¿Qué debe incluir el alcance?
Dos presupuestos solo son comparables cuando cubren el mismo trabajo. Para una prueba de penetración de fintech, enumere los flujos de pago, las API multiinquilino y las identidades en la nube, y defina también los roles, entornos y operaciones empresariales que se probarán. Especifique qué evidencias espera, qué acciones están prohibidas y si la solicitud incluye una repetición de las pruebas.
Asociar los servicios con sus dependencias
Una API de comercio puede autenticar correctamente a quien realiza la llamada y, aun así, no vincular un objeto con ese comercio. Un webhook puede ser auténtico y reproducirse de nuevo en un estado de transacción incorrecto. Las pruebas deben tener en cuenta las decisiones de negocio previstas para el producto, no limitarse a una lista de URL de endpoints.
Enumere primero los servicios empresariales o asistenciales y, a continuación, relaciona las aplicaciones, los sistemas de identidad, las redes y los proveedores que los sustentan. Documente qué responsable puede autorizar cada componente. El número de dominios por sí solo no permite describir los límites de autorización ni las consecuencias operativas.
Prepare los roles y los datos representativos
Proporcione identidades dedicadas con roles documentados y permisos previstos conocidos. Utilice más de un tenant, cliente o unidad organizativa cuando los límites formen parte del objetivo. Identifique los objetos señuelo para que quienes realizan las pruebas y los responsables puedan distinguirlos de los registros reales.
Seleccione las áreas de evaluación
- Pruebas de API y límites entre inquilinos para fintech: La autenticación puede tener éxito mientras falla la autorización. Los roles de comerciantes, clientes, socios y administradores necesitan una vinculación explícita al inquilino en las solicitudes habituales, las exportaciones y los trabajos asíncronos.
- Pruebas de lógica de pagos y estado de las transacciones: La repetición de solicitudes, las solicitudes duplicadas, las aprobaciones obsoletas y una separación incorrecta de funciones pueden afectar a la integridad de las transacciones, aunque la API no presente defectos de inyección habituales.
- Pruebas de identidades de nube y cargas de trabajo para fintech: Una aplicación de alcance limitado puede depender de una identidad de despliegue con privilegios amplios. Los archivos de compilación, los tokens de carga de trabajo y los roles de soporte de proveedores requieren evidencias sobre los permisos efectivos y su duración.
Acordar las condiciones de prueba
Utilice tenants dedicados, datos sintéticos de clientes y circuitos de pago de prueba con la liquidación real deshabilitada. Acuerde los permisos de los sistemas asociados, los límites de las transacciones, la reversión y las ventanas de liberación. Las actividades en producción deben tener responsables explícitos y un canal claro para detenerlas.
- Orígenes de las pruebas, destinos e interfaces permitidas designados.
- Ventanas horarias, límites de tasa y métodos excluidos aprobados.
- Consentimiento de terceros, contactos de control y autoridad para detener las pruebas.
- Responsabilidades relativas a la gestión de evidencias, la limpieza, la elaboración de informes y las pruebas de retest.
Mantener visibles los cambios
Registre las versiones desplegadas, las nuevas rutas y los cambios de permisos durante la prueba. Si una ruta inesperada alcanza un sistema fuera del alcance autorizado, pause la prueba y resuelva el alcance con la persona decisora designada. Incluya las dependencias no probadas en la declaración final de cobertura.
Prepare un documento antes de la reunión para definir el alcance
Empiece por el flujo de trabajo del producto, los límites entre tenants y las identidades que debe probar la evaluación. Documente cómo observar una transacción de prueba sin mover fondos reales de clientes.
Utilice el generador gratuito de documentos de alcance para pruebas de penetración fintech para registrar objetivos, áreas de evaluación, limitaciones y preferencias sobre el NDA. Revise el alcance propuesto y envíelo directamente a Atlant Security a través del formulario de contacto.
