La
indemnización, o
"premio" como prefieren llamarlo desde
PenTest, consiste en un curso de tres días de duración para 15 personas, 1000 euros en metálico para el administrador del sistema y la posibilidad de lucir en la web de la empresa premiada, un sello de calidad que certifica haber resistido una auditoría de seguridad de
PenTest.
La novedad respecto a iniciativas parecidas emprendidas por otras empresas anteriormente es que en este caso si fracasan se comprometen a compensar a la empresa, y además lo hacen
ante notario. "Es una manera simbólica de indemnizar a la empresa por el tiempo perdido", dice Hugo Vázquez, director técnico.
"Tenemos constancia de empresas muy conocidas del sector, que muchas veces no consiguen resultados relevantes. Y no lo entendemos... Nosotros tenemos una efectividad de casi un 100% en los Tests de Intrusión, o no nos atreveríamos a lanzar una oferta tan agresiva."
La empresa
PenTest, que ya se dió a conocer hace unos meses gracias a dos informes sobre banca electrónica publicados por La Asociación de Internautas: (
http://seguridad.internautas.org/html/1/800.html y
http://seguridad.internautas.org/html/1/901.html), está especializada en la realización de Auditorias de Seguridad Informática y ofrece servicios al sector de la banca, las telcos y la administración pública.
Les hacemos algunas preguntas:
AI:
"¿Cómo podéis tener la certeza de que vais a
"entrar" en cualquier sistema?"
PenTest:
"Es que no la tenemos. Es como si alguien quisiera apostar que Nadal va a ganar todos los partidos... Seguro que alguno perdería. Pero ganaría más que apostando por otros jugadores... A eso nos referimos. Es simple estadística. Nosotros hemos comparado nuestros resultados con los de nuestra competencia, y hemos concluido que podemos permitirnos el lujo de ofrecer este servicio. Además, todo el equipo se encuentra más motivado que nunca, pues sabe que estamos creando escuela."
AI:
"¿Y si no entráis, de verdad vais a indemnizar a la empresa?"
PenTest:
"Por supuesto. De eso se trata y estamos preparados incluso para el peor de los casos. Pero dudo que eso llegue a producirse. Ten en cuenta que a la motivación habitual hay que añadirle la tensión del desafío de tener que entrar en menos de 7 semanas..."
AI:
"¿Cómo podéis garantizar que esto no es solo una maniobra de marketing?"
PenTest:
"Para eso existen las actas notariales. Desgraciadamente no podremos publicar nuestros casos de éxito, por motivos evidentes de confidencialidad, pero estamos convencidos de que el boca-a-boca es la mejor publicidad que existe a un cierto nivel empresarial"
AI:
"Si tuvierais que apostar por el porcentaje de éxito que vais a obtener..."
PenTest:
"Pues teniendo en cuenta que se presentarán empresas que se sientan seguras, o que ya hayan sido auditadas, es de esperar que nuestra efectividad baje un poco, pero estamos convencidos de que no se van a salvar más del 10% de las empresas. Mira no te digo que vayamos a hacer historia, pero si hasta ahora nos respetaban por nuestros resultados, después de esta campaña, vamos a dar miedo..."
La posibilidad de presentarse a esta oferta parece estar supeditada a una serie de requerimientos. Al respecto Vázquez comenta: "Hemos puesto unos requisitos mínimos para filtrar un poco, y evitar que nos bombardeen con solicitudes pequeñas empresas que no tengan un entorno informático interesante para un intruso. Es decir, para que no se presente una empresa con una simple ADSL y sin ningún servicio accesible desde Internet... En definitiva, el Test 666 está orientado a grandes entornos corporativos".
Los detalles de este interesante lanzamiento pueden leerse en la página web de
PenTest (http://www.pentest.es).
Nuestra última pregunta:
AI:
"¿Qué os diferencia respecto a otras empresas que os permite ser tan efectivos?"
PenTest:
"A parte de poder reunir para un mismo proyecto a algunos de los mejores analistas de seguridad telemática de España, cosa que no pueden permitirse el resto de empresas, vamos más allá de las auditorías clásicas e incluimos en nuestros equipos de trabajo psicólogos, actores de teatro y expertos en seguridad física. Nosotros llegamos los activos de información o a los sistemas como sea. Y si desde Internet no podemos, entonces entramos en casa del cliente, hacemos seguimientos, etc. No te puedo detallar nuestros procedimientos, pero te aseguro que es algo más que estar sentados delante de un ordenador. Y eso es por lo que siempre seremos pioneros en España en emplear esta metodología, y de momento los únicos en ofrecer un servicio de estas características."
Nota:
”La empresa española
“PENTEST” tal vez sea una de las mejores del entorno europeo en la realización de Tests de Intrusión. Empresa que basa su éxito en la recluta para cada tipo de proyecto de los mejores
“Pen-Testers" existentes en la problemática a auditar. Una vez seleccionados, forma un equipo de auditores o
"Tiger Team" que pone al servicio del cliente. Normalmente los
"Tiger Team" de
“PENTEST” no solo son los mejores, sino también los más motivados pues trabajan a partir de la propia libertad de sus conocimientos y experiencia y de la que concede Pentest para el desarrollo de su función profesional.
