Sin autorización escrita, no hay auditoría
Es la regla que protege a tu empresa y a nosotros. Así funciona.
Por qué es imprescindible
Una prueba de seguridad se parece mucho a un ataque real: la única diferencia es el permiso. Por eso solo trabajamos sobre sistemas cuyo titular nos ha autorizado por escrito, con un alcance y unas fechas definidos.
Si no eres el titular o no tienes capacidad para autorizar sobre ese sistema, no podemos empezar. Tampoco auditamos webs de terceros «por curiosidad» ni a petición de quien no sea responsable de ellas.
Qué incluye la autorización
- Titular y representante: quién autoriza y en nombre de quién.
- Alcance: dominios, subdominios, aplicaciones y direcciones IP incluidas, y lo que queda fuera.
- Fechas y horarios: ventana temporal en la que se realizan las pruebas.
- Reglas de compromiso: tipos de prueba permitidos y prohibidos (por defecto, sin denegación de servicio ni acciones destructivas).
- Pentest de infraestructura: si el servicio incluye explotación, escalada de privilegios o movimiento lateral, la autorización lo recoge de forma expresa, con la lista de sistemas, redes y técnicas permitidas, y los límites que no se cruzan.
- Cuentas de prueba: si se auditan áreas privadas, qué cuentas y roles se usarán.
- Contacto de emergencia: una persona localizable durante las pruebas por si hay que parar.
- Proveedores de terceros: confirmación de que se han cumplido las condiciones de tu hosting o nube, si las exigen.
Confidencialidad y datos
Toda la información a la que accedamos durante la auditoría es confidencial. La usamos únicamente para realizar el trabajo, accedemos al mínimo necesario, no extraemos datos personales más allá de lo imprescindible para demostrar un hallazgo y borramos las evidencias cuando acordamos su cierre.
Cómo comunicamos los hallazgos
- Los resultados se entregan solo a las personas que designes.
- Los hallazgos críticos se notifican de inmediato, sin esperar al informe final.
- No publicamos ni compartimos información sobre tu empresa sin tu permiso expreso.
Modelo de autorización
Este es el contenido tipo que utilizamos. El documento definitivo se adapta a cada caso.
Ver modelo de autorización (resumen)
AUTORIZACIÓN PARA LA REALIZACIÓN DE UNA AUDITORÍA DE SEGURIDAD
Titular: ______________________ NIF/CIF: ____________
Representante: ________________ Cargo: _____________
Autorizo a BreachLess a realizar pruebas de seguridad sobre:
- Dominios / sistemas: ___________________________
- Fuera de alcance: _____________________________
Periodo: del __/__/____ al __/__/____ Horario: ________
Pruebas permitidas: ______________________________
- Explotación / escalada de privilegios / movimiento lateral: SÍ [ ] NO [ ]
Sistemas y redes incluidos: ________________
Pruebas prohibidas (por defecto: denegación de servicio y acciones destructivas).
Cuentas de prueba facilitadas: ____________________
Contacto de emergencia (nombre y teléfono): ________
Declaro que soy titular de los sistemas indicados o tengo
capacidad para autorizar su auditoría, y que he cumplido las
condiciones exigidas por mis proveedores de alojamiento.
Ambas partes se obligan a la confidencialidad de la información
intercambiada.
Fecha y firma del titular: Fecha y firma de BreachLess:Este modelo es orientativo y no constituye asesoramiento jurídico.