Una evaluación describe un sistema en un momento y dentro de un alcance. Después llegan versiones nuevas, integraciones, usuarios y cambios de infraestructura. La revisión de seguridad necesita considerar esa evolución.
Identificar los cambios relevantes
Una nueva API, una integración que recibe datos externos o un cambio en el modelo de permisos pueden modificar la superficie de ataque. Registrar estos cambios ayuda a decidir qué volver a evaluar.
Definir una cadencia útil
La frecuencia depende del ritmo del producto y de la criticidad de sus activos. Se pueden combinar revisiones periódicas con evaluaciones puntuales antes de cambios importantes.
El alcance debe ser explícito en cada revisión: qué se probó, qué acceso se tuvo y qué quedó fuera.
Conservar el contexto de los hallazgos
El seguimiento necesita vincular evidencia, responsables y correcciones. Si un hallazgo reaparece en otro componente, esa relación puede orientar una mejora de diseño.
Revalidar las correcciones
Aplicar un cambio es una etapa del trabajo. Volver a comprobar el escenario permite evaluar si la solución resuelve el problema observado y si aparecen efectos sobre otros recorridos.
Un punto de partida
- Inventariá aplicaciones, APIs y servicios expuestos.
- Identificá sus responsables y su criticidad.
- Definí qué cambios activan una revisión.
- Reservá tiempo para corregir y revalidar.
- Revisá el plan cuando cambie el producto.
Referencia: OWASP Web Security Testing Guide.