¿Qué debe incluir el alcance?
Dos presupuestos solo son comparables cuando cubren el mismo trabajo. Para una prueba de penetración bancaria, enumere las aplicaciones bancarias, las API de pago y los accesos privilegiados, y defina también los roles, entornos y operaciones empresariales que se probarán. Especifique qué evidencias espera, qué acciones están prohibidas y si la solicitud incluye una repetición de las pruebas.
Asociar los servicios con sus dependencias
Una aplicación de soporte puede convertirse en un punto de entrada a credenciales de CI y a una identidad de pagos con privilegios excesivos. Un servicio de firma independiente aún puede impedir la liberación. Una evaluación útil explica cada transición en lugar de afirmar que se ha comprometido todo el banco por la existencia de un único host vulnerable.
Enumere primero los servicios empresariales o asistenciales y, a continuación, relaciona las aplicaciones, los sistemas de identidad, las redes y los proveedores que los sustentan. Documente qué responsable puede autorizar cada componente. El número de dominios por sí solo no permite describir los límites de autorización ni las consecuencias operativas.
Prepare los roles y los datos representativos
Proporcione identidades dedicadas con roles documentados y permisos previstos conocidos. Utilice más de un tenant, cliente o unidad organizativa cuando los límites formen parte del objetivo. Identifique los objetos señuelo para que quienes realizan las pruebas y los responsables puedan distinguirlos de los registros reales.
Seleccione las áreas de evaluación
¿Va a probar una aplicación dirigida a clientes? Empiece por el alcance de las pruebas de penetración de aplicaciones bancarias, que abarca versiones móviles, banca web, dependencias de API y perfiles de cliente representativos.
- Pruebas de penetración para banca digital y API: La titularidad de la cuenta, la autoridad delegada y el estado de las transacciones crean un modelo de permisos más complejo que el inicio de sesión por sí solo. Las API alternativas, las exportaciones y las funciones administrativas deben aplicar las mismas reglas de negocio.
- Pruebas de redes bancarias e identidades privilegiadas: Las excepciones de gestión, los artefactos de compilación y los roles de servicio compartidos pueden conectar zonas que, de otro modo, estarían separadas. El resultado importante es la autoridad obtenida al final de una ruta, no solo el número de hosts alcanzados.
- Pruebas de flujos de pago y autorización: Un control de doble intervención puede parecer correcto en la interfaz de usuario mientras que una identidad de servicio puede invocar ambas operaciones. La audiencia del token, el alcance de la operación y la versión de la transacción deben seguir vinculados a la política empresarial.
Acordar las condiciones de prueba
Utilice pagos preparados y clientes sintéticos con la liquidación desactivada. Acuerde una autoridad independiente para detener las pruebas, la conciliación de transacciones, responsables de sistemas identificados y permisos para servicios de terceros. Distinga los cambios demostrados en borradores de las transferencias de fondos no realizadas.
- Orígenes de las pruebas, destinos e interfaces permitidas designados.
- Ventanas horarias, límites de tasa y métodos excluidos aprobados.
- Consentimiento de terceros, contactos de control y autoridad para detener las pruebas.
- Responsabilidades relativas a la gestión de evidencias, la limpieza, la elaboración de informes y las pruebas de retest.
Mantener visibles los cambios
Registre las versiones desplegadas, las nuevas rutas y los cambios de permisos durante la prueba. Si una ruta inesperada alcanza un sistema fuera del alcance autorizado, pause la prueba y resuelva el alcance con la persona decisora designada. Incluya las dependencias no probadas en la declaración final de cobertura.
Prepare un documento antes de la reunión para definir el alcance
Describa la operación bancaria que necesita proteger y el límite que la prueba debe verificar. Un encargo útil distingue entre el acceso a canales, la aprobación de pagos y la autoridad para ejecutarlos realmente.
Utilice el generador gratuito de documentos de alcance para pruebas de penetración bancaria para registrar objetivos, áreas de evaluación, limitaciones y preferencias sobre el NDA. Revise el alcance propuesto y envíelo directamente a Atlant Security a través del formulario de contacto.
