Corrección y nueva prueba exigida

El requisito 11.4.4 pide dos cosas sobre las vulnerabilidades aprovechables y las debilidades que encuentra la prueba de penetración. Primero, que se corrijan según la evaluación de riesgo que la propia empresa define (la clasificación del requisito 6.3.1, con sus niveles y plazos). Segundo, que se repita la prueba para verificar la corrección.

Que el área responsable diga «ya lo cambié» no es una nueva prueba. La nueva prueba repite lo que encontró el fallo y deja evidencia de que ya no se reproduce.

Abre el laboratorio y lee estado-de-hallazgos.txt. Fíjate en la columna de nueva prueba de los hallazgos marcados como cerrados.

Hay un caso peor que no repetir la prueba: repetirla, ver que falla y cerrar igual. La nueva prueba existe para eso, para decir si la corrección funcionó. Si el resultado muestra que el fallo sigue, el hallazgo sigue abierto, se haya cambiado lo que se haya cambiado.

Ante el evaluador de cumplimiento, un hallazgo está cerrado si tiene corrección y una nueva prueba que la verifica. Los hallazgos abiertos dentro de su plazo no son un incumplimiento por sí mismos, pero tampoco se cuentan como cerrados.

El hallazgo de la nueva prueba fallida no es un hallazgo cualquiera: es un camino desde un segmento declarado fuera de alcance hasta la base de pagos. Mientras exista, afecta también a la conclusión de la prueba de segmentación.