Respuestasclaras.
Qué prueba Cantic, cómo de seguro es, cómo apoya el cumplimiento y cuánto cuesta.
Lo básico
¿Qué es Cantic?
Un red team autónomo para empresas reguladas. Nuestro modelo propio, Cantic Eclipse, mapea lo que expones, lo ataca como lo haría un criminal, demuestra cada hallazgo con un exploit funcional, entrega la corrección y vuelve a atacar para confirmar que aguantó.
¿En qué se diferencia de un escáner de vulnerabilidades?
Los escáneres comparan firmas contra una base de datos e informan de lo que podría estar mal. Eclipse recorre tus sistemas como lo haría un atacante, encadenando hallazgos y probando autenticación y lógica de negocio, y solo informa de lo que puede demostrar.
¿En qué se diferencia de un pentest anual?
Un pentest anual es una foto fija que llega en un PDF largo. Cantic ataca cada semana o cada día, demuestra cada hallazgo en vivo y entrega la corrección, así que el hueco entre exposición y arreglo se mide en horas, no en trimestres.
¿Cuánto cuesta?
La primera sonda es gratuita: un dominio, reglas firmadas, hallazgos sobre la mesa. Después, Core (ataques semanales, alertas NVD + KEV, avisos de proveedores) y Fortify (ataques diarios, correcciones en 24 horas, respuesta a incidentes en 10 horas) se precio por alcance. Pide presupuesto.
¿Hay que instalar algo?
No. Eclipse prueba desde fuera, como lo haría un atacante, así que no hay nada que instalar ni instrumentar.
Seguridad y datos
¿Es seguro ejecutarlo contra producción?
Sí. Eclipse es solo lectura por diseño y se ejecuta con límites de tasa y timeouts, así que sondea y observa sin tocar tus datos ni tu rendimiento.
¿Puede modificar, borrar o extraer datos?
No. Sondéa y observa; no puede modificar, borrar ni extraer datos de los sistemas que prueba.
¿Cómo se asegura que solo se prueban sistemas autorizados?
Cada compromiso empieza con una autorización firmada y reglas de compromiso. Las pruebas recurrentes requieren además verificar el dominio con un registro DNS o la subida de un archivo.
¿Podemos detener un compromiso?
Sí. Un compromiso en marcha puede revocarse en 60 segundos, y cada acción queda firmada en un registro que puedes inspeccionar.
¿Cómo se tratan nuestros datos?
Los hallazgos se cifran en reposo y se tratan bajo NDA. Los informes de la sonda gratuita se guardan 14 días salvo que te suscribas. Consulta nuestra política de privacidad.
Cumplimiento
¿Ayuda Cantic con DORA, PCI DSS o ISO 27001?
Sí. Producimos evidencia fechada y firmada de pruebas, corrección y retest que mapea los requisitos de pruebas de DORA, PCI DSS v4.0, ISO/IEC 27001, SOC 2 y NIST CSF 2.0. Tu auditor decide qué satisface un control. Ver el mapeo.
¿Sustituye las pruebas de red team que exige el regulador?
No. Las pruebas guiadas por amenazas (TLPT) tienen sus propias reglas sobre quién las ejecuta. Cantic te mantiene probado de forma continua entre esos ejercicios, para que encuentren menos.
Hallazgos y correcciones
¿Hay falsos positivos?
Cada hallazgo llega con un exploit funcional. Si Eclipse no puede demostrarlo, no se informa como hallazgo.
¿Con qué rapidez llega una corrección?
Con Fortify, las correcciones verificadas llegan como pull requests en menos de 24 horas. Luego volvemos a atacar para confirmar que el problema sigue cerrado.
¿Podemos ver las pruebas?
Sí. Puedes seguir un compromiso en tiempo real y cada hallazgo llega con una repetición paso a paso.
¿Podemos disputar un hallazgo?
Sí. Dínoslo y una persona de nuestro equipo lo revisará de nuevo.
¿Aún condudas?
Pregunta a quienes lo construyeron. Respondemos en un día laborable.