OWASP MASVS
Objetivos de los controles de seguridad para almacenamiento móvil, criptografía, autenticación, red, plataforma, código y resiliencia.
Pruebas de penetración
Pruebas de penetración de aplicaciones móviles
Una evaluación estática y dinámica combinada de una compilación autorizada de una aplicación móvil y de sus interacciones con la plataforma del dispositivo y los servicios de backend.
Alcance de la evaluación
Qué se somete a prueba
La cobertura final de las pruebas se acuerda durante la definición del alcance y se limita a los sistemas para los que se haya proporcionado autorización por escrito.
Almacenamiento local y fuga de datos
Autenticación y gestión de sesiones
Permisos de la plataforma y comunicación entre procesos
Seguridad del transporte y validación de certificados
Controles de protección frente a la manipulación de aplicaciones y de resiliencia
Autorización de la API del backend
Flujo de trabajo del encargo
Controlado desde la autorización hasta la prueba de verificación.
01
Alcance y autorización
Defina los objetivos, los sistemas aprobados, las restricciones, las ventanas de pruebas, los contactos y las reglas de actuación.
02
Descubrimiento
Defina la superficie de ataque autorizada, la arquitectura, los roles de usuario, los activos y los criterios de evaluación aplicables.
03
Pruebas controladas
Evalúe el alcance autorizado mediante métodos manuales y técnicos adecuados para el entorno.
04
Validación
Confirme los hallazgos de forma segura, elimine los falsos positivos y determine el impacto real a nivel técnico y empresarial.
05
Elaboración de informes
Reciba hallazgos respaldados por evidencias, calificaciones de riesgo, un resumen ejecutivo y prioridades de subsanación.
06
Revisión de las medidas de subsanación
Revise las medidas correctivas propuestas y aclare las prioridades de implementación con el equipo de evaluación.
07
Repetición de las pruebas
Verifique las correcciones acordadas y registre si cada hallazgo evaluado se ha resuelto, se ha mitigado o sigue pendiente.
Referencias de la evaluación
Normas y directrices del sector
OWASP MASTG
Cobertura práctica de pruebas para aplicaciones Android e iOS.
Directrices del proveedor sobre la plataforma
Requisitos de seguridad pertinentes de Apple y Android y comportamiento de las plataformas.
Las normas orientan el alcance y la cobertura de las pruebas. Una evaluación no constituye por sí misma una certificación ni garantiza el cumplimiento normativo.
Elaboración de informes
Qué recibe
Hallazgos por plataforma
Evidencias de la revisión estática y dinámica
Acciones de subsanación priorizadas según el riesgo
Informe técnico para desarrolladores
Repetición de las pruebas de los controles corregidos
Defina un alcance adecuado para las pruebas.
Consulte con DIGITPOL los sistemas, los objetivos, el nivel de acceso y las evidencias necesarias.