Ingeniero de software y seguridad en Rosario, Argentina
Santiago Passafiume
Pruebas de penetración, revisiones de seguridad y desarrollo seguro para aplicaciones web, APIs y AWS. Te muestro qué se puede explotar y cómo corregirlo.
Qué hago
Servicios
Hago personalmente cada trabajo de seguridad, desde definir el alcance hasta el informe final.
Pruebas de seguridad
Encontrar lo que un atacante podría explotar.
-
Pentesting web y de APIs
Pruebas manuales de aplicaciones web y APIs, como lo haría un atacante.
-
Pentesting cloud (AWS)
Pruebas y revisión de configuración de entornos en AWS: permisos, exposición y secretos.
-
Análisis de vulnerabilidades
Una revisión amplia de tu exposición, con los riesgos priorizados para saber qué corregir primero.
-
Pentesting de apps móviles
Pruebas de seguridad de apps Android e iOS y de las APIs que usan.
Asesoría y capacitación
Seguridad desde el diseño y el código de tu equipo.
-
Revisión de código seguro
Revisión de tu código en busca de vulnerabilidades, antes de que lleguen a producción.
-
Revisión de arquitectura
Modelado de amenazas y revisión de diseño, antes de que los cambios sean caros.
-
DevSecOps
Seguridad integrada al proceso de desarrollo: pipelines, dependencias y secretos.
-
Capacitaciones
Talleres prácticos de desarrollo seguro para equipos de ingeniería.
Proceso
Cómo trabajo
-
Alcance y autorización
Definimos qué probar, cómo y cuándo. Nada empieza sin tu autorización por escrito.
-
Pruebas
Pruebas y revisión manuales, apoyadas en herramientas. Si encuentro algo crítico, te aviso en el momento.
-
Informe
Recibís cada hallazgo calificado con CVSS v4.0, con los pasos para reproducirlo y la corrección recomendada.
-
Seguimiento
Repaso los resultados con tu equipo y vuelvo a probar las correcciones sin costo adicional, si la pedís dentro de los 90 días del informe.
Experiencia
Trayectoria
Empecé en seguridad como pentester para una consultora de Estados Unidos. Después me sumé a Ualá como ingeniero de seguridad de aplicaciones, donde hacía revisiones de diseño, pruebas de penetración y gestión de vulnerabilidades.
Hoy desarrollo servicios backend en Go sobre AWS en Ualá, con autenticación, cifrado y trazabilidad pensados para los requisitos de la industria de pagos. También soy cofundador de RyuLabs, un estudio de desarrollo web y software.
Haber probado, defendido y construido sistemas en producción me permite proponer correcciones que tu equipo pueda aplicar.
Reglas
Lo que no hago
Todos los trabajos siguen estas reglas.
- No pruebo ningún sistema sin autorización escrita de su dueño.
- No hago pruebas de denegación de servicio ni acciones destructivas en producción, salvo acuerdo por escrito.
- No prometo que un sistema sea 100% seguro: una prueba muestra los riesgos encontrados dentro de un alcance y un plazo definidos.
- No comparto hallazgos ni nombres de clientes sin permiso.
Antes de empezar
Preguntas frecuentes
¿Cuánto cuesta?
Cada trabajo se cotiza a medida, según el alcance. Después de una primera conversación te envío una propuesta con el alcance, el plazo y el precio.
¿Cuánto tarda?
Depende del alcance. El plazo se acuerda en la propuesta, antes de empezar.
¿Firmás un acuerdo de confidencialidad?
Sí. Si lo necesitás, lo firmamos antes de que compartas cualquier información.
¿Qué metodología seguís?
Sigo la OWASP Web Security Testing Guide (WSTG v4.2), cubro los riesgos del OWASP API Security Top 10 (2023) y verifico contra el OWASP ASVS 5.0. Las pruebas son manuales, apoyadas en herramientas, y cada hallazgo se califica con CVSS v4.0.
¿Cómo manejás nuestros datos?
La evidencia y los datos a los que accedo se guardan cifrados, se usan solo para ese trabajo y se borran de forma segura al terminar (después de la nueva prueba, si la hay), salvo que acordemos otra cosa por escrito. Los informes se comparten por un canal cifrado, y te recomiendo cambiar las credenciales que me hayas dado cuando terminan las pruebas.
¿Incluye una nueva prueba después de corregir?
Sí. En las pruebas de penetración, vuelvo a probar los hallazgos corregidos sin costo adicional, para confirmar que quedaron resueltos. La nueva prueba se pide dentro de los 90 días posteriores a la entrega del informe; después se cotiza aparte.
¿Trabajás con empresas fuera de Argentina?
Sí. Trabajo de forma remota con empresas de Argentina y del exterior, en español o en inglés.
¿Es legal probar mi sistema?
Sí, cuando el dueño del sistema lo autoriza por escrito y el alcance está definido. Así empieza cada trabajo.
¿Hacés proyectos de desarrollo?
Los proyectos de desarrollo backend y de otro tipo se hacen a través de RyuLabs, el estudio que cofundé, así tenés un equipo completo detrás del proyecto.
¿Tenés un sistema para probar o revisar? Mandame el alcance
Contame qué necesitás probar (aplicaciones, APIs o entornos), para cuándo y si hay alguna restricción, y te respondo con los próximos pasos. Trabajo en español y en inglés.
hello@santiagopassafiume.com¿Buscás desarrollo? Los sitios web, las aplicaciones y los proyectos backend se hacen a través de RyuLabs.