LecturaSin papel no se toca nada
Bienvenida
Bienvenido a Carta de autorización y reglas de enfrentamiento, para quien prepara su primer encargo de pentesting, OSINT o CTF de ataque y defensa, y para quien contrata esas pruebas. Al terminar sabrá por qué el permiso escrito va antes que el primer escaneo, qué lleva la carta, qué agregan las reglas de enfrentamiento (RoE) y cómo se cierra el encargo sin dejar datos regados.
Conviene haber hecho Introducción a la ciberseguridad. Solo necesita un navegador y un editor de texto. Son cuatro lecciones, un laboratorio en el que audita la carta de Café del Valle y una evaluación de 4 preguntas: unos 47 minutos.
Qué es una carta de autorización
Nmap scan report for tienda.cafedelvalle.ejemplo.cr (198.51.100.45)
PORT STATE SERVICE
22/tcp open ssh
443/tcp open httpsEsa salida es idéntica si la produce una consultora contratada o un desconocido desde su casa. Lo que separa la prueba del delito es un papel firmado antes de empezar.
La carta de autorización es el documento en el que el dueño de un activo (una red, un servidor, una aplicación) permite por escrito que alguien lo pruebe, dentro de un alcance, unas fechas y unas condiciones. En el gremio le dicen get out of jail letter. NIST SP 800-115 (2008) sugiere un memorando de una o dos páginas para mostrar dentro de la organización y, si la prueba incluye acceso físico, un formulario firmado para enseñarle a la policía o a los guardas.
Lo que dice el Código Penal
La Ley 9048 de 2012 creó la Sección VIII del Código Penal, «Delitos informáticos y conexos», y reformó artículos de otros títulos; la Ley 9135 de 2013 volvió a redactar algunos. Estos son los que más rozan el trabajo de un pentester, con su nombre vigente:
| Artículo | Delito | Qué castiga, en resumen |
|---|---|---|
| 196 | Violación de correspondencia o comunicaciones | Acceder o interceptar sin autorización comunicaciones ajenas, con peligro para la intimidad |
| 196 bis | Violación de datos personales | Acceder o copiar datos de personas sin autorización del titular, con peligro para su intimidad |
| 229 bis | Daño informático | Suprimir o modificar información sin autorización «o excediendo la que se le hubiera concedido» |
| 229 ter | Sabotaje informático | Obstaculizar sin autorización el funcionamiento de un sistema |
| 231 | Espionaje informático | Apoderarse sin autorización de información de valor comercial |
| 232 | Instalación o propagación de programas informáticos maliciosos | Instalar programas maliciosos sin autorización |
Casi todos giran sobre la frase sin autorización, y el 229 bis castiga también a quien se pasa del permiso recibido. La carta protege solo lo que dice: salirse del alcance lo deja en la misma posición que no tenerla. Ninguno de esos artículos exceptúa la buena intención.
Costa Rica se adhirió en 2017 al Convenio de Budapest sobre la Ciberdelincuencia (Ley 9452), vigente para el país desde el 1 de enero de 2018. El convenio facilita la cooperación entre fiscalías: un servidor en otro país no lo saca del alcance de una investigación.