Saltar al contenido
02 · Auditoría02 · Auditing

Pruebas de Seguridad FísicaPhysical Security Testing

Bypass de torniquetes, tailgating, áreas restringidas.Turnstile bypass, tailgating and access to restricted areas.

Perimetral + internoPerimeter and internal 2.4 · Auditorías Especializadas2.4 · Specialised Audits

¿Qué es este servicio?What is this service?

Es la prueba de los controles de acceso físico a las instalaciones: torniquetes, tarjetas de proximidad, recepción, áreas restringidas, centros de datos y la posibilidad de entrar detrás de alguien autorizado.

Testing physical access controls to the premises: turnstiles, proximity cards, reception, restricted areas, data centres and the possibility of walking in behind someone authorised.

¿Para qué se usa?What is it used for?

Importa porque toda la inversión en seguridad digital se puede rodear si alguien entra y conecta un dispositivo a una toma de red. Se prueba si se puede clonar una tarjeta, si la recepción valida de verdad, si las puertas de áreas críticas se quedan abiertas y si alguien pregunta al ver a un desconocido dentro.

It matters because all the digital security investment can be bypassed if somebody walks in and plugs a device into a network port. The exercise establishes whether a card can be cloned, whether reception genuinely verifies, whether critical area doors stay propped open and whether anybody challenges a stranger inside.

Qué beneficios traeBenefits it delivers

  • Prueba la reacción del personal, que es el control que ninguna tecnología reemplaza.
  • Detecta tarjetas de proximidad clonables, que siguen siendo mayoría en instalaciones antiguas.
  • Verifica que las tomas de red accesibles no den acceso directo a la red corporativa.
  • Cierra el vector que suele quedar fuera de todos los demás servicios de seguridad.
  • Tests staff reaction, the control no technology replaces.
  • Detects clonable proximity cards, still the majority in older facilities.
  • Verifies that reachable network ports do not grant direct corporate network access.
  • Closes the vector usually left out of every other security service.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay obligación legal específica en Costa Rica.
  • Si hay datos personales en las instalaciones, la Ley 8968 exige medidas de seguridad que incluyen las físicas.
  • There is no specific legal obligation in Costa Rica.
  • Where personal data sits on the premises, Law 8968 requires security measures that include physical ones.

InternacionalInternational

  • PCI-DSS dedica todo un requisito al acceso físico a los datos de tarjeta.
  • ISO 27001 incluye un conjunto de controles de seguridad física y del entorno.
  • TISAX evalúa la seguridad física con especial rigor cuando se manejan prototipos.
  • PCI-DSS devotes an entire requirement to physical access to cardholder data.
  • ISO 27001 includes a set of physical and environmental security controls.
  • TISAX assesses physical security with particular rigour where prototypes are handled.

Requisitos mínimosMinimum requirements

  • Autorización escrita de la dirección y una carta que el equipo pueda mostrar si lo detienen: es imprescindible.
  • Un contacto de emergencia disponible durante toda la prueba, con teléfono verificado.
  • Definir qué está permitido: si se puede forzar una puerta, si se puede mentir a recepción, hasta dónde se llega.
  • Acordar si seguridad física está avisada; lo habitual es que no, porque el objetivo es medir su reacción.
  • Written management authorisation and a letter the team can show if stopped: it is essential.
  • An emergency contact available throughout the test, with a verified phone number.
  • Defining what is permitted: whether a door may be forced, whether reception may be lied to, how far to go.
  • Agreeing whether physical security is informed; usually not, since the point is to measure their reaction.

Plazo típico de entregaTypical delivery time

1 a 3 semanas 1 to 3 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de una a tres semanas por sede, incluida la observación previa. Varias sedes suman por desplazamiento: cada ubicación adicional agrega entre dos y cuatro días.

The usual market range runs from one to three weeks per site, including prior observation. Multiple sites add travel: each additional location adds two to four days.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

TailgatingTailgating
Entrar detrás de una persona autorizada aprovechando la puerta que ella abrió. Walking in behind an authorised person through the door they opened.
Clonación de tarjetaCard skimming
Copiar una credencial de proximidad para fabricar un duplicado funcional. Copying a proximity credential to produce a working duplicate.
Carta de autorizaciónLetter of authorisation
Documento firmado que acredita al equipo si lo detiene seguridad o la policía. A signed document identifying the team if stopped by security or police.
Drop deviceDrop device
Dispositivo que se deja conectado dentro para mantener acceso remoto a la red. A device left plugged in inside to maintain remote access to the network.