02.1SECURITY ASSESSMENT

Entienda cómo estárealmente construido su entorno.

Evaluamos arquitectura, configuración, exposición y controles para identificar debilidades, prioridades y oportunidades de fortalecimiento.

HABLAR CON EVOFCS↗EXPLORAR EVALUACIÓN↓

02.1.1EVALUACIÓN

Seguridad empieza porentender qué existe.

Un sistema puede parecer estable y aun así depender de configuraciones, accesos o componentes que nadie ha revisado recientemente.

Una evaluación de seguridad busca construir una visión técnica del entorno antes de decidir qué debe cambiarse.

No asumimos que cada hallazgo representa una vulnerabilidad. Primero entendemos contexto, función, exposición y controles existentes.

02.1.2ÁREAS DE REVISIÓN

El alcance se adapta al sistema, pero normalmente analizamos varias capas técnicas y operativas.

01⌁

ARCHITECTURE

Arquitectura

Revisamos cómo se conectan componentes, servicios, infraestructura y dependencias.

02◎

IDENTITY

Acceso e identidad

Analizamos privilegios, cuentas, credenciales y separación de responsabilidades.

03▰

CONFIGURATION

Configuración

Identificamos parámetros, servicios y configuraciones que merecen revisión.

04⌖

EXPOSURE

Superficie externa

Contrastamos el diseño interno con lo que puede observarse desde Internet.

05↺

RECOVERY

Respaldo y recuperación

Revisamos si existen mecanismos claros para recuperar sistemas y datos.

06+

OPERATIONS

Operación

Evaluamos cómo se administran cambios, mantenimiento y responsabilidades técnicas.

02.1.3CONTEXT MATTERS

SECURITY IS NOT A CHECKLIST

El mismo hallazgopuede significar cosas distintas.

Un servicio visible puede ser completamente intencional. Una cuenta administrativa puede ser necesaria. Un sistema antiguo puede seguir siendo crítico.

Por eso una evaluación útil no consiste únicamente en comparar configuraciones contra una lista. Necesita entender función, exposición e impacto.

FINDING CONTEXTASSESSING

OBSERVATIONPUBLIC SERVICE

VISIBLE

BUSINESS FUNCTIONREQUIRED SERVICE

EXPECTED

CONTROLACCESS RESTRICTED

PRESENT

ASSESSMENTREVIEW CONFIGURATION

PRIORITIZE

PRINCIPLE OBSERVATION ≠ VULNERABILITY

02.1.4PROCESO

SCOPE

Definir

Establecemos sistemas, activos, objetivos, restricciones y nivel de acceso permitido.

UNDERSTAND

Entender

Construimos contexto sobre arquitectura, función y operación del entorno.

REVIEW

Revisar

Analizamos configuraciones, controles, accesos y exposición relevante.

PRIORITIZE

Priorizar

Organizamos hallazgos según contexto, impacto y necesidad de atención.

IMPROVE

Fortalecer

Definimos acciones realistas para mejorar la postura del entorno.

02.1.5 / ENTREGABLESSECURITY ASSESSMENT OUTPUT

Un informe que expliquequé importa y por qué.

El objetivo no es entregar una lista interminable de observaciones, sino una visión que permita actuar.

EXECUTIVE

Resumen ejecutivo

Estado general, prioridades y principales conclusiones de la evaluación.

TECHNICAL

Hallazgos técnicos

Observaciones acompañadas de contexto, evidencia y alcance.

PRIORITY

Priorización

Organización de hallazgos según relevancia y necesidad de atención.

REMEDIATION

Recomendaciones

Acciones sugeridas para fortalecer configuración, arquitectura u operación.

02.1.6PRUEBAS ACTIVAS

Evaluar no significaatacar sin límites.

Muchas revisiones pueden realizarse mediante documentación, observación, acceso autorizado y análisis de configuración.

Cuando existe necesidad de realizar validaciones activas, pruebas controladas o interacción directa con sistemas, definimos autorización, límites, ventanas y objetivos antes de comenzar.

PASSIVEOBSERVATION

AVAILABLE

CONFIG REVIEWAUTHORIZED ACCESS

SCOPED

ACTIVE VALIDATIONCONTROLLED TESTING

APPROVAL

BOUNDARIESDEFINED BEFORE EXECUTION

REQUIRED

02.1.7CUÁNDO TIENE SENTIDO

Una evaluación antesde asumir que todo está bien.

Antes de producción

Revisar arquitectura y configuración antes de poner un sistema en operación.

Después de crecimiento rápido

Entornos que crecieron mediante cambios sucesivos y necesitan recuperar visibilidad.

Cambio de proveedor

Obtener una visión independiente antes de asumir nueva responsabilidad técnica.

Después de una incidencia

Revisar controles y arquitectura para identificar oportunidades de fortalecimiento.

Revisión periódica

Volver a evaluar sistemas que han cambiado con el tiempo.

02.1.8 / NEXT STEP

Encontrar un problemaes sólo la primera mitad.

Una evaluación puede identificar áreas que requieren cambios de configuración, reducción de privilegios, eliminación de servicios o ajustes de arquitectura.

Cuando tiene sentido, podemos continuar con un trabajo de hardening definido alrededor de esos hallazgos.

EXPLORAR HARDENING↗

01ASSESSUnderstand current state

↓

02PRIORITIZEIdentify what matters first

↓

03HARDENApply approved changes

02.1.9PRINCIPIOS

Evaluar concriterio.

Alcance antes de acceso

Definimos qué sistemas y métodos forman parte de la evaluación antes de comenzar.

Contexto antes de severidad

Un hallazgo necesita contexto técnico y operativo para poder priorizarse correctamente.

Evidencia antes de conclusiones

Diferenciamos observaciones, hipótesis y resultados verificados.

Mínimo acceso

Solicitamos únicamente los permisos necesarios para realizar el trabajo definido.

Remediación realista

Una recomendación debe considerar operación, dependencia y capacidad de implementación.

EVOFCS / SECURITY ASSESSMENTUNDERSTAND BEFORE CHANGING

Antes de fortalecer,entienda dónde está parado.

Podemos definir una evaluación alrededor de su infraestructura, aplicación o entorno y construir una visión clara de las prioridades.

HABLAR CON EVOFCS↗