Pregunta 08 · 🛡️ Pruebas de seguridad
¿Con qué frecuencia hay que ejecutar pruebas de seguridad automatizadas?
Una prueba de seguridad hecha una sola vez queda desactualizada rápidamente: el código cambia, se agregan dependencias y aparecen nuevas fallas. Un ritmo fijo convierte la seguridad en una rutina, en lugar de una sorpresa.
Un ritmo práctico es dividir las pruebas en niveles: una revisión rápida semanal y un análisis más profundo mensual.
Puedes agregar un tercer nivel, con pruebas mucho más amplias (y más costosas), cada trimestre. Este nivel completo todavía requiere un especialista o una herramienta avanzada; mientras tanto, un especialista contratado puede encargarse.
Con el tiempo, guarda los patrones encontrados en cada ronda: así las pruebas serán más útiles y no tendrás que explicarle el mismo enfoque al agente cada vez.
Qué incluir en la revisión semanal
La revisión rápida debe ser económica y automática. Busca dependencias con fallas conocidas, contraseñas o claves olvidadas en el código, configuraciones expuestas y puertos abiertos sin necesidad. Se ejecuta sola y solo avisa a alguien cuando encuentra algo.
Un agente de IA puede resumir el informe y separar lo urgente de lo que puede esperar. Una persona sigue encargándose de aprobar las correcciones.
Qué incluir en la revisión mensual
El análisis profundo revisa la lógica del sistema. ¿Quién puede acceder a qué? ¿Un usuario puede ver los datos de otro? ¿El inicio de sesión resiste intentos repetidos? ¿Las partes nuevas del código abrieron alguna vía de acceso? Toma más tiempo, consume más recursos y requiere que alguien revise el resultado con calma.
Hazlo también justo después de cambios grandes, sin esperar a que termine el mes.
La revisión trimestral completa
El nivel completo intenta encadenar fallas pequeñas hasta llegar a algo grave, como lo haría un atacante. Como este nivel todavía requiere experiencia y herramientas avanzadas, suele cubrirlo un especialista contratado. Pídele un informe con los pasos que siguió para luego automatizar lo que sea posible.
Memoria entre rondas
Guarda en un archivo los hallazgos, lo que se corrigió, las falsas alarmas y los enfoques que funcionaron. En la siguiente ronda, entrega ese archivo al agente como contexto. Así no repetirá lo que ya se descartó y comprobará si reaparecieron fallas anteriores.
Siempre: solo en sistemas propios o con autorización escrita de su dueño.
- Haz una lista de los sistemas que son tuyos o que tienes autorización escrita para probar.
- Automatiza la revisión semanal para que genere una alerta solo cuando encuentre algo.
- Fija una fecha cada mes para el análisis profundo.
- Planifica la prueba trimestral con un especialista y define el alcance por escrito.
- Registra los hallazgos, las correcciones y las falsas alarmas en un solo archivo.
- Entrega ese archivo al agente al comienzo de cada ronda.
- Ejecutar las pruebas solo cuando algo sale mal, convirtiendo la prevención en reacción.
- Dejar que se acumulen informes sin que nadie se responsabilice de corregir los problemas.
- Probar sistemas de terceros sin autorización, lo que puede ser un delito.
- Semanal: rápida.
- Mensual: profunda.
- Trimestral: completa, con un especialista si hace falta.