, que explica en llenguatge clar com esteu i quin risc real correu. De l’altra, un detall tècnic per a qui ho ha d’arreglar.

Cada troballa hauria de venir amb tres coses, com es reprodueix pas a pas, quin impacte real té en el vostre negoci i una guia de correcció concreta. Aquest impacte mesurat sobre el que és vostre, no sobre una escala de colors que serveix per a qualsevol.

Si l’informe és una taula llarguíssima de vulnerabilitats ordenades per un número de color, sense narració i sense que ningú hagi comprovat quines són reals, teniu al davant la sortida d’un escàner. Un informe de debò prioritza, descarta els falsos positius i us diu per on començar dilluns al matí.

El que diu el preu

El preu no menteix tant com sembla. Una auditoria manual és feina de persones qualificades durant dies. Això té un terra per sota del qual alguna cosa no quadra.

Si un pressupost és cridanerament més barat que la resta, no és una ganga, és una altra cosa. Gairebé sempre vol dir que s’ha automatitzat el que hauria de ser manual, que l’abast real és molt menor del que creieu o que qui ho farà no té l’experiència que la feina demana.

Que sigui car tampoc no garanteix res per si sol. Per això les preguntes i l’informe d’exemple importen més que la xifra. El preu us diu per on sospitar, no per on decidir.

L’escaneig disfressat, l’error que us volen colar

Al final tot això es resumeix a no confondre dues coses que s’assemblen a la factura i no s’assemblen en res més. Un escaneig automàtic us dóna una llista. Una auditoria us dóna algú que ha intentat entrar de debò i us explica fins on ha arribat.

És la mateixa trampa de què parlàvem a pentest, red team o escaneig de vulnerabilitats, quin necessiteu de debò. El barat venut com a car tranquil·litza igual de bé que el car, fins al dia en què algú entra per on l’escàner ni va mirar. La manera de no arribar a aquell dia és saber què pregunteu abans de signar.

---

Si aneu a demanar pressupost per a una auditoria i voleu contrastar què us ofereixen, escriviu-nos a [email protected].