Pentesting para Administración Pública y Proveedores | ENS
La administración pública concentra datos de ciudadanos, trámites y servicios esenciales, y está obligada a demostrar que los protege. Esa obligación alcanza también a los proveedores que operan sus plataformas. Auditamos ambos lados de la relación con evidencia que el auditor puede revisar.
Por qué este sector necesita una auditoría distinta
El Esquema Nacional de Seguridad no es voluntario: se exige a la administración y a las entidades privadas que prestan servicios o tratan información en su nombre. Por eso un proveedor de software que vende a ayuntamientos, diputaciones o consejerías recibe la misma pregunta que su cliente: dónde está la evidencia técnica de que la aplicación está probada. En una plataforma compartida por varias organizaciones la prueba tiene que demostrar algo que la caja negra no ve: que los datos de un organismo no son accesibles desde otro. El informe que sirve es el que separa lo que depende del proveedor —funcionalidad propia, configuración y API— de lo que depende del núcleo o de terceros, y lo mapea a la medida que el auditor va a pedir.
Qué se pone en juego
- Datos de ciudadanos y trámites en sedes electrónicas y portales de participación
- Cuentas de empleado público, gestor y ciudadano con roles distintos
- Documentos y expedientes de cada organismo alojados en una misma plataforma
- APIs, integraciones y pasarelas de firma o notificación
- Paneles de administración y consolas de gestión de contenidos
- Accesos de proveedores, contratistas y entornos de preproducción
Superficie de ataque habitual
Control de acceso por objeto roto (IDOR/BOLA): cambiar un identificador de expediente, propuesta o usuario y acceder a datos de otro ciudadano u organismo.
Aislamiento multi-tenant defectuoso: una organización accede a la configuración o a los datos de otra alojada en la misma plataforma.
Medida sin evidencia: la prueba existió, pero el informe no dice qué alcance cubrió ni a qué medida del Anexo II responde, y el auditor no puede correlacionarla.
Formularios y APIs sin validación: inyección, XSS almacenado en contenido público o subida de ficheros que permite ejecución.
Paneles de administración expuestos con autenticación débil o sin segundo factor, la vía más directa a tomar la plataforma.
Dependencia de terceros: plugins, librerías y servicios externos sin inventario ni seguimiento de vulnerabilidades públicas.
Servicios para administración pública y proveedores tecnológicos
Estos son los servicios que más se contratan en este sector. Se pueden combinar según el alcance. Si vas a pedir presupuesto, empieza por ver cómo contratar un pentesting.
Lo que se encuentra de verdad en una auditoría de este sector
No son casos teóricos de un catálogo: son los tipos de hallazgo que aparecen una y otra vez.
Datos de otro organismo
La plataforma es multi-tenant y el endpoint valida la sesión, pero no que el recurso pertenezca a la organización del usuario. Cambiando el identificador se ven expedientes o propuestas de otro cliente público. Es el hallazgo que más incomoda en una auditoría de certificación.
mp.s.2 sin trazabilidad
Hay un pentesting del año pasado, pero el informe no declara alcance fechado ni la medida que evidencia. El auditor pregunta por mp.s.2 y la respuesta es un PDF genérico que no se puede correlacionar con el sistema categorizado.
El panel del gestor
El área de administración permite cambios de configuración y publicación de contenido, pero está accesible sin segundo factor y con una sesión que no caduca. Un fallo de credenciales se convierte en control total de la plataforma.
Normativas que os van a pedir
Estas son las que aparecen con más frecuencia en contratos, licitaciones y auditorías de este sector, y la razón por la que suelen exigirlas.
ENS
Relevante porque obligatorio para la administración y para los proveedores que tratan información en su nombre; mp.s.2 exige auditorías web y R1/R2 según categoría.
RGPD
Relevante porque se tratan datos personales y categorías especiales de ciudadanos, con obligación de seguridad y de notificación de brechas.
NIS2
Relevante porque incluye administraciones y su cadena de suministro entre las entidades sujetas a requisitos de seguridad.
ISO 27001
Relevante porque muchos pliegos y contratos públicos la exigen al proveedor como garantía de gestión de seguridad.
Hacemos la prueba técnica y el informe que tu auditor necesita. No somos entidad certificadora ni asesoría de cumplimiento.
¿Tu proyecto entra en este sector?
Cuéntanos qué quieres auditar y te enviamos un presupuesto detallado en menos de 24 horas, sin coste y sin compromiso.
Solicitar auditoríaCiberseguridad en otros sectores
Cada sector tiene su propia superficie de ataque y sus normativas. Estas son las que trabajamos.
Preguntas frecuentes
¿Qué medida del ENS evidencia una prueba de intrusión web?
¿Sois una entidad de certificación del ENS?
¿Trabajáis con proveedores que venden software a administraciones?
¿Cuánto cuesta una prueba de este tipo?
¿Necesita tu empresa una auditoría de seguridad?
Presupuesto personalizado en menos de 24 horas. Consultoría inicial gratuita. Sin compromiso.