Condiciones del ethical hacking

Estas condiciones se aplican a las pruebas de seguridad (ethical hacking) que Deployits realiza para una empresa: pruebas de intrusión en caja negra, gris o blanca, ejercicios de Red Team y trabajos de Blue Team. Cada trabajo tiene además su propuesta y su autorización firmadas; si la propuesta dice algo distinto, vale lo que dice la propuesta.

Autorización escrita

• Sin autorización no hay prueba. Antes de empezar, la empresa entrega una autorización firmada por quien la representa legalmente, con la lista exacta de los sistemas, dominios, direcciones IP, redes y aplicaciones que entran en la prueba, la modalidad, las fechas y los horarios permitidos.
• Sistemas de terceros. Si un sistema está alojado en un servidor de un proveedor, en un servicio compartido o es operado por otra empresa, la empresa consigue también la autorización de ese tercero antes de que empiece la prueba. Deployits no prueba sistemas que no estén cubiertos por una autorización.
• La empresa declara que tiene derecho a autorizar la prueba sobre los sistemas indicados. [Confirmar con el abogado la redacción de esta declaración y si conviene un anexo de autorización como modelo.]

Alcance y reglas de la prueba

• Dentro del alcance. Deployits actúa solo sobre lo que la autorización indica. Si durante la prueba aparece un sistema o una vía fuera del alcance, se detiene en ese punto, avisa a la empresa y espera su decisión por escrito.
• Sin dañar la operación. No se realizan pruebas de denegación de servicio, no se modifican ni se borran datos de la empresa ni de sus clientes y no se instalan programas que persistan después de la prueba, salvo que la propuesta lo indique expresamente para un ejercicio de Red Team y se retiren al cerrar.
• Ventana de pruebas. Las pruebas se hacen en los días y horarios acordados. La empresa designa una persona de contacto técnico y un número de emergencia disponible durante esa ventana.
• Ambiente. Cuando la empresa tiene un ambiente de pruebas, se usa ese ambiente. En producción se hace solo lo que la autorización permite.
• Ingeniería social. El phishing simulado y otras pruebas sobre personas se hacen únicamente si la propuesta las incluye, con las reglas que la empresa fije y sin exponer ni sancionar a las personas que participen. Los resultados se entregan de forma agregada, salvo que la empresa pida otra cosa por escrito. [Confirmar con el abogado el tratamiento de los datos de los empleados en estas pruebas.]
• Aviso inmediato. Si Deployits encuentra una falla crítica o indicios de un ataque en curso o pasado, avisa a la empresa el mismo día, sin esperar al informe.

Evidencia y datos

• Evidencia mínima. Deployits toma solo la evidencia necesaria para demostrar cada hallazgo: capturas de pantalla, registros y fragmentos de datos acotados. No descarga bases de datos completas, documentos ni conversaciones de los clientes de la empresa.
• Datos personales. Si la evidencia contiene datos personales, se tratan según el acuerdo de encargo de tratamiento de datos y se enmascaran en los informes cuando no hacen falta para entender el hallazgo.
• Custodia y borrado. La evidencia se guarda cifrada y con acceso restringido al equipo que hace la prueba. Se borra en [plazo] desde la entrega del informe final o del re-test, lo que ocurra después, salvo lo que la empresa pida conservar por escrito o lo que una norma obligue a conservar.
• Herramientas. Deployits usa herramientas propias y de terceros bajo sus licencias. Ninguna herramienta envía datos de la empresa a servicios externos sin que la propuesta lo indique.

Confidencialidad

• Los hallazgos, los informes y toda la información que Deployits conozca de la empresa durante la prueba son confidenciales. Se entregan solo a las personas que la empresa designe y por los medios acordados.
• Deployits no publica ni usa como referencia comercial el nombre de la empresa ni los resultados sin su autorización escrita.
• La confidencialidad se mantiene después de terminado el trabajo, por [plazo]. [Confirmar con el abogado.]

Entregables

Según la propuesta, la empresa recibe: un informe ejecutivo, un informe técnico con cada hallazgo, su gravedad, la evidencia, los pasos para reproducirlo y la recomendación para corregirlo; un plan de corrección priorizado; una sesión de presentación; y un re-test de lo corregido dentro de [30] días desde la entrega del informe, con constancia de lo que quedó cerrado y lo que sigue abierto. [Confirmar el plazo del re-test y si se incluye uno o más.]

Lo que le corresponde a la empresa

• Entregar la autorización, los accesos, los usuarios de prueba, el código o la configuración que la modalidad elegida requiera, en las fechas acordadas. Si se demoran, el plazo se mueve lo mismo.
• Avisar a las personas o proveedores que deban saber que la prueba ocurre, cuando el tipo de prueba lo requiera, y mantener en reserva lo que el ejercicio exija que no se sepa.
• Hacer respaldos recientes de los sistemas que entran en la prueba antes de la ventana acordada.
• Corregir lo encontrado. Deployits recomienda y acompaña; la decisión de corregir y su prioridad son de la empresa.

Precio y pagos

El precio es cerrado por el alcance acordado, en dólares más IVA. [Definir la forma de pago, por ejemplo un anticipo al firmar y el saldo al entregar el informe.] Los cambios de alcance que la empresa pida durante la prueba se cotizan aparte antes de hacerlos.

Cancelación

• Antes de empezar: la empresa puede cancelar sin costo hasta [5] días hábiles antes de la fecha de inicio. [Confirmar.]
• Durante la prueba: cualquiera de las partes puede detener la prueba si aparece un riesgo para la operación o un incidente real. Deployits entrega lo que haya encontrado hasta ese momento y se cobra lo trabajado, según la propuesta.

Responsabilidad

• Una prueba de seguridad muestra las fallas que se encontraron en el alcance, la modalidad y el tiempo acordados. No garantiza que no existan otras, ni que el sistema sea seguro frente a ataques futuros. La seguridad de los sistemas sigue siendo responsabilidad de la empresa.
• Deployits responde por los daños directos que cause una acción suya fuera de las reglas acordadas, hasta [límite, por ejemplo el valor de la propuesta]. No responde por fallas de los sistemas o de terceros que la prueba haya revelado pero no causado, ni por lo que ocurra con hallazgos que la empresa decidió no corregir. [Confirmar con el abogado.]
• Si durante la prueba se encuentra que un tercero ya accedió a los sistemas de la empresa, Deployits lo informa; las denuncias y notificaciones que correspondan son decisión y responsabilidad de la empresa. Deployits la asiste si se lo pide.

Ley aplicable

Estas condiciones se rigen por las leyes de la República del Ecuador. [Confirmar con el abogado el foro y si se incluye mediación.]