Publicación: Evaluación de la seguridad informática mediante pentesting en los sistemas de información de la Cooperativa de Ahorro y Crédito Yuyay Ltda.
Cargando...
Fecha
Título de la revista
ISSN de la revista
Título del volumen
Editor
Universidad Católica de Cuenca.
Resumen
The increasing sophistication of cyber threats exposes credit unions that safeguard members’ financial information and personal data. This study aimed to evaluate the information security of the systems at Cooperativa de Ahorro y Crédito Yuyay Ltda. using penetration testing (pentesting) techniques to identify vulnerabilities, assess risks, and propose improvement measures. The study used a mixed-methods approach, combining descriptive and applied scopes with a non-experimental, cross-sectional, field-based case study design. The technical assessment followed NIST SP 800-115, OWASP, and PTES; the risk assessment followed ISO/IEC 27005:2022 and MAGERIT; and severity was classified using Common Vulnerability Scoring System (CVSS) v4.0. The tests were conducted in a gray-box configuration on a replica server of the production environment and covered the institutional web server, the attendance-tracking application, and network services. Seven findings supported by evidence were documented: two of high severity, related to the exposure of the MySQL service on all network interfaces and the use of unencrypted HTTP; four of medium severity; and one of low severity, associated with configuration weaknesses and an unnecessarily broad attack surface. For each finding, a treatment plan was developed in accordance with ISO/IEC 27002:2022, the NIST Cybersecurity Framework 2.0, and SEPS regulations, with defined responsible parties and deadlines. It concludes that the integrated framework enables the cooperative to prioritize mitigation and conduct periodic security assessments.
Keywords: pentesting, cybersecurity, vulnerabilities, CVSS, cooperatives
Descripción
La creciente sofisticación de las amenazas cibernéticas expone a las cooperativas de ahorro y crédito, que custodian información financiera y datos personales de sus socios. Este trabajo tuvo como objetivo evaluar la seguridad de la información de los sistemas de la Cooperativa de Ahorro y Crédito Yuyay Ltda. mediante técnicas de prueba de penetración (pentesting) para identificar debilidades, valorar los riesgos y proponer medidas de mejora. Se aplicó un enfoque mixto, de nivel descriptivo-aplicado y diseño no experimental, transversal y de campo, como estudio de caso. La ejecución técnica siguió NIST SP 800-115, OWASP y PTES; la valoración del riesgo, ISO/IEC 27005:2022 y MAGERIT; y la severidad se clasificó con CVSS v4.0. Las pruebas se realizaron en modalidad de caja gris sobre un servidor de réplica del entorno de producción y abarcaron el servidor web institucional, la aplicación de marcación y los servicios de red. Se documentaron siete hallazgos validados con evidencia: dos de severidad alta, relacionados con la exposición del servicio MySQL en todas las interfaces de red y con el uso de HTTP sin cifrado, cuatro de severidad media y uno de severidad baja, asociados con debilidades de configuración y con una superficie de ataque innecesariamente amplia. Para cada hallazgo se formuló un plan de tratamiento alineado con ISO/IEC 27002:2022, el NIST Cybersecurity Framework 2.0 y la normativa de la SEPS, con responsables y plazos definidos. Se concluye que el esquema integrado permite a la cooperativa priorizar la mitigación y sostener evaluaciones periódicas de seguridad.
Palabras clave: pentesting, ciberseguridad, vulnerabilidades, CVSS, cooperativas
Palabras clave
pentesting, ciberseguridad, vulnerabilidades, CVSS, cooperativas
Citación
APA
