Desmitificando términos relacionados con ciberseguridad.

Algunas veces cuando se desea contratar los servicios para evaluar el estado de la seguridad informática, algunos de los términos que se utilizan resultan un poco confusos o no son fáciles de entender, por ello, en las siguientes líneas vamos a describir los principales términos utilizados en ciberseguridad tratando de explicarlos de una forma fácil. 

Estos son algunos de los términos utilizados cuando se desena contratar pruebas de seguridad informática:

• Pruebas de seguridad informática

• Pruebas de ingeniería social

• Análisis de vulnerabilidades

• Gestión de vulnerabilidades

• Auditoría informática

• Hacking ético

• Pentesting

Pruebas de seguridad informática: se refiere a un grupo de ejercicios  que se puede llegar a realizar una o varias veces. Dentro de estos ejercicios pueden estar contemplados el análisis de vulnerabilidades, auditorias, pentesting, hacking ético entre otras.

Pruebas de ingeniería social: Las pruebas de ingeniería social se refiere al arte de vulnerar  el sistema operativo humano, es decir, hacer que informáticamente las personas hagan cosas  que normalmente no harían, por ejemplo, revelar sus contraseñas. (Si, si pasa).

Análisis de vulnerabilidades: Es una labor automatizada mediante la cual se verifica,  mediante un software especializado, si las vulnerabilidades reportadas a nivel mundial hasta el momento de las pruebas, se encuentran presentes en los equipos que se desean analizar. 

Gestión de vulnerabilidades: es un proceso continuo de TI consistente en la identificación, evaluación y corrección de vulnerabilidades en los activos de  una organización.

Auditoría informática: proceso que consiste en recoger, agrupar y evaluar evidencias para determinar si lo que esta, es lo que debe ser. El deber ser puede ser una línea base, normatividad, mejores prácticas o regulaciones entre otras. 

Pentest: La prueba de penetración es un procedimiento formal que tiene como objetivo descubrir vulnerabilidades de seguridad, riesgos de fallas y un entorno poco confiable. Puede verse como un intento exitoso pero no dañino de penetrar en un sistema de información específico.

Hacking ético: es un término global que incluye todos los métodos de hacking  y otros métodos de ataque cibernético relacionados.

Comparado con el hacking ético, el pentest es una fase enfocada. En pocas palabras, el hacking ético es algo así como un término genérico, y el pentest es  sólo un fragmento de todas las técnicas de hacking, por lo tanto, las pruebas de penetración son un subconjunto del hacking ético.

En este cuadro se puede ver más en detalle la diferencia entre los dos términos, y uno de los factores que más los diferencia es el hecho de que no se requiere certificaciones para ejecutar pruebas de pentest lo cual si es requerido para ejecutar pruebas de hacking. 

Pentest	Hacking ético
Un término limitado que se centra en realizar evaluaciones de ciberseguridad en sistemas de TI.	Un término integral en el que las pruebas de penetración son solo una característica.
Un probador necesita tener un buen conocimiento y habilidades solo en el área específica para la cual realiza la prueba pentest.	Un hacker ético necesita poseer un conocimiento integral de diversas técnicas de programación y hardware.
Cualquiera que esté familiarizado con las pruebas de penetración puede realizar pruebas de pentest.	Por lo general, se requiere una certificación obligatoria de ethical hacking. (Ejm CEH)
Se requiere acceso solo a aquellos sistemas en los que se realizará la prueba de pentest.	Se requiere acceso a una amplia gama de sistemas informáticos en toda la infraestructura de TI.

Recuerde que las pruebas de seguridad informática siempre deben ser realizadas por personal especializado de preferencia con experiencia, certificado o con estudios en el área.