— Metodología Cómo trabajamos.

Metodología estructurada de pruebas de penetración que aporta rigor, repetibilidad y trazabilidad a cada evaluación. Sus cinco fases ordenan el trabajo ofensivo para que ninguna etapa dependa del criterio del momento y para que un tercero pueda reconstruir cómo se llegó a cada hallazgo.

• Reconocimiento. Recolección pasiva y activa de información sobre el objetivo: dominios, rangos de IP, tecnologías en uso, proveedores externos y huella pública de la organización.
• Escaneo y enumeración. Identificación de hosts activos, puertos, servicios, versiones y recursos accesibles que amplíen la superficie de ataque real.
• Obtención de acceso. Explotación controlada de las debilidades encontradas para demostrar impacto comprobable, no riesgo teórico.
• Mantenimiento de acceso. Verificación de si un intruso podría persistir en el entorno una vez dentro y durante cuánto tiempo pasaría inadvertido.
• Borrado de huellas. Análisis de qué evidencia deja la actividad ofensiva y si su registro permitiría detectarla y reconstruirla después.

Cobertura del Top 10 OWASP y su metodología de pruebas de seguridad web, aplicada de forma consistente a cada activo evaluado. Trabajamos con el conjunto completo de guías OWASP, no sólo con el listado de riesgos.

• OWASP Top 10. Las categorías de riesgo más críticas en aplicaciones web —control de acceso roto, inyección, fallas criptográficas, configuración insegura y componentes vulnerables, entre otras— revisadas activo por activo.
• API Security Top 10. Los riesgos propios de las APIs, que el listado web no cubre: autorización rota a nivel de objeto (BOLA) y de función (BFLA), exposición indebida de propiedades, consumo ilimitado de recursos, abuso de flujos de negocio sensibles, SSRF, inventario deficiente de endpoints y consumo inseguro de APIs de terceros.
• Web Security Testing Guide. El manual de pruebas que operacionaliza el Top 10: define cómo verificar cada control, de modo que dos auditores distintos lleguen al mismo resultado sobre el mismo activo.
• ASVS. Estándar de verificación que permite fijar con usted un nivel de exigencia acordado desde el inicio y medir el avance entre una evaluación y la siguiente.

Metodología propia de INSIGNIA potenciada con ChatGPT Enterprise y Anthropic Claude para un análisis asistido que gana velocidad sin renunciar al criterio humano. La IA absorbe volumen y cobertura; el auditor conserva la decisión.

• Cobertura sin ampliar el plazo. La IA procesa grandes volúmenes de respuestas, configuraciones y código en una fracción del tiempo, lo que amplía la superficie efectivamente revisada dentro de la misma ventana de trabajo.
• Correlación de hallazgos. Vulnerabilidades que por separado parecen menores se agrupan en cadenas de ataque con impacto real; la IA propone esas conexiones y el auditor las verifica explotándolas.
• Reducción de falsos positivos. Cada hallazgo se contrasta antes de llegar al reporte. Lo que se entrega está validado manualmente, no volcado desde la salida de una herramienta.
• La decisión es humana. La IA no cierra hallazgos ni asigna severidad por sí sola: la explotación, el criterio de impacto al negocio y la validación final son responsabilidad del auditor.
• Manejo de la información. Se emplean exclusivamente ediciones empresariales, cuyos términos excluyen el uso de los datos del cliente para entrenamiento de modelos.

Validación recurrente y monitoreo proactivo del riesgo. La seguridad se gestiona en el tiempo: un informe describe el estado de un día concreto, y ese estado cambia con cada despliegue, integración o proveedor nuevo.

• Retest de remediación. Cada hallazgo corregido se vuelve a probar para confirmar que la solución cierra el vector y que no introduce uno nuevo por el camino.
• Superficie viva. El mapa de exposición se actualiza en lugar de quedar congelado en la fecha del informe, incorporando los activos y servicios que aparecen después.
• Riesgo medido en el tiempo. Comparación entre evaluaciones: qué se cerró, qué reapareció y cuánto tardó en remediarse cada categoría de hallazgo.
• Transferencia al equipo. Sesiones de acompañamiento para que su equipo interno reproduzca los hallazgos, entienda su causa raíz y evite que la misma clase de falla vuelva a aparecer.