Attestation letter
¿Qué es una attestation letter (TPM)?
El informe es para ti. La attestation letter (TPM, Third Party Memorandum) es para los demás: una declaración de dos páginas con la que demuestras a un cliente, auditor, inversor o aseguradora que tu aplicación ha sido testeada y cuál fue el resultado, sin entregarles tus hallazgos. En España se le suele llamar certificado de pentest o carta de atestación; es lo mismo.
Por qué necesitas dos documentos
Un informe de pentest contiene exactamente lo que un atacante querría saber: qué vulnerabilidades había, dónde, y cómo reproducirlas. Ese documento se lo das a tus developers, no a un cliente que te envía un cuestionario de seguridad. Pero ese cliente sí quiere pruebas. Para eso está la attestation letter.
Qué contiene una attestation letter
- Quién ha testeado, con qué certificaciones y en nombre de qué entidad.
- Qué se ha testeado: la aplicación, el entorno, los roles de usuario, el periodo.
- Cómo se ha testeado: manualmente, según OWASP WSTG y ASVS Level 2.
- El resultado en número de hallazgos por severidad, sin detalles.
- El estado tras el retest: qué se ha resuelto, qué se ha aceptado formalmente.
- Firma y fecha.
Qué no contiene
Ninguna descripción de hallazgos, ningún endpoint, ninguna prueba de concepto, ningún detalle técnico. Nada de lo que dice la attestation letter puede usarse en tu contra. Ese es todo el diseño.
Quién lo pide
- Un cliente con un cuestionario de seguridad. A la pregunta "¿habéis hecho un pentest recientemente?" se responde con una attestation letter, no con un informe.
- Un auditor de ISO 27001, SOC 2 o ENS, como evidencia de pruebas técnicas dentro del periodo auditado.
- Un inversor en due diligence.
- Una aseguradora que quiere ver un test antes de contratar o renovar una póliza ciber.
Una declaración por cada ronda de retest
La attestation letter describe la situación en el momento del test. Tras cada ronda de retest recibes una declaración firmada de lo que se ha resuelto desde entonces. Así puedes enviar a un cliente primero la attestation letter y tres semanas después la declaración de que los hallazgos ya no están — sin contarle nunca cuáles eran.
No es un informe de auditoría
Mi attestation letter es la declaración del tester sobre el test que él mismo ha realizado. No es un informe de aseguramiento emitido por un auditor bajo una norma de auditoría. Un auditor lo usa como evidencia; no sustituye su opinión. Si tu auditor tiene preguntas sobre la attestation letter, se las respondo yo directamente y sin coste.
Mira un ejemplo
Descarga la attestation letter de ejemplo: dos páginas, totalmente ficticio, solo la estructura es real. Si también quieres ver lo que reciben tus developers, descarga el informe de ejemplo.
FAQ
Preguntas frecuentes
¿Mi auditor aceptará una attestation letter?
En la práctica sí, como evidencia de un test realizado dentro del periodo auditado. Si quieres certeza, envíale la attestation letter de ejemplo antes del test. Alineo el alcance con la descripción de tu sistema para que la attestation letter cubra lo que el auditor quiere ver.
¿Puedo compartir la attestation letter?
Sí, para eso está. Ten en cuenta que menciona el nombre de tu aplicación y el periodo del test. Compártelo con quien lo pida; no lo publiques en tu web.
¿Recibo una attestation letter también si no se encuentra nada?
Sí. Entonces dice exactamente eso — y ese es precisamente el documento que quieres enseñar.
¿Es lo mismo que un certificado de pentest?
Sí. Certificado de pentesting, carta de atestación, attestation letter, TPM: distintos nombres para el mismo documento — la declaración del tester de que el test se hizo, sobre qué, cómo y con qué resultado. No es un certificado emitido por un organismo ni un informe de auditoría.
Una llamada de 30 minutos basta para saber si esto encaja.
Agenda una scoping call¿Prefieres email? Envía tu alcance a info@hacketico.es — en 24 horas en días laborables sabrás si cabe en 5 días y cuánto cuesta.