Grupos · Profesiones · Ciberseguridad ofensiva (auditoría, pentesting)
De dónde salen los clientes de una firma de pentesting: una auditoría de principio a fin
Los clientes de una firma de auditoría y pentesting llegan, sobre todo, de las empresas que ya están dentro cuando aparece la necesidad de probar la seguridad: la consultora que prepara una certificación, el equipo que desarrolla una aplicación, quien dirige la tecnología de la pyme o la correduría que asegura el riesgo ciber. Conseguir más encargos es que esas empresas piensen en ti antes de que el cliente pida presupuesto. Lo vemos con un encargo típico.
Una auditoría típica, paso a paso
Una empresa de software va a abrir su plataforma a un cliente grande, y ese cliente le pide un informe de seguridad antes de firmar. Nadie en la empresa piensa en «pentesting»: piensan en no perder el contrato. Quien se entera primero es su equipo de desarrollo o quien le lleva la dirección tecnológica.
La empresa que ha desarrollado el producto no puede auditar su propio trabajo, y lo sabe. Si te conoce y sabe cómo trabajas, te presenta. Llegas con una ventaja que ningún anuncio da: el cliente ya ha oído que eres serio y que explicas bien los resultados.
Acotas qué se prueba, en qué condiciones y con qué permisos; haces las pruebas y entregas dos informes: uno técnico para quien tiene que corregir y otro para la dirección, que es quien decide. Este segundo informe es el que circula y el que hace que te vuelvan a llamar.
Una vulnerabilidad sin corregir no sirve de nada. Detrás de tu informe entran quien corrige el código, quien monitoriza la red, quien forma a la plantilla y, a veces, la correduría que ajusta la póliza. Si los presentas tú, el cliente te ve como quien le resuelve el problema entero.
Tras las correcciones llega la verificación, y con los cambios de sistema, la siguiente auditoría. El cliente que quedó contento repite y recomienda a la empresa de al lado.
Qué tiene que pasar para que ese encargo sea tuyo
Que quien ve la necesidad te conozca de antes y se fíe de tres cosas: que eres independiente, que no vas a dejarle mal delante de su cliente y que tu informe se entiende. La software factory, la consultora de certificación o la dirección tecnológica externa se juegan su nombre al recomendarte. Si les explicas cómo trabajas, qué entregas y cómo tratas los hallazgos de su propio trabajo, pasan de verte como una amenaza a verte como su mejor argumento.
En BNI Granada Sur esto se trabaja en las reuniones 1 a 1: te sientas con cada empresa que toca a tu cliente y le cuentas qué haces y qué tipo de encargo te pueden pasar.
Nadie compra una auditoría porque le guste. La compra porque alguien de confianza le ha dicho que la necesita, y con quién hacerla.
Dónde conocer a las empresas que ven la auditoría antes que tú
Con quién te conviene aliarte
Preguntas frecuentes
- ¿Quién decide una auditoría de seguridad en una pyme?
- Normalmente la dirección general, empujada por un cliente, una certificación o un susto. El equipo de sistemas, si existe, prepara el alcance; quien firma es la dirección. Por eso tu informe ejecutivo pesa tanto como el técnico.
- ¿Por qué me recomendaría una empresa que también trabaja en seguridad?
- Porque en el mapa de Quantum y Apex la seguridad ofensiva y la defensiva son sillas distintas, y cada una necesita a la otra: tus pruebas justifican su servicio y sus alertas justifican tus pruebas.
- ¿Qué pasa si la silla de ciberseguridad ofensiva ya está ocupada?
- Cada silla es de una sola empresa en cada grupo. Si está ocupada en Quantum, puede estar libre en Apex, y al revés.
- ¿Qué cuesta ir de invitado?
- La reunión semanal online no tiene coste para el invitado. Antes de conectarte te llamamos para contarte cómo va y qué empresas del grupo trabajan para tu mismo cliente.
Así lo hacemos en BNI Granada Sur
En BNI Granada Sur la ciberseguridad ofensiva tiene su silla en el segmento de infraestructura y seguridad de Quantum y Apex, junto a la seguridad defensiva, el cloud, el soporte IT y las comunicaciones, y muy cerca de las consultoras de certificación y de protección de datos. El mapa de sillas es público y hay una sola empresa por especialidad. Antes de tu primera reunión te llamamos, te contamos cómo va y te decimos qué miembros trabajan para tu mismo cliente; en la reunión, alguien del grupo te los presenta. Cada oportunidad que se pasan los miembros queda registrada y se sigue hasta el final.
En el mapa de sillas: BNI Quantum y BNI Apex · Infraestructura y seguridad · Todas las profesiones