Realizar un pentest ISO 27001

La seguridad de la información es un proceso continuo, no un esfuerzo puntual. Las organizaciones deben mantener constantemente el control sobre sus medidas de seguridad para minimizar los riesgos. Una parte esencial de esto es la monitorización de seguridad, que incluye el escaneo de vulnerabilidades y las pruebas de penetración (pentesting). En este artículo explicamos cómo encaja el pentesting dentro de la norma ISO 27001 y qué requisitos cumple.

Mantener el control sobre la seguridad de la información

ISO 27001 es una norma reconocida internacionalmente para la seguridad de la información. Esta norma ofrece un enfoque sistemático para proteger la información y garantiza la confidencialidad, disponibilidad e integridad de los datos dentro de la organización.

La norma ISO 27001 y el pentesting

Dentro de la norma, el pentesting se emplea a menudo como parte de la gestión de riesgos y los procesos de mejora continua. El papel del pentest es identificar riesgos e implementar medidas de seguridad adecuadas en función de estos. Aunque el pentesting no es obligatorio dentro de la ISO 27001, puede contribuir a que las organizaciones trabajen de forma proactiva en poner de manifiesto las vulnerabilidades del software y los sistemas.

El escaneo de vulnerabilidades dentro de la ISO 27001

Además de una prueba de penetración exhaustiva, el escaneo de vulnerabilidades también puede aportar valor a vuestra resiliencia digital. Con el escaneo de vulnerabilidades también se puede garantizar un proceso de mejora continua. La ventaja es que, con la mayoría de las herramientas, ofrece una visión continua de las vulnerabilidades en el software y los sistemas, mientras que el pentesting tiene más el carácter de una "instantánea puntual".

Aun así, el pentesting va un paso más allá que el escaneo de vulnerabilidades. Mientras que un escaneo solo identifica vulnerabilidades conocidas, un pentest pone realmente a prueba cómo un actor malintencionado podría explotar estas vulnerabilidades. Durante un pentest, el impacto real en el negocio de las vulnerabilidades se vuelve mucho más claro.

Hacking as a Service

El objetivo de Tozetta es poner de manifiesto de forma continua las vulnerabilidades en el software y los sistemas, también para las entidades que están trabajando hacia la certificación ISO 27001 o que ya la poseen. Tozetta facilita una visión continua de las vulnerabilidades para mejorar la resiliencia digital.

Portal de vulnerabilidades Tozetta Reports

Dentro de Tozetta Reports, los resultados de un pentest y los resultados del escáner de vulnerabilidades se muestran en un único entorno. Tozetta ofrece la posibilidad de trabajar de forma interactiva con las vulnerabilidades detectadas y también de solicitar feedback y/o un reescaneo de las vulnerabilidades encontradas durante el proceso de mejora.

Escáner de vulnerabilidades

Dentro de Tozetta Reports, Tozetta utiliza los escáneres de vulnerabilidades de Guardian360. Esta herramienta neerlandesa escanea a diario en busca de vulnerabilidades en vuestra red interna y/o aplicaciones web. Además de las vulnerabilidades, también ofrece la posibilidad de seguir cumpliendo con diversas normas dentro, entre otras, de las normativas ISO 27001, NEN 7510 y RGPD.

Todos los resultados se combinan, lo que permite al responsable de cumplimiento normativo, al responsable de seguridad o al auditor tener visibilidad de vuestro proceso de mejora y avance en materia de gestión de vulnerabilidades. Por supuesto, también se registra cuándo se detectaron por primera vez las vulnerabilidades y cuándo se resolvió el problema.

¿Colaborar con Tozetta?

¿Contáis con la certificación ISO 27001 y buscáis una forma de mantener el control sobre la seguridad de la información? En Tozetta ofrecemos, con Hacking as a Service, la solución para manteneros en control de las vulnerabilidades dentro del software y los sistemas. De acuerdo con nuestros propios estándares, cumplimos con los requisitos para un pentest destinado a las directrices ISO 27001, DigiD o NEN 7510.

¿Tienes curiosidad por colaborar con nosotros? Ponte en contacto, sin compromiso.