Discovery — Penetration Testing

1

Perfil de la Organización Información de contacto y contexto general

País / Región de Operación Países donde opera la organización

Cantidad de Empleados

Contacto Principal Nombre completo y cargo

Email y Teléfono

Descripción del Negocio Breve descripción de la actividad principal

2

Alcance del Pentest ¿Qué desean evaluar?

1. ¿Qué desean evaluar específicamente? Seleccione todos los que apliquen CHECKBOX

Si incluye Red interna: cantidad aproximada de redes/subredes o IPs y si el acceso sería mediante VPN

Si incluye Cloud: proveedor y componentes a evaluar

Si seleccionó Otro: especifique

2. ¿Cuántos activos entrarían dentro del alcance? Dominios, subdominios, aplicaciones, IPs, servidores, APIs, etc.

En caso de APIs: cantidad aproximada de endpoints y disponibilidad de documentación

3. En caso de aplicación web Aplique si hay apps web en scope

¿Cuántas aplicaciones web están en scope?

¿Requieren autenticación?

Sí, todas Solo algunas No

¿Cuántos perfiles / roles de usuario existen?

¿Tiene una API propia que también deba evaluarse?

Sí No No aplica

3

Objetivo y Compliance Motivación detrás del pentest

4. ¿El objetivo es un pentest general o responde a un requerimiento específico? Auditoría, certificación, cliente, regulación

Pentest general de seguridad Requerimiento de cliente Certificación / Auditoría Requerimiento regulatorio Otro

5. ¿El test se realizaría sobre producción, staging/testing o ambos?

Producción Staging / Testing Ambos A definir

4

Metodología y Nivel de Acceso Enfoque técnico del engagement

6. ¿Black-box, grey-box o white-box? ¿Cuánta información se comparte con el equipo tester?

Black-box — sin info previa Grey-box — info parcial / credenciales White-box — acceso completo A definir según módulo

7. ¿Solo identificar vulnerabilidades o también demostrar explotación? Nivel de profundidad del engagement

Solo identificar y validar Demostrar explotación Explotación completa + post-explotación A definir con el equipo

5

Restricciones y Reglas de Engagement Técnicas excluidas, horarios y contactos

8. ¿Existe alguna técnica que deba quedar expresamente fuera de alcance? CHECKBOX

9. ¿Hay restricciones de días u horarios para las pruebas?

Horario comercial únicamente Noches / fines de semana Sin restricción A coordinar

Contacto de Emergencia durante el Testing Persona a contactar en caso de incidente o alerta durante las pruebas

6

Entregables y Cronograma Reporte, retesting y plazos

10. ¿Informe técnico únicamente o también resumen ejecutivo?

Solo informe técnico Técnico + resumen ejecutivo Técnico + presentación ejecutiva A definir

11. ¿Quieren incluir un retest para verificar las vulnerabilidades corregidas?

Sí, incluido Sí, como engagement separado No por ahora A evaluar

12. ¿Tienen alguna fecha límite para realizar el pentest o entregar el informe?

Sí No, flexible

7

Declaración de Autorización Confirmación legal del alcance

13. ¿Todos los activos incluidos en el alcance son propiedad de su organización o están bajo su control, y cuentan con autorización para ser sometidos a pruebas de seguridad? Requerimiento obligatorio previo a cualquier engagement

Sí, confirmado Mayormente sí, con excepciones Algunos son de terceros

Comentarios Adicionales Cualquier otro contexto relevante para el engagement