Evaluar la postura de un proveedor con datos públicos

Evaluar a un proveedor desde fuera no da permiso para atacarlo. Lo que se puede hacer sin su autorización es leer lo que ya está publicado: su sitio, sus certificados y su alcance, su archivo security.txt, sus comunicados, registros públicos de dominios y los índices de servicios expuestos que otros ya publicaron. Escanear su red, probar sus formularios de acceso o descargar datos filtrados de él son otra cosa, y sin un acuerdo escrito no se hacen.

Esos datos públicos no reemplazan el cuestionario: lo contrastan. Donde coinciden, dan confianza; donde chocan, dan las preguntas para la siguiente reunión.

Abre la consola y ejecuta SELECT * FROM encargo, SELECT * FROM cuestionario y SELECT * FROM datos_publicos. Un cuestionario dice lo que el proveedor cree o quiere que creas. Un dato técnico observado desde fuera, con fuente y fecha, puede contradecirlo. Cuando eso pasa, la contradicción no prueba mala fe —a veces el área que respondió no conoce ese equipo—, pero sí cambia lo que se le pide antes de firmar.

El archivo security.txt, que describe el RFC 9116, vive en /.well-known/security.txt y tiene dos campos obligatorios: Contact, el canal para reportar problemas de seguridad, y Expires, la fecha a partir de la cual su contenido se considera vencido y no se debe usar. Un archivo vencido no prueba que el canal esté muerto, pero dice que nadie lo revisa desde entonces.

Una certificación de un sistema de gestión de seguridad cubre un alcance: unas sedes, unos servicios, unos procesos. Fuera del alcance, el certificado no dice nada. Compara el alcance publicado con el servicio que la cooperativa piensa contratar y con la respuesta Q-02.

Con cuatro hallazgos encima de la mesa —un escritorio remoto expuesto, un certificado de otro alcance, un canal de seguridad vencido y un incidente de marzo que la respuesta Q-03 no menciona— cartera necesita una recomendación que pueda ejecutar. El dominio parecido registrado por un tercero no es una falla del candidato, pero sí un riesgo para los asociados a los que cobrará.