La supervisión continua de los controles y una prueba de penetración puntual que se realiza una vez al año no son compatibles entre sí. Una prueba manual implica definir el alcance, esperar a que haya una franja horaria disponible y retrasar el plazo de auditoría para la elaboración del informe.
Los equipos eligen Drata para estar listos para una auditoría en poco tiempo: los controles se supervisan de forma continua y las pruebas se recopilan automáticamente. La prueba de penetración es la parte que no avanza a ese ritmo. Y sigue siendo una instantánea: en nuestro informe «El estado de la IA en las pruebas de penetración», el 76 % de los responsables encuestados afirmó que implementa cambios significativos en producción semanalmente o con mayor frecuencia, pero solo el 21 % valida la seguridad en cada lanzamiento.
Drata y Aikido están reduciendo esa brecha. Los nuevos clientes de Drata ya pueden solicitar una prueba de penetración con la IA de Aikido, que incluye hallazgos verificados, un informe listo para los auditores y resultados que se sincronizan directamente con Drata.
Lo que Drata y Aikido hacen ahora juntos
Aikido lleva a cabo las comprobaciones y genera las pruebas que respaldan los controles técnicos de Drata, entre los que se incluyen SOC 2, ISO 27001, PCI DSS (Norma de Seguridad de Datos de la Industria de Tarjetas de Pago), DORA (la Ley de Resiliencia Operativa Digital de la UE) e HIPAA. Los resultados, junto con las pruebas que los respaldan, se sincronizan con Drata sin que nadie tenga que exportar una hoja de cálculo. Basta con corregir algo en Aikido para que Drata se actualice automáticamente, por lo que la preparación de la auditoría ya no depende de que alguien se acuerde de hacerlo la semana anterior a la auditoría.
Esto se extiende ahora específicamente a las pruebas de penetración. Cada nivel de Drata (Foundation, Advanced y Enterprise) incluye una prueba de penetración con IA de Aikido por un valor de hasta 4.000 dólares (consulta «Cómo solicitarla» para obtener más información).
Esto se extiende ahora a las pruebas de penetración. Los nuevos clientes de Drata, independientemente del plan que elijan (Foundation, Advanced o Enterprise), obtienen hasta 4.000 dólares en créditos gratuitos para pruebas de penetración con Aikido AI, lo que suele ser suficiente para una prueba de penetración estándar de una aplicación pequeña. Las aplicaciones más grandes siguen obteniendo resultados significativos y pueden añadir créditos para lograr una cobertura completa. La configuración lleva menos de 20 minutos y, aproximadamente un día laborable después, recibirás un informe listo para el auditor. Aquí tienes un informe de muestra para que puedas ver exactamente lo que entregarías a tu auditor.
Por qué el informe se sostiene ante un auditor
Una prueba de penetración solo resulta útil si el auditor la acepta realmente. Los agentes de Aikido prueban la aplicación, sus API y la infraestructura subyacente tal y como lo haría un pentester humano. La diferencia radica en lo que ocurre tras detectar un hallazgo: un agente independiente vuelve a explotarlo antes de que se notifique, por lo que lo que se incluye en el informe final es una prueba de concepto funcional, en lugar de una suposición probabilística.
En el mismo informe mencionado anteriormente, el 40 % de los responsables afirmó que se sentiría más seguro defendiendo pruebas reproducibles del sistema en una auditoría que la reputación de una empresa de pruebas de penetración (26 %), mientras que otro 34 % consideraba que ambos aspectos tenían el mismo peso. Los auditores quieren ver cada vez más el trabajo en sí, en lugar de limitarse a creer en la palabra de alguien.
(A modo de contexto, una prueba de rendimiento independiente realizada por Doyensec reveló que Aikido detectaba un 58 % más de vulnerabilidades verificadas que XBOW en el mismo nivel de precios. Es bueno saberlo si se comparan directamente herramientas de pruebas de penetración, aunque se trata de una comparación de productos y no de una evaluación de la aceptabilidad de una auditoría.)
La solución también necesita pruebas
Un auditor no solo quiere comprobar que se ha detectado un problema. Quiere pruebas de que se ha solucionado. Ahí es donde la mayoría de las pruebas de penetración fracasan silenciosamente: solo el 40 % de los responsables afirma que vuelve a realizar las pruebas sin demora tras la corrección, y el 42 % las retrasa por motivos de coste o de calendario, a menudo hasta después de la fecha límite de la auditoría.
Todas las pruebas de penetración de Aikido AI incluidas en esta oferta cuentan con 6 meses de repetición ilimitada de las pruebas, lo que permite verificar que la corrección se ha aplicado la misma semana en que se envía, en lugar de tener que esperar a la siguiente sesión programada.
Cómo solicitarlo
Los nuevos clientes de Drata con un plan Foundation, Advanced o Enterprise pueden solicitar aquí una prueba de penetración con Aikido AI. Canjeable durante los tres primeros meses a partir de la fecha de inicio de tu plan de Drata, o para ofertas de Drata actualmente en curso. Los clientes actuales de Aikido no pueden participar. ¿Aún no eres cliente de Drata? Empieza con una demostración para obtener más información.
Empecemos
Las pruebas de cumplimiento normativo y de seguridad acaban realizándose en el mismo plazo, en lugar de en dos plazos distintos. Si quieres conocer el panorama completo que se esconde tras estas cifras, nuestro informe «El estado de la IA en las pruebas de penetración» contiene el resto de los datos.
