Coste del test de penetración para startups

Qué impulsa realmente la compra

Antes de hablar de presupuesto conviene precisar por qué compra, porque eso determina el alcance y por tanto el precio. En la práctica hay cuatro detonantes.

• La revisión de seguridad de un cliente corporativo. Un cuestionario de compras o de riesgo de proveedores pide un test de penetración independiente reciente. Es el detonante más común y el más urgente, porque detrás hay un contrato.
• Una ronda de financiación. La diligencia técnica desde Serie A pregunta con frecuencia qué testing independiente se ha hecho y qué salió de ahí.
• Un marco normativo. SOC 2, PCI DSS o un régimen regional fija un requisito con fecha. Las páginas de cumplimiento cubren qué espera cada uno.
• Un incidente. Ha pasado algo y necesita saber qué más está expuesto.

Solo el cuarto es abierto. Los otros tres vienen con una parte externa concreta cuyo requisito se puede leer, y ese requisito suele ser más estrecho de lo que sugiere el pánico. Consígalo por escrito primero.

Presupuestos realistas por etapa

Estos son los alcances que suelen tener sentido, no una afirmación sobre lo que debe gastar.

Pre-semilla y semilla

Dimensione sobre el único producto que vende, autenticado, con su API si la tiene. Eso es un encargo de aplicación web desde 500 $, habitualmente de tres a cinco días laborables. En esta etapa casi nunca necesita testing de red o de Active Directory, porque es casi seguro que no tiene un dominio corporativo que merezca la pena atacar. Gaste la diferencia en corregir lo que encuentre el test.

Serie A

El producto es mayor, normalmente hay varios roles de usuario y el aislamiento entre inquilinos se ha vuelto una pregunta real porque ya tiene clientes a los que les importa. Sigue siendo un alcance de aplicación, pero dimensionado por número de roles y superficie de API en lugar de por la huella más pequeña posible. Si se ha movido a un entorno en nube con infraestructura relevante, añada testing de nube desde 1.500 $.

Serie B en adelante

A estas alturas suele tener una red corporativa, un proveedor de identidad y personal con portátiles, lo que significa que la superficie de ataque ya no es solo el producto. El testing de red y Active Directory desde 1.500 $ se vuelve realmente relevante, y un programa anual que cubra producto e infraestructura tiene más sentido que un encargo suelto. Es también la etapa en la que el phishing y la ingeniería social empiezan a importar, porque ya tiene suficiente gente como para ser un objetivo.

Dimensionar un primer test para que desbloquee la operación

Un primer test comprado bajo presión de una operación tiene una tarea: producir evidencias que el cliente acepte. Tres cosas deciden si lo consigue.

El alcance tiene que coincidir con lo que pidieron. Si el cliente compra su producto SaaS, testee el producto SaaS, autenticado, incluyendo la frontera entre dos cuentas de cliente. Un test de su web de marketing no satisface a nadie y la carta de atestación lo dirá.

Las evidencias tienen que estar completas. La mayoría de las revisiones quieren un informe con alcance, hallazgos con severidad, remediación documentada, evidencia de retest y una carta que acredite qué se testeó y cuándo. Si alguna es una compra aparte, lo descubrirá en el peor momento. Las cuatro están incluidas por defecto en mis encargos.

El calendario hay que calcularlo hacia atrás desde la fecha límite. El testing son tres a cinco días laborables para una aplicación pequeña, luego sus ingenieros necesitan tiempo para corregir y después viene el retest. Dos semanas de principio a fin es un mínimo realista. Empezar la conversación un mes antes cuesta lo mismo que empezarla una semana antes y produce un resultado mucho mejor.

Qué hacer antes del test para sacarle más

Cada hora que el tester dedica a algo que usted podría haber corregido en diez minutos es una hora que no dedica a las partes interesantes de su aplicación. Antes de un primer test conviene activar autenticación multifactor en los accesos de administración, eliminar cuentas de personas que se han ido, actualizar dependencias con vulnerabilidades críticas conocidas y asegurarse de que los datos de test y staging no son datos de producción. Nada de esto es glamuroso y todo eleva el valor de lo que compra. Hay una lista más larga en cómo prepararse para su primer test de penetración.

Decida también por adelantado quién corregirá los hallazgos. El fallo más común en el primer test de una startup no es un mal informe, es un buen informe que nadie tiene tiempo de atender, lo que le deja con evidencia de problemas y sin evidencia de remediación. Eso se lee peor para un cliente que no haber testeado.

Lo que cuesta conmigo

Testing de aplicaciones desde 500 $, red y Active Directory o nube desde 1.500 $, a precio cerrado contra un alcance escrito y sin facturación por horas. El soporte de remediación, el retest y la carta de atestación están incluidos. Trata en todo momento con un único tester OSCP+, lo que a este tamaño suele ser una ventaja: quien dimensionó el trabajo conoce su producto cuando se escribe el informe.

El modelo general de precios está en la página de coste del test de penetración, el informe de muestra enseña el entregable y, si el rango de precios que ve en otros sitios le confunde, qué compra un test de penetración barato explica la dispersión.