Reporte y Remediación
El Reporte es el Producto Final
Por más impresionantes que sean tus habilidades técnicas, el cliente solo recibe una cosa tangible: el reporte. Es el entregable que justifica el engagement, comunica el riesgo y guía la remediación. Un pentest brillante con un reporte deficiente aporta poco valor; un pentest sólido con un reporte excelente transforma la postura de seguridad de la organización. Por eso, redactar bien es tan importante como hackear bien.
El reporte debe servir a múltiples audiencias. La dirección necesita entender el riesgo de negocio sin tecnicismos; los equipos técnicos necesitan detalle suficiente para reproducir y corregir cada hallazgo. Equilibrar ambos niveles de detalle es el arte del reporte profesional, y suele resolverse con una estructura por capas.
Un buen reporte también es atemporal: alguien que lo lea meses después, sin haber participado del engagement, debe poder entender qué se encontró, por qué importa y cómo solucionarlo. La claridad y la completitud son tus objetivos centrales.
Estructura de un Reporte Profesional
Un reporte de pentest bien armado suele incluir varias secciones. El resumen ejecutivo condensa los hallazgos clave, el nivel de riesgo general y las recomendaciones prioritarias en lenguaje accesible para la dirección. No debe contener jerga técnica innecesaria; su audiencia toma decisiones de inversión, no de configuración.
La sección de alcance y metodología documenta qué se testeó, cuándo, con qué enfoque y bajo qué reglas de engagement. Esto contextualiza los hallazgos y demuestra rigor. Luego viene el cuerpo técnico: los hallazgos detallados, cada uno con su descripción, severidad, evidencia, impacto y remediación. Finalmente, suelen incluirse anexos con datos crudos, listados de escaneo o información de soporte.
Esta estructura por capas permite que cada lector acceda al nivel de detalle que necesita. La dirección lee el resumen ejecutivo; el equipo de TI profundiza en los hallazgos. Un índice claro y una numeración consistente facilitan la navegación de un documento que puede ser extenso.
Clasificación de Severidad
Cada hallazgo debe llevar una severidad clara que comunique su urgencia. Las categorías habituales son crítica, alta, media, baja e informativa. La severidad debe basarse en una combinación de probabilidad de explotación e impacto potencial, idealmente respaldada por una puntuación CVSS que dé consistencia y objetividad a la clasificación.
Es importante que la severidad refleje el contexto real del cliente, no solo la puntuación genérica. Una vulnerabilidad crítica en un sistema aislado sin datos sensibles puede merecer una severidad ajustada hacia abajo, mientras que una falla media en un sistema expuesto que procesa datos de clientes puede elevarse. Explicar el razonamiento detrás de cada severidad aporta transparencia y credibilidad.
Una severidad consistente permite al cliente priorizar su esfuerzo de remediación de forma racional. Si todo se marca como crítico, nada es crítico; la calibración honesta de la severidad es parte de tu profesionalismo y del valor que entregás.
Evidencia Clara y Reproducible
Cada hallazgo necesita evidencia que lo respalde: capturas de pantalla, fragmentos de salida de comandos, peticiones y respuestas, o pruebas de concepto. La evidencia transforma una afirmación ("este sistema es vulnerable") en un hecho verificable. Sin ella, el cliente no puede confirmar el problema ni convencer a sus propios equipos de actuar.
La evidencia debe ser reproducible: incluí los pasos suficientes para que el equipo técnico del cliente pueda confirmar el hallazgo por sí mismo. Al mismo tiempo, cuidá los datos sensibles. Si una captura muestra credenciales o información personal, redactá o enmascará lo necesario para no exponer datos en un documento que circulará por la organización.
Mantené la evidencia proporcional. No necesitás volcar megabytes de salida cruda; basta con lo que demuestra el punto de forma inequívoca. Una evidencia bien elegida es más persuasiva que un anexo abrumador que nadie leerá.
Recomendaciones de Remediación
La parte más valiosa de cada hallazgo es la recomendación de remediación. Encontrar problemas es útil; explicar cómo resolverlos es lo que justifica el engagement. Cada recomendación debe ser específica, accionable y realista para el entorno del cliente. "Parchear el sistema" es vago; "actualizar el componente X a la versión Y, o aplicar la mitigación Z mientras tanto" es accionable.
Las buenas recomendaciones consideran el contexto operativo. A veces la solución ideal no es viable de inmediato, así que conviene ofrecer mitigaciones temporales además de la corrección definitiva. Vincular cada recomendación a un estándar reconocido — como las guías de OWASP, los benchmarks de CIS o las recomendaciones del fabricante — refuerza su autoridad y facilita que el cliente la implemente.
Cuando es posible, agrupá recomendaciones que abordan causas raíz comunes. Si varios hallazgos derivan de una gestión deficiente de parches o de una falta de segmentación de red, señalar el problema sistémico aporta más valor que tratar cada síntoma por separado. Pensá en mejorar la postura de seguridad, no solo en tapar agujeros.
Cierre, Entrega y Seguimiento
El reporte se entrega de forma segura, ya que contiene información sensible sobre las debilidades del cliente. Cifrar el documento, usar canales protegidos y limitar su distribución a quienes deben conocerlo son prácticas estándar. Una reunión de presentación (debrief) donde recorrés los hallazgos clave con el cliente asegura que el mensaje se entienda y se prioricen las acciones correctas.
El valor del pentest se materializa en el seguimiento. Muchos engagements incluyen una fase de retesteo posterior para verificar que las remediaciones se aplicaron correctamente. Documentar el estado de cada hallazgo — remediado, mitigado o pendiente — cierra el ciclo y demuestra el progreso tangible. Así, el reporte deja de ser un documento estático y se convierte en el motor de una mejora real y medible de la seguridad.