Carta de autorización y alcance crítico

No cualquier empleado de una organización puede autorizar una operación de Red Team. Una autorización firmada por un administrador de sistemas o un jefe de desarrollo carece de validez jurídica para eximir al equipo evaluador de responsabilidad civil y penal.

La carta de autorización debe estar firmada por alguien con potestad legal sobre toda la infraestructura corporativa: el Director General (CEO), el Director de Seguridad (CISO) o un apoderado legal con facultades notariales expresas. Sin esta firma de máxima autoridad, el ejercicio no debe comenzar.

Abre guia_desconfliccion.txt en la consola del laboratorio. Revisa la sección «2. Ventanas Operativas Permitidas».

Para mitigar el riesgo de disrupción en los momentos de mayor volumen transaccional o atención al cliente, las reglas de enfrentamiento definen ventanas de tiempo específicas en las que se autorizan actividades interactivas de alto impacto.

Identifica el rango de horario estándar autorizado para realizar pruebas interactivas en la red.

En las empresas modernas, gran parte de la infraestructura reside en proveedores de nube (AWS, Azure, GCP), sistemas SaaS o centros de datos gestionados por terceros.

La autorización firmada por el cliente solo cubre los activos propios o sobre los que tiene control directo. Tocar infraestructura de un proveedor que prohíbe pruebas sin notificación previa, o atacar un servicio multi-inquilino donde se puedan afectar datos de otras empresas ajenas al contrato, representa un incumplimiento legal grave. El Red Team debe verificar la política de evaluación de cada proveedor de nube antes del despliegue.