Esta es una buena pregunta ya que creo que muchos lugares se acercan a la prueba de lápiz
incorrectamente. Esto ha empeorado aún más debido a que el nivel ejecutivo de muchos
Las organizaciones tienden a creer que la prueba de la pluma es una bala de plata. Si tiene una
prueba de pluma y los resultados muestran que no hubo penetración exitosa de ninguna
sistema, entonces su seguridad está bien y todos podemos marcar esa casilla. En el otro
Por otro lado, si la prueba de la pluma falla, el equipo de seguridad no está haciendo su trabajo.
Esto simplemente no es el caso.
Una prueba de lápiz es solo una herramienta que puede usarse para evaluar la efectividad de
Sus controles de seguridad. No te dice que todos tus sistemas son seguros.
y el nivel de confianza que puede depositar en esa prueba depende en gran medida de
Tanto las habilidades del probador de pluma como lo bien que ha especificado y planeado
la prueba. Lo peor que puedes hacer es llamar a seguridad.
compañía y decir "Hola, quiero una prueba de la pluma, cuando puedes hacerlo". Antes de comprometer a
probador de pluma, debe tener una idea clara de lo que espera de la prueba de pluma,
Cuáles son sus prioridades y qué información desea en el informe final. Tú
También queremos acercarnos a más de un proveedor. Lo que buscas es
alguien que sea capaz de demostrar que tiene las habilidades correctas, que puede
entienda sus requisitos y quién puede proporcionarle un resultado que
Puede ayudarlo a mejorar su postura de seguridad. Una prueba de la pluma no debe ser
pensado como una "prueba" en el sentido de un pase o un fracaso. Esencialmente,
Es necesario tener una comprensión clara antes de la prueba de lo que son las calificaciones
y al finalizar la prueba, tenga suficientes detalles e información para ayudar
usted se enfoca en cómo obtener una mejor calificación en la próxima prueba.
Uno de los aspectos más difíciles de las pruebas de lápiz es que la calidad del lápiz
La prueba varía mucho según la persona que realiza la prueba de la pluma. yo tengo
empresas de seguridad conmutados principalmente porque un empleado de la primera empresa
ha cambiado de empleador y ese individuo era alguien que sabíamos que podía hacer un bien
prueba de pluma para la organización (generalmente porque eran talentosos y buenos en
su trabajo y porque entendieron nuestro negocio).
Involucrar un analizador de lápiz es en sí mismo una habilidad. Te mejorarás cada vez
Lo haces siempre que te acerques a la tarea con objetivos claros. Conociendo tu
La postura de seguridad actual es solo una parte de la ecuación. Necesitas tener un
idea clara de cuál es su estado final de destino. Lo que quieras de la prueba de pluma.
Es mayor claridad con respecto a su postura actual y suficiente información.
para ayudarlo a desarrollar planes para mover la organización al estado deseado.
Una buena prueba de lápiz le proporciona detalles de lo que se hizo, lo que tuvo éxito y
lo que falló No debería ser solo una lista de posibles vulnerabilidades o sistemas.
que no están en el último nivel de parche o ejemplos de "mala práctica". Todo
Eso se puede obtener con simples evaluaciones de vulnerabilidad. Debe proporcionar
Todos los detalles de cómo se penetró el medio ambiente y sugerencias de lo que
Se podrían implementar controles para prevenir o reducir la probabilidad de repetición.
Las ocurrencias o el impacto de estas ocurrencias. El informe de la prueba de la pluma debe
proporcione detalles suficientes para que pueda evaluar si no se pudo acceder
fue porque los controles son adecuados o porque no hubo suficiente tiempo
asignado o porque el alcance era demasiado limitado, etc. En muchos aspectos, lo que
estamos buscando es una asociación con el probador de pluma donde están trabajando
Usted para mejorar su seguridad.