ESTÁNDARES

Medido según estándares publicados.

No una metodología propia con puntuación propia. Cada hallazgo que reportamos lleva una técnica, una clase de debilidad, una función de framework y una puntuación que cualquiera puede recalcular.

OWASP WSTG

Web Security Testing Guide

La metodología de referencia para probar aplicaciones web. Define el orden del trabajo en un pentest web, así que la cobertura es una checklist y no una cuestión de quién lo ejecutó.

OWASP MASTG

Mobile Application Security Testing Guide

El equivalente para aplicaciones móviles — almacenamiento, interacción con la plataforma, criptografía y las comprobaciones de calidad de código que necesita un build móvil.

PTES

Penetration Testing Execution Standard

La forma de principio a fin de un proyecto: delimitación previa, recopilación de inteligencia, modelado de amenazas, explotación y reporte.

MITRE ATT&CK

Tácticas y técnicas adversariales

Cada hallazgo que reportamos lleva una técnica ATT&CK. Es obligatoria en nuestro esquema, así que puedes mapear lo que encontramos con lo que tu detección ya cubre.

CWE

Common Weakness Enumeration

La clase de la debilidad subyacente, no solo su síntoma — para que tus desarrolladores reconozcan el mismo error en otras partes del código.

NIST CSF 2.0

Cybersecurity Framework 2.0

No estamos certificados en él — no existe un certificado NIST CSF. Nuestras evaluaciones están alineadas con NIST CSF 2.0: evaluamos tu organización frente a sus seis funciones y te mostramos, función por función, dónde ya cumples el framework y dónde te quedas corto. Govern está en el centro de CSF 2.0 — política, supervisión y riesgo de la cadena de suministro, justo el terreno que cubren la mayoría de los cuestionarios de seguridad.

GV
GovernEn el centro
Contexto organizativo, estrategia de riesgo, roles y responsabilidades, política, supervisión y gestión del riesgo de la cadena de suministro.
ID
Identify
Inventario de activos, evaluación de riesgos e identificación de vulnerabilidades.
PR
Protect
Control de acceso, formación de concienciación, seguridad de datos y mantenimiento.
DE
Detect
Monitorización continua y análisis de eventos de seguridad.
RS
Respond
Gestión de incidentes, comunicación, análisis y mitigación.
RC
Recover
Restauración, planificación de continuidad y comunicación post-incidente.

CVSS v3.1

Common Vulnerability Scoring System

Una puntuación que cualquiera puede recalcular a partir del vector, en vez de una severidad asignada a ojo. Viaja entre proveedores sin traducción.

ISO/IEC 27001

Anexo A — 93 controles

No somos un organismo de certificación acreditado y no emitimos el certificado ISO 27001. Evaluamos tu organización frente a los 93 controles del Anexo A, punto por punto, y te entregamos evidencia de dónde estás — para que entres en la auditoría formal sabiendo exactamente qué queda por cerrar.

CERTIFICACIONES