Qué implica esto para su prueba
Siga una identidad de carga de trabajo desde su emisión hasta las operaciones que puede realizar. Distinga entre material expuesto, credenciales utilizables y permisos excesivos. Defina los recursos permitidos y las acciones de prueba antes de validar la ruta.
El límite que conviene probar
Una aplicación de alcance limitado puede depender de una identidad de despliegue con privilegios amplios. Se necesitan pruebas de los permisos efectivos y de su vigencia para los archivos de compilación, los tokens de carga de trabajo y los roles de soporte de proveedores.
Una API de comercio puede autenticar correctamente a quien realiza la llamada y, aun así, no vincular un objeto con ese comercio. Un webhook puede ser auténtico y reproducirse de nuevo en un estado de transacción incorrecto. Las pruebas deben tener en cuenta las decisiones de negocio previstas para el producto, no limitarse a una lista de URL de endpoints.
Qué puede incluir el alcance
- Acceso a artefactos de CI/CD y credenciales de aprovisionamiento inicial
- Audiencia del token de servicio y principio de mínimo privilegio
- Roles de gestión de la nube y relaciones de confianza
- Administración de la recuperación y revocación de sesiones activas
La propuesta definitiva identifica las aplicaciones, cuentas, entornos e interfaces concretos incluidos. También indica los requisitos previos que debe aportar su equipo o un proveedor.
Qué aspecto tiene una prueba útil
Valide la ruta aprobada desde el artefacto o el contexto proporcionado hasta una operación de API concreta. Registre los metadatos del token y las decisiones sobre roles con los secretos redactados y, a continuación, compruebe si la revocación alcanza las sesiones existentes.
Registre la hora UTC, el identificador del activo, la identidad solicitante, la decisión esperada y la respuesta observada. Las pruebas que modifican el estado requieren confirmación en el objeto resultante o en un registro de auditoría fiable. Las operaciones denegadas y los controles efectivos también forman parte del resultado.
Medidas de seguridad y límites de la evaluación
El alcance identifica las cuentas y proyectos en la nube, así como los límites frente a terceros. No se presupone autorización para enumerar infraestructura de clientes ajenos al alcance ni para modificar los controles de recuperación en producción.
Utilice tenants dedicados, datos sintéticos de clientes y circuitos de pago de prueba con la liquidación real deshabilitada. Acuerde los permisos de los sistemas asociados, los límites de las transacciones, la reversión y las ventanas de liberación. Las actividades en producción deben tener responsables explícitos y un canal claro para detenerlas.
Cierre el ciclo
Vincular cada debilidad con un responsable identificado, una salvaguarda inmediata y una corrección duradera. Definir casos de repetición de pruebas positivos y negativos para que el cambio restablezca el límite previsto y permita el uso legítimo. Los asuntos pendientes conservan sus dependencias y plazos.
Consulte el informe de muestra del sector para conocer el formato de las evidencias y del plan de tratamiento.
