En una prueba de penetración, los expertos en seguridad informática intentan, de forma selectiva y autorizada, acceder a un sistema informático, por ejemplo, a la red de una empresa. De este modo, se ponen a prueba los mecanismos de protección existentes y se detectan las vulnerabilidades que deben subsanarse. En una prueba de penetración de caja negra, el sistema informático objeto de la prueba representa una caja negra, es decir, una incógnita. Los expertos en seguridad informática deben recabar toda la información, de forma similar a como lo haría un ciberdelincuente.
Una prueba de penetración de caja negra simula las condiciones de un ciberataque típico desde el exterior.
Muestra si un ciberdelincuente puede infiltrarse en la red de la empresa y de qué manera, qué vulnerabilidades existen y qué mecanismos de protección ya detienen los ataques.
Con los resultados de una prueba de penetración de caja negra se pueden subsanar las vulnerabilidades existentes y proteger aún mejor la red de la empresa contra los ataques.
Las pruebas de penetración de caja negra no tienen nada que ver con los llamados ataques de caja negra a cajeros automáticos. El mayor punto en común es la palabra «caja negra».
En el día a día, lo más probable es que solo se encuentre con una prueba de penetración de caja negra en conversaciones o en actividades de sensibilización del personal. En el mejor de los casos, oirá algo como: «La prueba de penetración de caja negra realizada por nuestra empresa de seguridad informática ha revelado que nuestros empleados se muestran muy atentos ante correos electrónicos y enlaces sospechosos. Los ataques simulados a través de estos canales no tuvieron éxito. ¡Enhorabuena!».
Una prueba de penetración de caja negra sirve para mejorar su seguridad o la de la red de su empresa. Sin embargo, si se centra en las medidas destinadas a reducir su riesgo cibernético, las pruebas de penetración de caja negra tendrán menos éxito. Y, por consiguiente, los ataques reales de los ciberdelincuentes contra la red de su empresa también serán menos exitosos.
Información detallada
Si desea profundizar en el tema: un estudio algo antiguo, pero muy esclarecedor, de la Oficina Federal Alemana de Seguridad en la Tecnología de la Información (BSI) sobre pruebas de penetración.
