Centro de conocimiento
Centro de conocimiento sobre pruebas de penetración y auditorías de TI.
Conozca qué incluye cada tipo de evaluación de seguridad autorizada, qué áreas se examinan, qué directrices se utilizan y qué figura en el informe final.
Pruebas de penetración
Qué incluye una prueba de penetración de redes
Alcance, cobertura de las pruebas, directrices del sector, evidencias e informes para evaluaciones de redes internas y externas.
Leer el artículoPruebas de penetración
Qué incluye una prueba de penetración de aplicaciones web
Una guía práctica sobre el alcance de las pruebas de aplicaciones web, las pruebas con autenticación, la revisión de la lógica de negocio y el informe final.
Leer el artículoPruebas de penetración
Qué incluye una prueba de penetración de aplicaciones móviles
Cobertura de aplicaciones iOS y Android, almacenamiento del dispositivo, controles de plataforma, comunicaciones, API e informes.
Leer el artículoPruebas de penetración
Qué incluye una prueba de penetración de API
Cómo se define el alcance de REST, GraphQL e interfaces de servicios, cómo se someten a pruebas y cómo se documentan las evidencias y los resultados.
Leer el artículoPruebas de penetración
Qué incluye una prueba de penetración en la nube
Explicación de la cobertura de identidades, cargas de trabajo, almacenamiento, redes, registros de actividad, vías de escalada de privilegios e informes en la nube.
Leer el artículoPruebas de penetración
Qué incluye una prueba de penetración de redes inalámbricas
Explicación del cifrado, la autenticación y el aislamiento de redes inalámbricas, los escenarios de acceso no autorizado y los informes de evaluación.
Leer el artículoPruebas de penetración
Qué incluye una prueba de penetración de Active Directory
Arquitectura de identidades, privilegios, relaciones de confianza, credenciales, rutas de ataque, refuerzo de la seguridad y elaboración de informes en una sola guía.
Leer el artículoPruebas de penetración
Qué incluye una prueba de penetración de IoT
Explicación del dispositivo, el firmware, las interfaces, las comunicaciones, los servicios conectados y la notificación de problemas de seguridad del producto.
Leer el artículoAuditorías de TI
Qué incluye una auditoría de seguridad informática
Cómo se estructuran los criterios de auditoría, las evidencias, las deficiencias de control, los riesgos, las recomendaciones y los informes para la dirección.
Leer el artículoFactores legales y normativos
Cómo contribuyen las pruebas al cumplimiento de las obligaciones normativas y contractuales.
En Europa y Estados Unidos, la legislación y los marcos sectoriales obligan cada vez más a las organizaciones a comprobar la eficacia de sus controles de seguridad. Las pruebas de penetración autorizadas y las auditorías de TI aportan las evidencias documentadas que esperan los reguladores, los auditores y los socios comerciales.
Europa
La legislación europea considera las pruebas de seguridad parte de la obligación de las organizaciones de proteger los datos personales y los servicios esenciales.
GDPR, artículo 32
Exige medidas técnicas y organizativas adecuadas al riesgo, incluido un proceso para probar, valorar y evaluar periódicamente la eficacia de los controles de seguridad.
Directiva NIS2
Obliga a las entidades esenciales e importantes a gestionar los riesgos cibernéticos y verificar las medidas; las pruebas de penetración son una forma reconocida de demostrar que los controles funcionan realmente.
DORA
Exige a las entidades financieras de la UE realizar pruebas de resiliencia operativa digital, incluidas pruebas de penetración basadas en inteligencia de amenazas para las instituciones designadas.
Marcos nacionales
Las normas sectoriales y nacionales (por ejemplo, en sanidad, energía y administraciones públicas) suelen hacer referencia a las pruebas de seguridad independientes como evidencia de diligencia debida.
Estados Unidos
Las obligaciones en Estados Unidos se derivan de la normativa federal, los estándares sectoriales y las leyes estatales de privacidad. Muchas mencionan expresamente las pruebas de penetración.
PCI DSS
El requisito 11 exige que toda organización que almacene, procese o transmita datos de tarjetas de pago realice pruebas de penetración periódicas del entorno de datos de los titulares de tarjetas.
Norma de seguridad de HIPAA
Exige que las entidades sujetas a la normativa evalúen las salvaguardas técnicas; las pruebas de penetración pueden contribuir a esta evaluación, pero HIPAA no las exige explícitamente.
GLBA / SOX
Las entidades financieras y las empresas cotizadas deben demostrar que sus controles sobre los sistemas financieros y la información de los clientes se han sometido a pruebas.
Leyes estatales de privacidad
Leyes como la CCPA/CPRA exigen procedimientos de seguridad razonables; las pruebas documentadas son fundamentales para demostrar que se cumple ese requisito.
Marcos internacionales
La selección del marco depende de los sistemas, los compromisos contractuales y el riesgo.
ISO/IEC 27001
Una norma de gestión de la seguridad de la información. Las pruebas técnicas pueden contribuir al tratamiento de riesgos y a la evaluación de controles.
SOC 2
Un marco de atestación de controles de organizaciones de servicios, no una obligación universal de realizar pruebas de penetración.
NIST CSF
Un marco de gestión de riesgos de ciberseguridad que puede orientar los objetivos de la evaluación y la planificación de mejoras.
Este resumen ofrece información general y no constituye asesoramiento jurídico. Las obligaciones concretas aplicables dependen de su sector, de los datos que trate y de las jurisdicciones en las que opere. DIGITPOL confirma los requisitos aplicables durante la definición del alcance del servicio.