¿Cómo acercarse a una empresa para hablar de posibles problemas de seguridad?

Puedes pensar que una empresa está expuesta a un problema y querer ayudar. La forma de acercarte determina si consigues un cliente, te cierran la puerta o incluso tienes un problema legal.

Una mejor manera de acercarse: las empresas de su sector están enfrentando ciertos problemas; ¿les gustaría recibir ayuda para verificar si también les afectan?

Da un motivo para conversar. Pide permiso. Explica qué puedes revisar y para qué tienes preparación.

Llegar diciendo «encontré todos sus defectos» es una pésima forma de empezar una relación.

Antes de contactar, no hagas pruebas

No pruebes ningún sistema de la empresa antes de tener autorización por escrito. Ni siquiera una prueba leve ni para tener un ejemplo que mostrar. Sin permiso, pueden considerarlo una intrusión.

Tampoco expongas en público las fallas de nadie, ni en redes sociales, ni en un grupo, ni como ejemplo en una charla. Eso perjudica la relación y puede dañar a la empresa y a sus clientes.

Inicia la conversación hablando del sector

Habla de problemas que enfrentan las empresas del mismo sector, con base en información pública: estafas comunes, filtraciones de datos reportadas y riesgos de herramientas que el sector suele usar.

Después pregunta si les gustaría recibir ayuda para comprobar si eso les afecta. Así la conversación tiene un motivo, no acusa a nadie y deja la decisión en manos de la empresa.

Deja claro qué haces

Explica qué puedes revisar y para qué tienes preparación. Por ejemplo: revisar la configuración de las cuentas y los permisos, pero no hacer una prueba de intrusión completa. Cuando el caso supere tus límites, di que puedes recomendar a un especialista.

Cuando te digan que sí, define por escrito el alcance, las fechas, quién será el contacto en la empresa y qué hacer si algo sale de lo previsto.

Si la empresa ya tiene un canal

Algunas empresas tienen un programa de divulgación de vulnerabilidades, con reglas propias para quienes encuentran fallas. Si existe, sigue esas reglas. Si no, la vía sigue siendo una conversación respetuosa y la autorización formal.

1. Investiga los riesgos públicos y conocidos del sector de la empresa.
2. Prepara un mensaje breve que hable del sector, no de sus defectos.
3. Explica qué puedes revisar y qué queda fuera de tu alcance.
4. Pide permiso y espera la respuesta; no hagas pruebas antes.
5. Define por escrito el alcance, las fechas y el contacto antes de empezar.
6. Entrega los resultados solo a la empresa y de forma confidencial.

• Probar el sistema antes de tener autorización para conseguir evidencia: puede ser un delito y destruye la confianza.
• Empezar diciendo que encontraste todas las fallas, lo que pone a la empresa a la defensiva.
• Exponer la falla públicamente para presionar, lo que perjudica a los clientes y tu reputación.
• Prometer más de lo que sabes hacer, lo que se convierte en un problema durante el trabajo.

• Habla del sector, no de sus defectos.
• Pide permiso antes de revisar el sistema.
• Di claramente qué sabes hacer.

• CursoFormación en Ventas con IA 4 — de cero al primer clienteAuditoría con autorización por escrito como puerta de entrada.
• CursoProfesional 2030 · Auditor de IACómo definir el alcance y entregar un informe que el cliente entienda.
• Proyectoblinda-siteDiagnóstico para ofrecer después de recibir autorización: analiza el sitio sin cambiar nada.

Algunos de estos materiales están en portugués.