Cierre de la evaluación
El cierre empieza antes de terminar la última prueba. Las notas, la lista de cambios y las evidencias se preparan durante toda la evaluación para poder retirar artefactos, explicar limitaciones y entregar un informe defendible.
Detener pruebas y conservar contexto
Sección titulada «Detener pruebas y conservar contexto»Antes de enviar la notificación de fin, confirma que se han recuperado las salidas necesarias de sistemas del cliente, que cada hallazgo tiene evidencia suficiente y que las limitaciones están registradas. Una vez cerrado el acceso puede ser imposible reconstruir una petición, una versión o una ruta.
El fin de las pruebas debe tener una hora clara. Las acciones posteriores se limitan a lo acordado, como limpieza, aclaraciones o retest.
Limpieza
Sección titulada «Limpieza»Revisa el inventario de cambios y retira:
- herramientas, scripts y payloads subidos
- cuentas, claves y credenciales creadas para la prueba
- tareas, servicios, procesos y mecanismos de persistencia
- archivos temporales y datos sintéticos
- cambios de configuración autorizados
- túneles, listeners y recursos de infraestructura auxiliares
Registra el resultado de cada acción. Si un sistema ya no es accesible o retirar algo podría causar más riesgo, informa al cliente con la ubicación y el procedimiento recomendado. Incluso los cambios revertidos aparecen en el apéndice correspondiente para que una alerta posterior pueda atribuirse a la evaluación.
Informe y revisión
Sección titulada «Informe y revisión»El primer entregable suele ser un borrador. Debe permitir que el cliente compruebe hechos, propietarios y contexto sin negociar la evidencia técnica. Un informe útil incluye:
- alcance, fechas, metodología y limitaciones
- resumen ejecutivo comprensible sin detalle de explotación
- hallazgos con riesgo contextual, evidencia y causa
- pasos de reproducción proporcionados
- recomendaciones verificables y priorizadas
- cadena de ataque cuando exista
- apéndices de activos, servicios, cuentas, cambios y artefactos relevantes
La reunión de revisión no consiste en leer el documento. Se utiliza para resolver preguntas, explicar encadenamientos, corregir errores factuales y confirmar el siguiente paso. Después se emite la versión final conforme al proceso de aceptación acordado.
Recomendaciones e independencia
Sección titulada «Recomendaciones e independencia»El pentester debe mantener independencia respecto a la evaluación. Esto no obliga a escribir recomendaciones vagas. Puede explicar el control que falta, alternativas razonables y cómo verificar la corrección. Lo que no debe hacer es modificar en silencio el entorno evaluado o certificar como imparcial un cambio que él mismo implementó sin una separación de funciones acordada.
La remediación pertenece al cliente o a un servicio contratado por separado. El informe conserva la causa, no solo el payload que funcionó.
El retest comprueba los hallazgos acordados después de la remediación. Empieza revisando qué cambió y qué evidencia proporciona el cliente. Para cada hallazgo debe registrar:
- estado original
- corrección declarada
- prueba realizada
- resultado actual
- estado final y limitaciones
Que la PoC original falle no siempre demuestra remediación. Hay que comprobar que la condición subyacente desapareció y que no existe una variante equivalente dentro del alcance del retest.
Retención y destrucción
Sección titulada «Retención y destrucción»Los periodos y métodos proceden del contrato, la política de la empresa y las obligaciones aplicables. La evidencia retenida permanece cifrada, con acceso limitado y una finalidad concreta. Los datos del cliente no se conservan como material personal de estudio.
Al finalizar el periodo:
- se destruyen copias y entornos conforme al procedimiento
- se registra la eliminación
- se conservan solo los entregables o metadatos permitidos
- se confirma que servicios auxiliares y accesos han sido revocados
PCI SSC recomienda acordar antes de la prueba los procedimientos de retención y destrucción, minimizar datos de tarjetas y eliminar de forma segura esos datos al concluir el encargo.
Cierre profesional
Sección titulada «Cierre profesional»Una retrospectiva interna separa problemas técnicos, comunicación y proceso. Las cadenas de explotación importan, pero el cliente también evalúa si recibió avisos a tiempo, si entendió el informe y si el equipo trató sus sistemas y datos con cuidado.
La práctica de estas habilidades comienza en Organización y toma de notas y Cómo practicar. No se deja para el primer encargo real.