Checklist Profesional
Ethical Hacking
Diseñada para Directores de TI, CISOs, Gerentes administrativos, directores de Tecnología y Jefes de Sistemas que desean preparar su organización para una prueba de penetración profesional.
Preparación
Estratégica
Nivel de Preparación
Estado: Pendiente de inicio
Todos los datos diligenciados en este checklist no serán almacenados por Kronux Solutions, pertenecen exclusivamente a quien los diligencia.
Definir Alcance y Reglas de Engagement
Antes de contratar o iniciar un pentest, valide los siguientes puntos:
✔ Definición de Alcance
Activos incluidos (IP públicas, aplicaciones web, APIs, infraestructura interna, cloud, etc.)
Activos excluidos explícitamente
Ambientes definidos (producción, staging, desarrollo)
Prueba autenticada vs no autenticada
Tipo de prueba (caja negra, gris o blanca)
✔ Reglas de Engagement (RoE)
Ventanas horarias autorizadas
Procedimiento ante hallazgos críticos
Canales de comunicación definidos
Contacto de emergencia técnico
Autorización formal firmada (Evita riesgos legales)
Documentación que debe tener lista su empresa
Preparar información previa agiliza la prueba y mejora la calidad de resultados.
✔ Información Técnica
Inventario actualizado de activos
Arquitectura de red y diagramas
Lista de aplicaciones y tecnologías utilizadas
Proveedores críticos involucrados
✔ Información de Seguridad
Políticas de seguridad vigentes
Últimos reportes de vulnerabilidades
Historial de incidentes relevantes
Controles implementados (WAF, EDR, MFA, etc.)
Resultados Esperados y Métricas de Valor
Defina qué espera recibir para asegurar que la inversión sea rentable.
✔ Métricas Técnicas
✔ Métricas de Negocio
✔ Entregables Esperados
Errores Comunes al Contratar
Evite estos errores frecuentes:
Decisión por Precio
Elegir únicamente por el precio más bajo sin evaluar profundidad técnica.
Falta de Alcance
No definir claramente el alcance, dejando activos críticos fuera de la evaluación.
Solo Automatización
Contratar solo escaneos automatizados como sustituto de un pentest real.
Sin Evidencia
No exigir evidencia técnica reproducible (PoC) en los reportes finales.
Sin Retest
No incluir retest posterior a la remediación de las vulnerabilidades.
Aislamiento
No involucrar a la alta dirección o al área de gestión de riesgos.
Validación final antes de iniciar
Autorización formal firmada
Stakeholders informados
Ventanas de prueba confirmadas
Procedimiento de escalamiento definido
Equipo interno asignado para seguimiento
Conclusión
Una prueba de penetración bien planificada no solo identifica vulnerabilidades, sino que fortalece la postura de ciberseguridad y la resiliencia del negocio.
Use esta checklist como guía para asegurar que su próxima evaluación de Ethical Hacking sea estratégica, medible y alineada con los objetivos organizacionales.