Las organizaciones están viviendo un acelerado proceso de transformación digital, y los ciberdelincuentes están utilizando cada vez ataques más sofisticados para acceder a redes empresariales. Es por esto que para Fluid Attacks, compañía de seguridad de sistemas informáticos, una manera de garantizar la evaluación eficaz de la seguridad en una organización es implementar las mismas herramientas y procedimientos empleados por los atacantes en el mundo real, a través de la realización de pruebas de penetración o pentesting.

Para Felipe Gómez, manager de Fluid Attacks en Latinonoamérica, “hoy en día, hackers malintencionados han revitalizado y optimizado diferentes tipos de técnicas para el robo de información sensible. Ante esto, es fundamental que toda organización sepa elegir su proveedor y un tipo de evaluación de seguridad en la que se simulan ataques reales para detectar los puntos vulnerables que los ciberdelincuentes podrían aprovechar en un determinado entorno”.

Gómez explica que es importante contar con un grupo de trabajo (no con un solo individuo encargado de las pruebas) que posea miembros con certificaciones profesionales reconocidas por la industria, tales como CEH, CRTE, OSCE, OSCP, OSWE y OSWP.

Sostiene que es prudente también solicitar acceso a los repositorios y publicaciones del equipo para poder ser testigos de sus contribuciones a la comunidad de ciberseguridad. Los analistas que evalúen los sistemas de una organización deben ser curiosos y creativos (ver lo que los cibercriminales pueden ver), contar con la capacidad de hallar vulnerabilidades desconocidas o de día cero (i.e., no incluidas dentro de las herramientas), y además tener un interés permanente en aprender sobre nuevas técnicas y ambientes en los cuales simular ataques.

Para cada proyecto, debe establecerse un acuerdo documentado de confidencialidad y seguridad de los datos. El proveedor de la solución debe revelar en detalle quiénes serán los encargados del manejo de la información, cuál será su metodología, y qué registros se mantendrán en las pruebas. Adicionalmente, el equipo debe reportar los resultados solo a las personas con acceso autorizado por el cliente.