Una prueba de seguridad cuesta tiempo y plata, y rinde mucho o poco según el momento en que se hace. Si se hace tarde, los problemas ya están en producción. Si se hace demasiado temprano, se paga por encontrar cosas que cualquier revisión interna habría marcado. Hay momentos que justifican la inversión y otros en los que conviene esperar.
Momentos en los que tiene sentido
Antes de un lanzamiento importante. Si estás por abrir una aplicación al público, sobre todo una que maneja datos personales, pagos o información de clientes, una prueba previa te da margen para corregir sin presión. Una vez que hay usuarios reales, cada hallazgo grave es además un incidente potencial.
Después de un cambio grande de arquitectura. Migrar a otra nube, separar un monolito en servicios, reemplazar el sistema de autenticación o agregar una API pública cambia la superficie expuesta. Las suposiciones de seguridad del diseño viejo pueden dejar de valer sin que nadie lo note. Una prueba sobre lo nuevo es una buena red de contención.
Cuando lo pide un cliente o una norma. Es frecuente que una empresa grande exija un informe de pruebas a sus proveedores, o que un marco regulatorio del sector lo pida. Fijate qué se exige exactamente (alcance, frecuencia, quién puede hacerlo) antes de contratar, porque no todo informe sirve para todo requisito. Si hay dudas legales, consultá con un profesional del derecho.
De forma periódica. Un sistema que cambia seguido acumula riesgo aunque nadie toque la seguridad. Repetir una prueba a intervalos razonables, o cuando cambia mucho el código, evita que el último informe quede viejo. La frecuencia depende de cuánto cambia el sistema y de qué tan sensible es lo que protege; no hay un número universal.
Tras un incidente. Si hubo un problema real, una prueba ayuda a verificar que la causa raíz se cerró y a buscar fallas parecidas en otras partes.
Señales de que es demasiado pronto
Hay situaciones donde la prueba va a rendir poco, y no por falta de calidad de quien la haga.
- No sabés qué tenés. Sin un inventario de dominios, servicios, APIs y componentes, ni siquiera podés definir el alcance. Alguien va a probar lo que le mostraste, mientras un servicio olvidado en otro subdominio queda afuera.
- No hay un ambiente de prueba. Probar directamente en producción es posible, pero limita lo que se puede hacer sin riesgo de romper algo o ensuciar datos reales. Un ambiente parecido al real, con datos ficticios, permite explorar a fondo.
- No hay nadie que corrija. Un informe sin tiempo ni personas para atender los hallazgos termina en un cajón. Antes de contratar, preguntate quién va a arreglar qué, y cuándo.
- Faltan los básicos. Si las dependencias llevan años sin actualizarse, las contraseñas administrativas son las de fábrica o no hay copias de respaldo probadas, el pentest va a listar eso y poco más. Ese dinero rinde más en una limpieza interna.
- El producto todavía se está definiendo. Probar una versión que va a cambiar por completo la semana que viene es tirar el trabajo.
Ninguna de estas señales significa que no te ocupes de la seguridad. Significa que el primer paso es otro: un inventario, una revisión propia con una lista básica, un escaneo automático periódico.
Cómo preparar el sistema
Si decidiste que es el momento, un poco de preparación multiplica el valor de la prueba.
- Armá el inventario de lo que entra en el alcance y definí qué queda afuera.
- Dejá disponible un ambiente representativo, con cuentas de prueba para cada rol de usuario.
- Entregá documentación mínima: cómo funciona el login, qué integraciones existen, dónde están los flujos sensibles.
- Avisá a quienes operan la infraestructura y a los proveedores que lo requieran, para que el tráfico de la prueba no se confunda con un ataque real.
- Congelá los cambios grandes durante la ventana de prueba, así lo evaluado coincide con lo que existe.
- Tené definido quién recibe el informe y cómo se prioriza la corrección.
También ayuda hacer antes una pasada propia: revisar la configuración, correr un escáner y corregir lo obvio. Así el tiempo de la persona que prueba se dedica a lo difícil.
Una regla práctica para decidir: si no estás en condiciones de leer el informe y actuar sobre él en las semanas siguientes, esperá un poco y usá ese tiempo para llegar mejor preparado.