1. Propósito
Establecer requisitos para realizar pruebas de penetración para evaluar la efectividad de los controles de seguridad de [ORGANIZATION] e identificar vulnerabilidades antes de que puedan ser explotadas por adversarios.
2. Alcance
Esta política se aplica a todas las actividades de pruebas de penetración realizadas en los sistemas, redes, aplicaciones y seguridad física de [ORGANIZATION], ya sean realizadas por equipos internos o proveedores de servicios externos.
3. Política
3.1 Requisitos de Pruebas
[ORGANIZACION] deberá realizar pruebas de penetración al menos [PERSONALIZAR: anualmente/semestralmente] y después de cambios significativos en la infraestructura o aplicaciones.
El alcance de las pruebas de penetración deberá incluir: pruebas de penetración de red externa, pruebas de penetración de red interna, pruebas de penetración de aplicaciones web para todas las aplicaciones expuestas a Internet, evaluación de redes inalámbricas y pruebas de ingeniería social (phishing, vishing, físicas).
El programa de pruebas de penetración deberá definirse y mantenerse incluyendo: alcance, frecuencia, metodología, reglas de enfrentamiento y requisitos de informes.
La metodología de pruebas deberá alinearse con marcos reconocidos como PTES, Guía de Pruebas OWASP o NIST SP 800-115.
3.2 Calificaciones de los Evaluadores
Las pruebas de penetración deberán ser realizadas por profesionales calificados con certificaciones relevantes (por ejemplo, OSCP, GPEN, CEH, CREST) o experiencia equivalente demostrada.
Las firmas externas de pruebas de penetración deberán contar con seguro de responsabilidad profesional de al menos [PERSONALIZAR: $1M/$5M].
Para entornos IG3: Al menos [PERSONALIZAR: una prueba anual] de penetración deberá ser realizada por una firma externa e independiente (no la misma firma que provea otros servicios de seguridad a [ORGANIZACION]).
3.3 Reglas de Enfrentamiento
Todas las pruebas de penetración deberán regirse por un documento firmado de Reglas de Enfrentamiento (RoE) que especifique: alcance autorizado (sistemas, redes, aplicaciones), actividades prohibidas, ventanas de pruebas, contactos de emergencia, requisitos de manejo de datos para los hallazgos y protecciones legales para los evaluadores.
Las pruebas que pudieran causar interrupción del servicio deberán programarse durante [PERSONALIZAR: ventanas de mantenimiento/horas de menor actividad] con notificación apropiada a las partes interesadas.
Las vulnerabilidades críticas descubiertas durante las pruebas deberán reportarse a [PERSONALIZAR: CISO/Seguridad de TI] inmediatamente, sin esperar al informe final.
3.4 Remediación y Validación
Los hallazgos de las pruebas de penetración deberán remediarse de acuerdo con los SLA de la Política de Gestión de Vulnerabilidades.
La remediación de hallazgos Críticos y Altos deberá validarse mediante nuevas pruebas dentro de [PERSONALIZAR: 30/60] días de la remediación reportada.
Los informes de pruebas de penetración deberán clasificarse como Confidenciales y distribuirse solo a destinatarios autorizados.
4. Cumplimiento
El cumplimiento de esta política es obligatorio para todo el personal dentro de su alcance. El cumplimiento será monitoreado a traves de auditorías periódicas, controles automatizados y revisión de la gerencia.
Las excepciones a esta política deben documentarse con una justificación de negocio, ser aprobadas por [PERSONALIZAR: CISO/Equipo de Seguridad], y revisarse al menos anualmente.
5. Aplicacion
Las violaciones a esta política pueden resultar en acciones disciplinarias que incluyen hasta la terminación del empleo o contrato, y pueden resultar en sanciones civiles o penales cuando se haya violado la ley aplicable.
[ORGANIZACION] se reserva el derecho de auditar el cumplimiento de esta política en cualquier momento, con o sin previo aviso.
6. Revisión y Actualización
Esta política será revisada al menos anualmente por [PERSONALIZAR: CISO/Propietario de la Política] y actualizada según sea necesario para reflejar cambios en el panorama de amenazas, requisitos regulatorios o estructura organizaciónal.
Todas las revisiónes serán documentadas con número de version, fecha, autor y descripción de los cambios.
Aprobación de la Política
Aprobado Por
Cargo
Fecha
Control de Documentos