CIS Benchmarks
Criterios de revisión de la configuración de la plataforma y los servicios en la nube pertinentes.
Pruebas de penetración
Pruebas de penetración en la nube
Una evaluación del entorno en la nube acordado que cumple las políticas del proveedor y combina la revisión de la configuración con una validación controlada, respetando las políticas de pruebas de la plataforma.
Alcance de la evaluación
Qué se somete a prueba
La cobertura final de las pruebas se acuerda durante la definición del alcance y se limita a los sistemas para los que se haya proporcionado autorización por escrito.
Gestión de identidades y accesos
Exposición pública y controles de red en la nube
Permisos de almacenamiento y rutas de datos
Carga de trabajo y configuración del plano de gestión
Secretos e identidades de servicio
Registro de eventos, monitorización y vías de escalada de privilegios
Flujo de trabajo del encargo
Controlado desde la autorización hasta la prueba de verificación.
01
Alcance y autorización
Defina los objetivos, los sistemas aprobados, las restricciones, las ventanas de pruebas, los contactos y las reglas de actuación.
02
Descubrimiento
Defina la superficie de ataque autorizada, la arquitectura, los roles de usuario, los activos y los criterios de evaluación aplicables.
03
Pruebas controladas
Evalúe el alcance autorizado mediante métodos manuales y técnicos adecuados para el entorno.
04
Validación
Confirme los hallazgos de forma segura, elimine los falsos positivos y determine el impacto real a nivel técnico y empresarial.
05
Elaboración de informes
Reciba hallazgos respaldados por evidencias, calificaciones de riesgo, un resumen ejecutivo y prioridades de subsanación.
06
Revisión de las medidas de subsanación
Revise las medidas correctivas propuestas y aclare las prioridades de implementación con el equipo de evaluación.
07
Repetición de las pruebas
Verifique las correcciones acordadas y registre si cada hallazgo evaluado se ha resuelto, se ha mitigado o sigue pendiente.
Referencias de la evaluación
Normas y directrices del sector
CIS Controls
Contexto de las salvaguardas relativas a identidades, activos, configuración, registro de eventos y protección de datos.
Políticas del proveedor sobre pruebas
Normas y limitaciones publicadas por el proveedor de servicios en la nube correspondiente.
NIST SP 800-115
Planificación de la evaluación técnica y elaboración de informes.
Las normas orientan el alcance y la cobertura de las pruebas. Una evaluación no constituye por sí misma una certificación ni garantiza el cumplimiento normativo.
Elaboración de informes
Qué recibe
Registro del alcance y los límites en la nube
Hallazgos de configuración y rutas de ataque validadas
Análisis de identidades y exposición
Acciones correctivas priorizadas
Informe de repetición de las pruebas
Defina un alcance adecuado para las pruebas.
Consulte con DIGITPOL los sistemas, los objetivos, el nivel de acceso y las evidencias necesarias.