Inventario y clasificación
Identificar aplicaciones, datos, integraciones, servicios externos y accesos. Clasificar su función, criticidad, datos y responsables permite evaluar el impacto y ordenar las correcciones.
La seguridad digital depende de entender qué activos proteger, cómo se accede a ellos y las consecuencias de la indisponibilidad, alteración o exposición de información. El trabajo comienza por superficies de ataque, accesos, dependencias y controles existentes.
La evaluación técnica conecta inventario, vulnerabilidades, configuración segura, identidades, eventos y recuperación. Busca hacer los riesgos conocidos y tratables, priorizar correcciones, verificar controles y organizar la respuesta a incidentes.
Conozca el enfoqueLas actividades, profundidad y seguimiento dependen del alcance acordado y de las condiciones del entorno.
Aplicaciones públicas, credenciales, dispositivos, servidores, nube, redes, API y accesos de terceros forman distintas partes de la superficie. Los fallos pueden estar en código, configuraciones permisivas, dependencias desactualizadas o entornos sin separación. Una vulnerabilidad no equivale a un incidente ni un escaneo automático a un diagnóstico completo.
La prioridad considera criticidad, explotación posible, accesibilidad, datos y controles compensatorios. Un hallazgo de puntuación alta en un entorno aislado puede necesitar un tratamiento distinto al de un fallo menor en un servicio público con datos sensibles.
Una matriz cualitativa organiza la conversación. La exposición real, la importancia del activo y los controles compensatorios orientan la prioridad.
Recorrido de referencia adaptable al proyecto.
Recorrido de referencia adaptable al proyecto.
Identificar aplicaciones, datos, integraciones, servicios externos y accesos. Clasificar su función, criticidad, datos y responsables permite evaluar el impacto y ordenar las correcciones.
Revisar configuraciones, versiones y permisos y realizar verificaciones autorizadas. Los resultados automáticos requieren validación de falsos positivos y lógica de negocio. Un pentest incluido en el alcance necesita autorización, reglas de ejecución y comunicación específicas.
Interpretar cada hallazgo según exposición, explotación y consecuencias para confidencialidad, integridad y disponibilidad. El tratamiento puede corregir, mitigar, transferir o aceptar formalmente riesgo residual. La clasificación no sustituye el contexto.
Los controles pueden incluir MFA, privilegios, segmentación, hardening, actualizaciones, reglas de red, cifrado, backups y políticas. Evitar medidas desproporcionadas o redundantes, documentar excepciones y prever validación y reversión.
Los registros útiles relacionan identidad, momento, origen, acción y resultado respetando la privacidad. El contexto reduce falsas alarmas. El plan define clasificación, responsables, contención, evidencias y comunicación.
La restauración de un backup debe poder verificarse. Las pruebas comparan objetivos de recuperación con capacidad real. Los incidentes, cambios de arquitectura y nuevas dependencias actualizan inventario y riesgos.
La evaluación de vulnerabilidades identifica y clasifica exposiciones en un alcance. Un pentest verifica de manera controlada y autorizada la explotación y combinación de fallos. El monitoreo observa señales operativas mediante telemetría, reglas y clasificación. Son actividades complementarias, no intercambiables.
| Actividad | Pregunta principal | Resultado esperado | Limitación |
|---|---|---|---|
| Evaluación de vulnerabilidades | ¿Qué exposiciones existen en el alcance? | Hallazgos clasificados | Cobertura limitada por alcance y evidencia. |
| Pentest | ¿Se puede explotar un fallo? | Evidencia controlada | Exige autorización, ventana y reglas de ejecución. |
| Monitoreo | ¿Qué señales requieren investigación? | Eventos y clasificación | Depende de telemetría y cobertura acordada. |
La protección va más allá de un firewall. Revisar quién accede, qué credenciales existen, los permisos necesarios, almacenamiento de secretos y revocación. Las cuentas de servicio y tokens con privilegios excesivos merecen atención por operar sin interacción humana.
La continuidad depende de sistemas críticos, contingencias y restauración. RTO expresa el tiempo esperado de recuperación y RPO la pérdida tolerable de datos. Deben acordarse con el negocio y verificarse mediante pruebas, sin promesas genéricas.
Un informe útil registra alcance, metodología, evidencias, restricciones, criticidad contextual, responsables y criterios de reevaluación. Distingue riesgos conocidos, controles implantados, pendientes aceptados y puntos que requieren revisión tras cambios.
Alcance, información del entorno, verificaciones autorizadas, análisis de resultados, criticidad contextual y recomendaciones. La validación manual depende del proyecto.
La estrategia puede combinar identidades, mínimo privilegio, cifrado, auditoría, revisión de integraciones, segmentación y recuperación según clasificación de datos y riesgos.
Puede incluirse según alcance, fuentes de eventos y acuerdos operativos. No implica detectar todas las amenazas ni responder inmediatamente a cualquier hora.
Evaluaciones autorizadas y controladas de posibilidades de explotación en un alcance acordado. Difieren de escaneos automáticos y necesitan reglas para reducir riesgos operativos.
Las medidas técnicas pueden apoyar seguridad, privacidad y trazabilidad, incluso requisitos asociados a la LGPD brasileña. El cumplimiento también depende de procesos legales y organizativos; una evaluación técnica no lo garantiza automáticamente.