12 / Líneas
Revisión de la protección
Buscamos brechas en el acceso y en el intercambio de datos, cerramos lo crítico y dejamos reglas, no un informe puntual.
Para productos a los que ya entran datos ajenos, o que se preparan para dejar entrar a un cliente externo.
Acceso
Roles
Cliente
Empleado
Admin
Pedido
Archivo
Abono
Acceso
Rol
Ajeno
Cerrado
Riesgo
Lista
De qué se compone
Qué entra en el sistema
- 01
Accesos
Vemos cómo se entra: sitio, panel, API, correo, contraseña compartida, cuenta de prueba olvidada.
- Lista de accesos
- Qué está abierto sin acceso
- Dónde la contraseña es una para todos
- 02
Quién ve qué
Un rol no debe abrir un pedido ajeno, un archivo ajeno o un abono ajeno con un enlace directo.
- Comprobación de permisos en los objetos
- Enlaces que viven demasiado tiempo
- Acciones de administración en el registro
- 03
Datos en camino y en el disco
Cifrado allí donde los datos viajan y donde reposan. Los secretos no van en el repositorio ni en el chat.
- Canal hasta el servidor
- Copias y quién las lee
- Dónde están las claves y cómo se cambian
- 04
Qué cerrar ahora
Los hallazgos los separamos por gravedad. Lo crítico lo cerramos antes de escribir un informe largo.
- Una brecha por la que ya se puede entrar
- Qué se arregla con configuración
- Qué pide un montaje aparte
- 05
Qué queda como riesgo
No todo se cierra el mismo día. Lo que queda está anotado: qué es, quién lo aceptó y cuándo volver.
- Lista de riesgos aceptados
- Quién responde
- Una segunda mirada tras el cierre
Qué hacemos
- 01Recorrido de accesos y API
- 02Revisión de brechas habituales
- 03Quién ve qué dentro
- 04Cifrado allí donde los datos reposan y viajan
- 05Lista: qué cerrar ahora, qué puede esperar
Cómo avanzamos
- 01Mapa de accesos
- 02Prueba
- 03Informe
- 04Cierre de lo crítico
- 05Segunda mirada
Sobre qué
- OWASP
- TLS
- Registros de acceso
- Roles
Referencia de plazo
El primer recorrido: una o dos semanas. El cierre de los hallazgos: según su gravedad.
A la salida
Queda claro qué brechas están cerradas, cuáles se aceptan como riesgo y quién responde de ello.
Qué suele ir después
El seguimiento continuo de ataques y una prueba de ataque aparte una vez por trimestre ya son acompañamiento, no el primer recorrido.