Lista de preparación para pruebas de penetración bancaria: antes de empezar las pruebas

Evite retrasos innecesarios antes de la prueba

Antes de probar aplicaciones bancarias, API de pago y accesos privilegiados, confirme quiénes son los responsables designados, los entornos autorizados, los accesos representativos y los contactos para detener las pruebas. La falta de acceso o unos permisos ambiguos pueden limitar la cobertura útil. Repase la lista de comprobación con los responsables técnicos y operativos antes de acordar la fecha de inicio.

Definir el objetivo

• Determine qué cambios puede realizar realmente un canal o una identidad de servicio comprometidos, dónde los controles independientes lo impiden y qué correcciones deben priorizarse.
• Indique los responsables del servicio y la decisión que debe fundamentar la prueba.
• Seleccione las aplicaciones, redes, identidades e integraciones incluidas en el alcance.

Establecer el permiso

• Obtenga autorización por escrito para cada entorno propio.
• Confirme los límites entre proveedores y plataformas compartidas.
• Registrar los métodos prohibidos y los sistemas fuera del alcance.

Prepare el plan operativo

• Utilice pagos preparados y clientes sintéticos con la liquidación desactivada. Acuerde una autoridad independiente para detener las pruebas, la conciliación de transacciones, responsables de sistemas identificados y permisos para servicios de terceros. Distinga los cambios demostrados en borradores de las transferencias de fondos no realizadas.
• Designar a una persona titular y otra suplente con autoridad para detener la actividad.
• Acordar las comunicaciones, las ventanas, los límites de solicitudes y la escalada de incidentes.

Prepare accesos representativos

• Cree registros sintéticos y roles de prueba dedicados.
• Documente las decisiones previstas sobre el acceso entre tenants y el acceso privilegiado.
• Establezca un canal confidencial para la información técnica.

Planificar la entrega y el cierre

• Acordar los requisitos de alcance, evidencias, informes y conservación.
• Asigne responsables de las medidas correctoras e incluya criterios para repetir las pruebas.
• Conciliar las cuentas, sesiones y objetos canario introducidos.