Señores RED SEGURA 360[Ciudad], [día] de [mes] de 20__
Carta de autorización para evaluación de seguridad
Yo, [nombre y apellidos], mayor de edad, identificado(a) con cédula de ciudadanía n.º [número], en calidad de [cargo] y en representación de [razón social], con NIT [NIT] y domicilio en [dirección, ciudad] (en adelante, «la Organización»), autorizo de manera expresa a Red Segura 360 para realizar una evaluación de seguridad informática sobre los activos que se relacionan en este documento, en las modalidades que marco a continuación.
1. Modalidades autorizadas
Evaluación externa, sin credenciales. Reconocimiento, escaneo de vulnerabilidades y pruebas de penetración no destructivas desde internet, tal como las haría un tercero.
Escaneo autenticado, con credenciales. Revisión interna de parches, configuración y software instalado en los servidores listados en el Anexo A. Solo aplica si marco esta casilla y firmo el anexo.
2. Activos autorizados
Dominios y subdominios
[ejemplo: empresa.com, *.empresa.com]
Direcciones IP o rangos públicos (si aplica)
[ejemplo: 200.0.0.0/29]
Vigencia
Desde [fecha] hasta [fecha], o hasta su revocación por escrito, lo que ocurra primero.
3. Condiciones de la evaluación
La evaluación se limita exclusivamente a los activos listados. Red Segura 360 se obliga a:
No realizar ataques de denegación de servicio ni pruebas de estrés.
No efectuar fuerza bruta de credenciales ni acciones que degraden el servicio.
No alterar, destruir ni extraer información. Todo dato observado se trata como confidencial.
No probar infraestructura de terceros (CDN, SaaS, correo gestionado); si aparece, se reporta sin evaluarla.
Operar con tasas bajas, suspender la actividad ante cualquier incidente y avisar de inmediato al contacto técnico.
4. Declaraciones de la Organización
Soy titular o administrador legítimo de los activos relacionados y tengo facultades para otorgar esta autorización.
Si algún activo está alojado con un proveedor de nube o de hosting, he verificado que sus condiciones de uso permiten estas pruebas, o he gestionado el permiso correspondiente.
Esta autorización constituye el consentimiento del titular para los efectos de la Ley 1273 de 2009 (delitos informáticos, entre ellos el acceso abusivo a un sistema informático).
Si durante la evaluación Red Segura 360 llega a tener acceso a datos personales, los tratará como encargado, solo para los fines de esta evaluación y conforme a la Ley 1581 de 2012.
Revocación. La Organización puede revocar esta autorización en cualquier momento, por escrito, al correo administrativo@redsegura360.com. Red Segura 360 detendrá toda actividad al recibirla.
Por la Organización · firma del representante legal Nombre · Cargo · C.C.
Por Red Segura 360 · recibido y aceptado Nombre · Cargo · Fecha
RED SEGURA 360
Seguridad que no duerme
Anexo A Escaneo autenticado
Anexo A · Escaneo autenticado con credenciales
Este anexo hace parte de la carta de autorización de [razón social] y solo tiene efecto si está firmado. Autoriza a Red Segura 360 a iniciar sesión en los servidores de la tabla, con la cuenta que la Organización entrega para ese fin.
A.1 Servidores y cuentas autorizadas
Servidor (IP o nombre)
Sistema operativo
Protocolo y puerto
Usuario de la cuenta
Nivel de privilegio
Ejemplo: 10.0.0.5 · Ubuntu 24.04 · SSH 22 · rs360-audit · sin privilegios. Aquí nunca se escribe la contraseña ni la llave.
Ventana autorizada: días [días], de [hora] a [hora]. Dirección IP de origen del escáner de Red Segura 360: [la informa Red Segura 360]
A.2 Qué hace el escaneo
Inicia sesión con la cuenta entregada.
Lee versiones del sistema, parches instalados, paquetes y configuración.
Compara lo leído contra vulnerabilidades conocidas.
A.3 Qué no hace
No modifica, instala ni elimina nada.
No usa la cuenta para explotar fallas ni para pasar a otros equipos.
No abre, copia ni extrae archivos o datos del negocio.
A.4 Privilegios de la cuenta
La Organización entrega una cuenta de servicio dedicada, creada solo para esta evaluación, con el mínimo privilegio que permita la lectura. En Linux suele bastar un usuario sin privilegios. En Windows, la lectura de parches y del registro normalmente exige permisos de administrador local; si la Organización entrega una cuenta con menos privilegios, acepta que el resultado será parcial.
A.5 Entrega y custodia de las credenciales
La Organización las entrega por el canal seguro acordado: [canal]. Nunca por correo ni mensajería en texto plano.
Red Segura 360 las guarda cifradas en la bóveda del escáner, nunca en texto plano ni en código fuente.
Se usan únicamente desde el escáner de Red Segura 360, sobre los servidores de la tabla y dentro de la vigencia.
Red Segura 360 las elimina de la bóveda en un máximo de [n] días hábiles tras el fin del servicio o la revocación, y lo confirma por escrito.
Si sospecha que una credencial fue expuesta, Red Segura 360 avisa al contacto técnico en un máximo de [n] horas.
Al terminar, la Organización desactiva la cuenta o cambia su contraseña.
A.6 Efectos que la Organización conoce y acepta
Los inicios de sesión quedan registrados y pueden generar alertas en sus herramientas de monitoreo o antivirus. La Organización avisa a su equipo o proveedor de monitoreo antes de la ventana.
El escaneo añade una carga moderada al servidor mientras se ejecuta; por eso se pacta la ventana.
Por la Organización · firma del representante legal Nombre · Cargo · C.C.
Por Red Segura 360 · recibido y aceptado Nombre · Cargo · Fecha
Plantilla orientativa de Red Segura 360. No es asesoría legal: valide el texto con su área jurídica antes de firmar.