Lo que obtienes al final.
Siete secciones, las mismas siempre, en un PDF que puedes entregar a un auditor o al equipo de compras de un cliente. La mitad es lo que encontramos; la otra mitad es lo que probamos y lo que resistió.
Cada informe, la misma forma.
- 01
Resumen ejecutivo
La postura, los principales riesgos y las cifras clave, en términos claros. Escrito para que un consejo o el equipo de compras de un cliente lo lea sin que un ingeniero lo traduzca.
- 02
Alcance y metodología
Exactamente qué estaba en el alcance, qué se excluyó, cuándo se ejecutó y qué metodología se siguió. El límite se declara, no se insinúa.
- 03
Hallazgos
Agrupados por severidad, los críticos primero. Cada uno lleva evidencias, pasos de reproducción y una recomendación sobre la que tus ingenieros pueden actuar.
- 04
Prioridad de remediación
Qué corregir primero y por qué — ordenado por exposición real, no solo por puntuación. Lo que se está explotando activamente pasa al frente.
- 05
Cumplimiento y frameworks
Los hallazgos agregados a categorías OWASP, técnicas MITRE ATT&CK y funciones NIST CSF, para que el informe entre directo en un expediente de auditoría.
- 06
Controles verificados
Lo que se probó y resistió. Esta es la mitad que la mayoría de informes omite — sin ella no puedes distinguir un resultado limpio de una prueba incompleta.
- 07
Firma
Quién lo ejecutó, bajo qué autorización, y el registro del retest una vez aplicadas las correcciones.
Diez campos, ninguno opcional.
La plataforma rechaza un hallazgo al que le falte alguno de ellos, por eso nunca recibes una fila que diga solo “incidencia SSL”.
severitycritical / high / medium / low / infocvss_scoreCVSS v3.1, 0.0–10.0affected_componentel host, endpoint o archivo exactoevidencela petición/respuesta o salida que lo demuestraowaspcategoría del OWASP Top 10cweidentificador CWEmitre_attacktécnica ATT&CKnist_csffunción NIST CSFcveconfirmado por una herramienta, o marcado como no confirmadorecommendationqué cambiar, en concreto¿Quieres leer uno real?
Te enviaremos un informe redactado de un proyecto anterior — uno real, sin el cliente ni sus sistemas.