Guía de pruebas de seguridad de IoT de OWASP
Estructura de las pruebas que abarca el dispositivo, el firmware, las comunicaciones, las interfaces y los componentes del ecosistema.
Pruebas de penetración
Pruebas de penetración de IoT y sistemas conectados
Una evaluación adaptada del ecosistema de dispositivos autorizado, que abarca el producto, las interfaces locales, las comunicaciones y los componentes de apoyo en la nube o móviles incluidos en el alcance.
Alcance de la evaluación
Qué se somete a prueba
La cobertura final de las pruebas se acuerda durante la definición del alcance y se limita a los sistemas para los que se haya proporcionado autorización por escrito.
Interfaces del dispositivo y servicios expuestos
Gestión del firmware y secretos integrados
Autenticación y autorización
Mecanismos de actualización y recuperación
Protocolos de radio, red y aplicación
Servicios móviles, web y en la nube asociados
Flujo de trabajo del encargo
Controlado desde la autorización hasta la prueba de verificación.
01
Alcance y autorización
Defina los objetivos, los sistemas aprobados, las restricciones, las ventanas de pruebas, los contactos y las reglas de actuación.
02
Descubrimiento
Defina la superficie de ataque autorizada, la arquitectura, los roles de usuario, los activos y los criterios de evaluación aplicables.
03
Pruebas controladas
Evalúe el alcance autorizado mediante métodos manuales y técnicos adecuados para el entorno.
04
Validación
Confirme los hallazgos de forma segura, elimine los falsos positivos y determine el impacto real a nivel técnico y empresarial.
05
Elaboración de informes
Reciba hallazgos respaldados por evidencias, calificaciones de riesgo, un resumen ejecutivo y prioridades de subsanación.
06
Revisión de las medidas de subsanación
Revise las medidas correctivas propuestas y aclare las prioridades de implementación con el equipo de evaluación.
07
Repetición de las pruebas
Verifique las correcciones acordadas y registre si cada hallazgo evaluado se ha resuelto, se ha mitigado o sigue pendiente.
Referencias de la evaluación
Normas y directrices del sector
ETSI EN 303 645
Disposiciones básicas de seguridad para dispositivos IoT de consumo utilizadas como contexto de auditoría cuando proceda.
Serie NISTIR 8259
Orientaciones sobre las capacidades de ciberseguridad de los dispositivos y las actividades del fabricante.
Las normas orientan el alcance y la cobertura de las pruebas. Una evaluación no constituye por sí misma una certificación ni garantiza el cumplimiento normativo.
Elaboración de informes
Qué recibe
Cobertura de componentes y límites de confianza
Hallazgos validados sobre dispositivos y ecosistemas
Evidencias e impacto práctico
Orientaciones de subsanación para el equipo técnico
Plan de repetición de las pruebas
Defina un alcance adecuado para las pruebas.
Consulte con DIGITPOL los sistemas, los objetivos, el nivel de acceso y las evidencias necesarias.