Ciberseguridad · Hacking ético autorizado
Encuentra los huecos antes que un atacante.
Audito, endurezco y pongo a prueba software real —con autorización— para que sepas exactamente qué es vulnerable y cómo cerrarlo. Un proceso con orden, no una revisión genérica. Para tu propio sistema o para el de tus clientes.
Ocho páginas del entregable real de un encargo completo. Míralo antes de hablar conmigo: así sabes exactamente qué documento recibes.
Tres fases, complementarias
Se contratan juntas o por separado, según lo que necesites. Cada una se apoya en un estándar reconocido, no en mi criterio a solas.
-
Assessment
Evaluación estática
Reviso el código y la configuración sin ejecutar ataques: busco vulnerabilidades conocidas, secretos expuestos y malas prácticas.
OWASP ASVS OWASP Top 10 CWE Top 25Entregable: informe con hallazgos priorizados por severidad, con archivo y línea.
-
Hardening
Endurecimiento
Aplico un baseline de configuración segura: cabeceras HTTP, gestión de secretos, permisos mínimos y dependencias fijadas.
CIS Benchmarks CIS Controls v8 OWASP Secure HeadersEntregable: sistema endurecido y checklist de lo aplicado, verificado que sigue funcionando.
-
Pentest
Prueba autorizada
Ataque controlado y en vivo sobre un objetivo que tienes permiso de probar. Valido qué vulnerabilidades son realmente explotables.
OWASP WSTG NIST SP 800-115Entregable: informe con vulnerabilidades confirmadas, evidencia y pasos de remediación.
El pentest requiere autorización por escrito y un alcance (scope) definido. Solo pruebo sistemas que eres dueño o tienes permiso explícito para probar. Hacking ético de sombrero blanco, siempre.
Cómo empieza y termina un encargo
Antes de tocar nada firmamos un Acuerdo de Autorización (rules of engagement): qué sistemas entran en el alcance, en qué ventana de fechas se prueba, con qué límites de intensidad y quién responde de qué. Los accesos técnicos se recogen en un formulario aparte, y ninguna contraseña viaja en él.
Al cerrar cada fase recibes una Hoja de Decisión de Hallazgos: hallazgo por hallazgo decides tú si se arregla, se pospone o se asume el riesgo. Nada se modifica sin tu visto bueno por escrito — el silencio nunca se interpreta como autorización.
Dos documentos antes de contratar nada
Una lista de estándares es una afirmación: cualquiera puede escribirla. Un entregable es evidencia. Estos son los dos documentos con los que puedes juzgarme sin gastar una llamada.
Sobre qué me apoyo
Cada fase sigue una metodología pública y verificable. No es una opinión: es un marco que cualquiera puede consultar y contra el que puedes medir el trabajo.
- OWASP ASVS / Top 10 / WSTG — verificación y testing de aplicaciones web.
- NIST SP 800-115 — guía técnica de pruebas de seguridad.
- CIS Benchmarks / Controls v8 — baseline de configuración segura.
- CWE Top 25 — debilidades de software más peligrosas.
Cumplimiento: mapeo, no certificación
Puedo alinear los hallazgos con marcos como NIST CSF, ISO/IEC 27001 y SOC 2, para que sepas dónde está parado tu sistema frente a ellos.
Es un mapeo técnico de referencia. AT Solutions no es una entidad certificadora ni emite certificaciones oficiales: lo que entrego es una evaluación técnica independiente que te sirve como base para una auditoría formal, si la necesitas.
¿Quieres saber qué tan expuesto estás?
Agenda una llamada y me cuentas qué quieres proteger. Definimos el alcance y te digo qué fase te conviene empezar.