Rules of engagement
En seguridad ofensiva, las rules of engagement son el acuerdo escrito que define exactamente qué puede y qué no puede hacer una prueba: el alcance, las fechas, las técnicas permitidas, los sistemas intocables y a quién llamar si algo se rompe. Se acuerdan antes de empezar a probar nada y son lo que autoriza el ejercicio entero.
Cómo funciona
Las rules of engagement convierten un encargo vago en una operación acotada y autorizada. El documento fija el alcance del objetivo (qué dominios, rangos, aplicaciones y cuentas entran y cuáles no), la ventana en la que se puede probar, las técnicas permitidas y prohibidas (por ejemplo si se permite denegación de servicio o ingeniería social, si se pueden exfiltrar datos para demostrar impacto), y el tratamiento de cualquier dato real con el que se tropiece. Nombra contactos de emergencia por las dos partes y un procedimiento de desconflicto, para que un incidente auténtico durante la prueba no se confunda con la prueba, ni al revés. Y sobre todo deja registrado quién tiene autoridad para aprobar las pruebas contra cada activo, que es lo que protege legalmente tanto a quien prueba como al cliente.
Qué sale mal
El documento que ningún fabricante de productos de seguridad puede escribir, porque no está en la sala cuando se acota el trabajo, es este. Cuando es flojo, los proyectos fallan de formas predecibles: quien prueba toca un sistema que el cliente daba por excluido, se produce una caída en producción en horario laboral porque la ventana no se cerró nunca, o un atacante real que opera al mismo tiempo pasa desapercibido porque todas las alertas se descartan como «seguramente es el pentest». Del lado ofensivo, unas reglas flojas limitan además el valor de la prueba: si los sistemas más sensibles se dejan fuera por defecto, la evaluación mide el perímetro y no llega nunca a la parte que de verdad dolería.
Dónde aparece esto en una auditoría
Las rules of engagement son el primer documento de cualquier informe y la referencia a la que se remite cada hallazgo: un resultado solo es válido si estaba en alcance y autorizado. Registramos el alcance acordado, las exclusiones y la cadena de aprobación, y anotamos dónde una exclusión limitó lo que se pudo evaluar, para que quien lee entienda la cobertura. Esto es cómo acordamos el alcance antes de empezar un proyecto, tanto si el trabajo es un pentesting como si es un ejercicio de brecha asumida.