Metodología declarada y cualificación del evaluador

El requisito 11.4.1 pide una metodología de pruebas de penetración definida, documentada y aplicada. Dicho con palabras propias, debe: apoyarse en enfoques aceptados por la industria; cubrir todo el perímetro del CDE y los sistemas críticos; probar desde dentro y desde fuera de la red; validar los controles de segmentación y de reducción del alcance; probar la capa de aplicación (como mínimo, las vulnerabilidades del requisito 6.2.4) y la capa de red (equipos de red y sistemas operativos); revisar las amenazas y vulnerabilidades vividas en los últimos doce meses; tener un enfoque documentado para evaluar y tratar el riesgo de lo encontrado; y conservar los resultados de las pruebas y de la corrección al menos doce meses.

Los enfoques aceptados no tienen que ser uno concreto: los marcos públicos que viste en el módulo de metodologías (las guías de OWASP, la guía técnica del NIST SP 800-115, PTES, OSSTMM) sirven si la metodología los declara y se aplican de verdad.

Abre el laboratorio y lee metodologia-de-pruebas.txt sección por sección, con la lista de la tarea anterior al lado. Una de las secciones existe, pero fija un valor por debajo del mínimo de la norma.

Además de lo que está mal, hay algo que no está. La entrevista con la oficina de cumplimiento lo confirma con sus propias palabras: planean la prueba con «la misma lista de siempre».

La norma pide que las pruebas internas, externas y de segmentación las haga un recurso interno cualificado o un tercero cualificado, y que exista independencia organizativa de quien prueba. No basta con saber: quien prueba no puede ser quien administra lo que prueba, porque estaría evaluando su propio trabajo.

La oficina de cumplimiento pregunta si es un problema que ninguna de las tres personas sea evaluador de cumplimiento acreditado (QSA) ni proveedor de escaneo aprobado (ASV). La norma lo responde de forma expresa en los requisitos de pruebas de penetración.