Glosario
Retest
Reprueba de un hallazgo concreto tras su corrección, ejecutando los mismos pasos originales para verificar si sigue siendo explotable.
- Reprueba
- Verificación de remediación
El retest es la pieza que convierte un informe de pentest en prueba de que el programa de seguridad funciona. Sin él tienes una lista de problemas y una promesa de arreglarlos.
Para que sirva tiene que hacerse hallazgo a hallazgo, no en bloque. Un documento que dice «se han corregido 14 de 17» no permite trazar nada. Cada reprueba necesita el identificador original del hallazgo, la fecha de ejecución, los mismos pasos de reproducción y un veredicto explícito: corregido, mitigado, riesgo aceptado o persistente.
Los dos veredictos intermedios son los que más información contienen y los que peor se documentan. Si es «mitigado», hay que decir qué mitiga la medida y qué sigue expuesto. Si es «aceptado», hay que nombrar a quien lo aceptó, la fecha y hasta cuándo dura esa aceptación. Un retest que sólo distingue entre corregido y no corregido pierde justo lo que un auditor quiere leer.