Ejemplo
Así es el informe de pentest que reciben tus developers.
Veinte páginas, totalmente ficticio: cliente, sistemas, hallazgos y todos los nombres, direcciones y datos de contacto son inventados. Solo la estructura es real — y esa es exactamente la que recibes. En inglés, como todos mis informes.
Qué contiene
- Resumen ejecutivo para dirección: qué se ha testeado, qué se ha encontrado, cómo de grave es, en qué estado está.
- Alcance y método: aplicación, entorno, roles, periodo; OWASP WSTG y ASVS Level 2.
- Hallazgos, cada uno con severidad y puntuación CVSS, descripción, prueba de concepto para reproducirlo, impacto y recomendación.
- Retest: qué se ha resuelto, qué se ha aceptado formalmente, con declaración firmada por ronda.
Qué exigir a cualquier informe de pentesting
Si estás comparando proveedores, usa este ejemplo como lista de control. Un informe útil tiene, como mínimo:
- Un alcance explícito — qué aplicación, qué entorno, qué roles, qué periodo — que coincida con lo que tu auditor o tu cliente quieren ver cubierto.
- Una metodología con nombre (OWASP WSTG, ASVS), no solo la lista de herramientas usadas.
- Por cada hallazgo, una prueba de concepto reproducible y una puntuación CVSS; sin eso, tus developers tienen que redescubrir el problema.
- Un resumen ejecutivo separado, escrito para quien decide, no para quien arregla.
- Una declaración de retest: qué se ha resuelto y qué se ha aceptado formalmente, con fecha y firma.
La salida sin filtrar de un escáner no cumple ninguno de los cinco.
Para quién
El informe está escrito para tu equipo: reproducir, arreglar, listo. Tus clientes, inversores y auditor no reciben este documento — reciben la attestation letter (TPM).
Descargar el informe de ejemplo (PDF, 0,4 MB)
También disponible: la attestation letter de ejemplo, dos páginas.
FAQ
Preguntas frecuentes
¿El informe está en español?
No: en inglés, como todos mis informes y llamadas. Es lo que aceptan auditores, inversores y clientes internacionales. Si tu auditor exige la evidencia en castellano, dímelo en la scoping call y vemos si encaja.
¿Puedo enviarle el informe a mi cliente o a mi auditor?
Puedes, pero normalmente no hace falta y no conviene: contiene exactamente lo que un atacante querría saber. Para clientes, auditores, inversores y aseguradoras está la attestation letter (TPM), que demuestra el test sin entregar los hallazgos.
Una llamada de 30 minutos basta para saber si esto encaja.
Agenda una scoping call¿Prefieres email? Envía tu alcance a info@hacketico.es — en 24 horas en días laborables sabrás si cabe en 5 días y cuánto cuesta.