Revisión de código y dependencias
Análisis del código fuente y de las librerías que usa, en busca de vulnerabilidades conocidas.
Nube, seguridad y operación
Ciberseguridad para empresas: protege tus aplicaciones y datos
Revisamos la seguridad de tus aplicaciones, tu infraestructura y tus accesos, corregimos lo que encontramos y dejamos controles para que la información de tus clientes esté protegida.
Qué resuelve
La seguridad se nota el día que falla.
La mayoría de los incidentes empiezan por algo básico: una contraseña reutilizada, una dependencia sin actualizar o un permiso que nadie retiró.
Una aplicación puede funcionar perfectamente y aun así exponer datos.
Un endpoint que no valida permisos, una base de datos accesible desde internet, una cuenta de exempleado que sigue activa. Nada de eso se ve en el uso diario.
Nuestro enfoque está en el software: tus aplicaciones web y móviles, sus APIs, la nube donde corren y las cuentas que tienen acceso a ellas. Las revisamos como lo haría alguien que busca entrar, ordenamos los hallazgos por riesgo y los corregimos contigo. Al final quedan controles funcionando, no solo un PDF.
Si un cliente, socio o auditor te pide evidencia de tus controles, o si manejas datos personales, financieros o de salud, es buen momento para una primera revisión. Para que los controles no se deterioren, se pueden integrar al mantenimiento de software.
Qué incluye
Del código a las cuentas con acceso
Revisión, corrección y controles que se quedan funcionando.
Pruebas de penetración a aplicaciones y APIs
Pruebas de inyección, autenticación, permisos y exposición de datos con base en OWASP Top 10.
Configuración de la nube
Revisión de redes, almacenamiento, llaves y servicios expuestos.
Control de accesos
Doble factor, roles por puesto, permisos mínimos y baja de cuentas que ya no deben existir.
Protección de datos
Cifrado, enmascaramiento de datos sensibles, políticas de retención y registro de quién consulta qué.
Respuesta a incidentes
Bitácoras, alertas y un procedimiento claro de qué hacer si algo pasa.
Comparativa
Escaneo, pentest o auditoría
Son revisiones complementarias. Elegimos contigo según tu riesgo y lo que te pide tu cliente o auditor.
| Escaneo de vulnerabilidades | Prueba de penetración | Auditoría de seguridad | |
|---|---|---|---|
| Quién la hace | Herramientas automáticas. | Una persona que intenta aprovechar las fallas como un atacante. | Un revisor contra una referencia acordada. |
| Qué encuentra | Fallas conocidas, versiones desactualizadas y configuraciones débiles. | Además, fallas de permisos y de lógica de negocio, con su impacto demostrado. | Brechas en configuración, accesos, código y procedimientos. |
| Límite | Genera falsos positivos y no entiende tu negocio. | Cubre el alcance acordado: sin información previa, con credenciales o con el código. | No intenta explotar las fallas. |
| Te deja | Una revisión rápida y repetible. | Hallazgos confirmados y priorizados. | Evidencia ordenada para clientes, socios o auditores. |
Qué revisamos
Riesgos que buscamos en aplicaciones y APIs
La referencia son las categorías de OWASP Top 10, la guía abierta de los riesgos más comunes en aplicaciones web.
- Control de accesoUsuarios que ven o modifican datos de otros y permisos que no se validan en el servidor.
- InyecciónEntradas que llegan sin validar a la base de datos u otros servicios, como la inyección SQL.
- AutenticaciónContraseñas débiles, sesiones que no expiran, recuperación insegura y falta de doble factor.
- Configuración inseguraServicios expuestos, errores con información interna y permisos amplios en la nube.
- Componentes desactualizadosLibrerías, frameworks y servidores con vulnerabilidades conocidas.
- Protección de datosInformación sensible sin cifrar, llaves en el código y respaldos sin protección.
Proceso
De la autorización a la segunda prueba
Las pruebas se hacen solo con autorización por escrito y dentro del alcance acordado.
- Antes de empezar
Alcance y reglas
Qué sistemas se revisan, en qué ambiente y en qué horarios. Si es posible, sobre un ambiente de pruebas igual al de producción.
- Revisión
Código, aplicación, nube y accesos
Análisis de código y dependencias, pruebas a la aplicación y sus APIs, y revisión de configuración y cuentas.
- Reporte
Hallazgos priorizados
Cada hallazgo con su riesgo, evidencia y forma de corregirlo. Se comparte solo con las personas que tu empresa designe.
- Cierre
Corrección y verificación
Corregimos con tu equipo o directamente en el código, y volvemos a probar para confirmar que quedó resuelto.
Costo
No hay precio estándar: depende de cuántas aplicaciones y APIs se revisan, su tamaño en roles y endpoints, el tipo de prueba y si incluye la nube. Pregunta siempre si la cotización contempla corregir y volver a probar; en la nuestra, sí.
Guía de costos →
Preguntas frecuentes
Dudas antes de autorizar una prueba
Si crees que ya hubo un incidente, escríbenos hoy a hola@dexma.mx.
¿Qué es una prueba de penetración o pentesting?
Es una evaluación autorizada en la que un especialista intenta aprovechar las vulnerabilidades de un sistema, como lo haría un atacante, para demostrar qué tan grave es cada falla y cómo corregirla.
¿Las pruebas pueden afectar mi operación?
Acordamos ambiente, horarios y tipo de pruebas antes de empezar. Cuando es posible, trabajamos sobre un ambiente de pruebas igual al de producción.
¿Ustedes corrigen lo que encuentran?
Sí. Además del reporte, corregimos los hallazgos con tu equipo o directamente en el código, y verificamos que quedaron resueltos.
¿Esto ayuda a cumplir con las leyes de protección de datos?
Los controles técnicos que implementamos apoyan las medidas de seguridad que piden las leyes de protección de datos personales, como la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en México o sus equivalentes en otros países. Los aspectos legales, como avisos de privacidad, conviene revisarlos con tu asesor legal.
¿Qué hago si ya tuve un incidente de seguridad?
Lo primero es contener: retirar accesos comprometidos, aislar lo afectado y conservar las bitácoras. Después analizamos cómo ocurrió, corregimos la causa y reforzamos los controles. Si hay datos personales involucrados, revisa con tu asesor legal las obligaciones de aviso que te apliquen.
¿Cada cuánto conviene hacer una revisión?
Después de cada cambio importante en el sistema y de forma periódica. Si tienes soporte con nosotros, podemos integrar las revisiones al mantenimiento.
Siguiente paso
¿Cuándo fue la última revisión de seguridad de tu sistema?
Cuéntanos qué sistemas tienes y qué datos manejan. Definimos contigo el alcance de una primera revisión y por dónde empezar.