Visita recomendada
http://www.pentest-standard.org
Alberto PartidaEspecialista en Seguridad TI
http://securityandrisk.blogspot.com
http://twitter.com/itsecuriteer
En los tiempos que corren, la opción de renunciar a la nómina y emprender una aventura empresarial con nuestra propia marca, dentro del campo de la Seguridad de la Información, aparece en los planes de muchos profesionales; bien como elección meditada o bien como “última alternativa” antes de “verse forzados” a abandonar el sector y probar suerte en otros temas de tecnologías de la información más generalistas.
Uno de los servicios más demandados por las empresas, cada vez más dependientes de las tecnologías de la información, es el análisis de la seguridad de sus sistemas de información (“pentesting”).
Pentest-standard.org es una valiosa iniciativa que proporciona a los proveedores de seguridad y a sus clientes un idioma y un contexto común a la hora de realizar evaluaciones de seguridad.
Esta propuesta de estándar, sugerida en 2009 e iniciada en 2010 por figuras tales como Chris Nickerson, Dave Kennedy, Chris John Riley, Carlos Pérez o Wim Remes, emplea un sencillo y a la vez potente formato “wiki” que permite ver con facilidad los cambios que se introducen. Cualquiera de nosotros con tiempo, experiencia y ánimo puede contribuir a través de su grupo en LinkedIn o en un entorno de colaboración basado en el formato PDF de Adobe.
Hay dos secciones a destacar en este sitio:
• Las fases de ejecución de un análisis de seguridad: Cada una de ellas comienza con un mapa conceptual (“mind map”) que bien puede servir de guión para el profesional o el equipo encargado del análisis. Puntos no técnicos pero esenciales que también trata esta sección de pentest-standard. org son cómo acordar el alcance de las pruebas y las posibles formas de pago.
• La guía técnica es una excelente compilación de enlaces y herramientas, tanto de software libre como de pago, útiles para cada una de las fases de este servicio de seguridad.
Finalmente, me gustaría agradecer a todos los autores la creación de este auténtico “vademécum” de los análisis de seguridad e invitar a toda la comunidad a contribuir para mantenerlo actualizado y conservar su gran valor profesional. Una pregunta reveladora sería: ¿Cuánto del contenido de pentest-standard. org es ya conocido por el lector de esta columna?
