Caso de cliente Tozetta x SVC Groep: más confianza en la resiliencia digital

SVC Groep se puso en contacto con Tozetta para realizar una prueba de penetración. Tras un proceso de selección breve pero cuidadoso, quedó claro rápidamente que Tozetta era el partner adecuado. En este caso de cliente profundizamos en el valor añadido de un pentest y en las razones por las que SVC Groep eligió a Tozetta como partner de pentesting. Gracias a una conversación con Richard Meinders, conocemos cómo vivió SVC Groep la colaboración y qué impacto tuvo en su enfoque de seguridad.

¿Cuál fue el motivo más importante para realizar un pentest?

Richard: "Como organización auditora, exigimos a nuestros clientes ciertos estándares en cuanto a su funcionamiento, entre otros en materia de privacidad y seguridad de la información. Por eso consideramos que también nosotros debemos ser los mejores en este ámbito. Hace unos años ya hicimos que se realizara una revisión general de seguridad. Aunque no mostró riesgos de seguridad, el proceso de ISO 27001 que estamos poniendo en marcha actualmente es un buen motivo para someter nuestra aplicación a pruebas exhaustivas."

¿Por qué elegisteis colaborar con Tozetta?

Richard: "En nuestra red conocemos a varias empresas que ofrecen servicios similares. Mantuvimos una conversación introductoria con ellas y Tozetta resultó ser la mejor opción. El enfoque práctico y la comunicación directa fueron decisivos para nosotros."

¿Qué conocimientos han resultado más valiosos para vosotros?

Richard: "Nuestros desarrolladores están especializados en construir software y siempre mantienen la seguridad muy presente. Sin embargo, un hacker ético aborda el software desde una perspectiva distinta, con un objetivo y una experiencia diferentes. Durante este pentest quedó claro que los hackers éticos piensan de forma fundamentalmente distinta a los desarrolladores, lo que dio lugar a nuevos conocimientos y una imagen más nítida de nuestra seguridad."

¿Cómo traduce Tozetta Reports los hallazgos técnicos en puntos de acción concretos?

Richard: "Para mí, las vulnerabilidades concretas son un galimatías; por suerte entiendo el resumen ejecutivo y el posible impacto en el negocio. Por suerte, nuestro desarrollador entiende el informe por completo. Cada uno a lo suyo, supongo. En vuestro entorno, los hallazgos se presentan de forma clara para ellos, con la prioridad adecuada. También resulta práctico que incluya buenas instrucciones para resolver los hallazgos señalados."

¿Habéis aprendido algo más de la colaboración con Tozetta?

Richard: "La colaboración fue muy agradable. El contacto entre los hackers éticos y nuestro desarrollador también fue muy útil y valioso. Lo que hemos aprendido es que, para tener realmente una buena visión de los riesgos, hay que poder pensar completamente 'fuera de la caja'. Tozetta puede ayudar de verdad realizando un pentest controlado."

¿Qué le dirías a otras organizaciones sobre la importancia de la visibilidad y la demostrabilidad tras un pentest?

Richard: "Por muy bien que hagas tu trabajo, siempre lo ves a través de tu propia visión y tus propios marcos en materia de seguridad de datos. Al realizar un pentest, tu organización también es examinada de forma crítica por terceros. Te enseña que ellos siempre miran las cosas de otra manera y son independientes de la organización. Eso significa que pasas de 'pensar' que todo está bien a 'saber' que todo está bien. Es una sensación tranquilizadora que contribuye a la calidad del servicio que quieres ofrecer."