De vez en cuando escuchamos que la Metodología para la Investigación de Seguridad de la Información con Valor de Auditoría (MIAUW) encarecería las pruebas de penetración (pentesting). ¿Pero es ese realmente el caso? Me gustaría explicar por qué MIAUW contribuye a la transparencia, la calidad y en muchos casos incluso supone un ahorro de costes.

¿Qué es MIAUW?

MIAUW es una metodología estructurada para la realización de pruebas de penetración (investigación técnica de seguridad). Cuando el cliente a menudo no sabe qué preguntar y cómo obtener orientación real, MIAUW ayuda con los requisitos de compra y de investigación, con énfasis en la transparencia, la reproducibilidad y el valor de la auditoría. Proporciona a las organizaciones un marco claro para planificar, realizar y evaluar las pruebas de penetración y garantiza que todos los aspectos clave de una investigación de seguridad estén documentados. Esto es esencial para cumplir con legislaciones como el GDPR, la Directiva NIS2 y la próxima Ley de Resiliencia Cibernética (CRA). Esta legislación exige que el responsable de la organización (el director) demuestre que cumple con la legislación.

##MIAUW no encarece las investigaciones de seguridad MIAUW no encarece las investigaciones de seguridad, pero ayuda a garantizar el cumplimiento

Anovum

De vez en cuando, las lenguas enojadas afirman que aumentaría el costo de las pruebas de penetración. ¿Pero de dónde surge esta idea? Este argumento se basa en una serie de malentendidos. Por eso me gustaría explicar los aspectos de costes de MIAUW:

  1. Más obligaciones no siempre significan mayores costos. MIAUW requiere pruebas de estándares básicos de seguridad. Si eso lo encarece, ¿qué se probó antes? ¿Menos? ¿No es lo básico? Una prueba de penetración sin estas comprobaciones básicas es simplemente incompleta. Desafortunadamente, existen varios ejemplos conocidos de investigaciones técnicas de seguridad realizadas poco antes de que ocurriera un incidente. El ataque no fue grandioso ni convincente, sino simplemente sobre lo básico, que no había sido controlado.
  2. La reutilización no encarece el producto, pero ahorra costes. MIAUW ofrece pruebas de penetración reutilizables. Al utilizar el informe de un auditor, una organización puede demostrar que una prueba anterior es confiable. Esto evita que el mismo software tenga que ser probado una y otra vez.
  3. El trabajo estructurado es un trabajo eficiente. Un enfoque estructurado como MIAUW garantiza que no se pase nada por alto. Esto conduce a un trabajo más eficiente y a menos posibilidades de errores, lo que en última instancia ahorra costes. Las pruebas no estructuradas conducen a un mayor esfuerzo para lograr lo mismo o incluso peor: no realizar investigaciones importantes.
  4. Los costos del informe de un auditor son limitados, pero el valor es grande. El informe de un auditor cuesta un poco más, pero ofrece mucho valor. Proporciona información clara y fiable a nivel administrativo y evita discusiones que consumen mucho tiempo.
  5. Modelos y documentos gratuitos. Todos los modelos y documentación de MIAUW están disponibles de forma gratuita. Está disponible de código abierto. Esto reduce la barrera de entrada para las organizaciones que quieran aplicar la metodología. Tampoco tienes que pagar por pentest al usarlo. Como cliente, usted (con suerte) no tendrá que pagar costos en los que su proveedor no incurra.
  6. Herramientas para acelerar la presentación de informes. Se encuentran disponibles herramientas que simplifican la preparación de un informe. Esto ahorra tiempo y minimiza la carga administrativa. Por ejemplo, recientemente escuchamos que crear una descripción general de los archivos disponibles con una suma de verificación (número de control) aumentaría el precio. Precisamente son cosas que son muy fáciles de automatizar y por tanto no ahorran tiempo. Para ayudar a los proveedores que encuentran esto complicado, ponemos a disposición un script para eliminar esa complejidad.

Por qué MIAUW realmente ahorra costes

El núcleo de MIAUW es brindar claridad y transparencia. Esto evita la duplicación de trabajo y garantiza que las organizaciones sepan exactamente qué se ha probado, cómo se ha probado y qué hallazgos se han registrado. Esto permite tomar decisiones más informadas y evita costosos malentendidos.

La idea de que MIAUW encarece las pruebas de penetración se basa en un malentendido. En realidad, MIAUW ofrece pruebas de penetración estructuradas y transparentes, que aumentan la confiabilidad y ahorran costos a largo plazo. Las empresas que aplican MIAUW obtienen información, controlan y reducen sus riesgos, lo que en última instancia conduce a una seguridad más eficiente y efectiva.