Control 18: Pruebas de Penetración

(CIS Control 18 – Penetration Testing)

Propósito del control

Objetivo: Evaluar la eficacia de los controles de seguridad mediante pruebas controladas que simulan ataques reales.
Resultado esperado: La organización identifica debilidades explotables antes que lo hagan los atacantes, y mejora su postura defensiva de forma continua.

⚠️ Motivación:
Ningún sistema es seguro hasta que se prueba como inseguro. Las pruebas de penetración revelan lo que las auditorías no ven.

---

Alcance del control

• Infraestructura interna y externa (servidores, redes, endpoints)
• Aplicaciones web, móviles y APIs
• Controles de acceso, segmentación, detección y respuesta
• Simulación de amenazas internas y externas

---

Desarrollo por niveles de madurez

🟢 IG1 – Fundacional

• No aplica: este control comienza en IG2

🟡 IG2 – Gestión activa

• Pruebas de penetración anuales realizadas por terceros o equipos internos cualificados
• Alcance definido y autorizado por la dirección
• Informe con hallazgos, riesgos y recomendaciones

🔴 IG3 – Madurez avanzada

• Pruebas de penetración frecuentes y orientadas a objetivos específicos
• Simulaciones de adversarios (red teaming, purple teaming)
• Integración de resultados en el ciclo de mejora continua

---

📘 Referencias normativas

• CIS Controls v8 – Control 18
• NIST SP 800-115 – Technical Guide to Information Security Testing
• NIST CSF – DE.CM-1, PR.IP-10
• ISO/IEC 27001 – A.12.6.1, A.18.2.3

📚 Bibliografía y recursos ampliados

• OWASP – Penetration Testing Guide
• Offensive Security – OSCP
• MITRE ATT&CK – Técnicas de ataque
• SANS – Penetration Testing Curriculum

---

Ficha

Nombre del control: Pruebas de Penetración (CIS Control 18)
Resumen: Lo que no se prueba, se asume. Las pruebas de penetración son el espejo más brutal de la seguridad.

Riesgos que mitiga:

• Falsos positivos en controles de seguridad
• Vulnerabilidades explotables no detectadas
• Falsa sensación de seguridad por cumplimiento superficial

Niveles de madurez:

• IG2: Pruebas anuales, alcance definido, informe de hallazgos
• IG3: Red teaming, pruebas frecuentes, mejora continua

Herramientas típicas: Metasploit, Cobalt Strike, Burp Suite, Nmap, Kali Linux

Evidencias recomendadas: Informes de pruebas, autorizaciones firmadas, planes de remediación, métricas de mejora