La mayoría de los equipos de seguridad están cansados del mismo ciclo de siempre. Esperas meses para programar un Penetration Test, esperas otras dos semanas para que los consultores escriban un informe y luego recibes un PDF de 100 páginas que está desactualizado en el momento en que llega a tu bandeja de entrada. Para cuando empiezas a corregir la primera vulnerabilidad, tu entorno ya ha cambiado. Se ha implementado nuevo código, se han creado nuevos activos y se han anunciado tres nuevos CVE "críticos".
El modelo tradicional de pruebas de seguridad puntuales está fallando porque no puede seguir el ritmo de la velocidad del desarrollo en la nube. Si tu equipo está implementando actualizaciones diariamente pero solo prueba la seguridad anualmente, no solo estás atrasado, sino que esencialmente estás volando a ciegas durante 364 días al año.
Aquí es donde el cloud pen testing cambia el juego. Al trasladar el proceso de evaluación a un entorno nativo de la nube, las organizaciones finalmente pueden alinear sus controles de seguridad con sus ciclos de desarrollo. Se trata de algo más que encontrar errores; se trata de acortar la distancia entre encontrar un agujero y parchearlo.
En esta guía, vamos a analizar por qué el Penetration Testing basado en la nube es la forma más eficaz de acelerar la remediación de vulnerabilidades. Exploraremos la mecánica de cómo funciona, cómo integrarlo en tus flujos de trabajo existentes y por qué plataformas como Penetrify están haciendo que la seguridad de nivel profesional sea accesible para las empresas que no tienen un ejército de hackers internos.
El problema con el Penetration Testing Tradicional
Para entender por qué el cloud pen testing es el futuro, tenemos que analizar por qué la forma antigua se está convirtiendo en un cuello de botella. Históricamente, el Penetration Testing era un proceso manual de alta fricción. Contratabas a una empresa, enviaban a un par de personas a tu oficina (o les daban acceso VPN) y pasaban una semana investigando tu red.
El retraso del papeleo
El primer obstáculo es siempre la adquisición y la programación. Las buenas empresas de Penetration Testing a menudo están reservadas con meses de antelación. Si tienes una necesidad urgente, por ejemplo, estás a punto de lanzar una nueva función importante, es posible que tengas que esperar ocho semanas solo para que un probador se ponga manos a la obra. En el mundo del software moderno, ocho semanas son una eternidad.
La pesadilla del informe estático
Una vez finalizada la prueba, comienza la fase de elaboración de informes. Los testers pasan días formateando un documento que suele incluir mucho "relleno" para justificar el elevado precio. Para cuando el responsable de seguridad recibe el informe y se lo entrega a los desarrolladores, estos ya han cambiado las mismas líneas de código de las que se queja el informe. Esto provoca fricciones entre los equipos: "Este error ya no existe" o "Cambiamos esa arquitectura el martes pasado".
Falta de escalabilidad
Las pruebas tradicionales no son escalables. Si tienes 50 microservicios diferentes, probar cada uno manualmente cada vez que hay un cambio es financiera y operativamente imposible. La mayoría de las empresas terminan eligiendo su activo "más importante" e ignorando el resto, que es exactamente donde los atacantes buscan una forma de entrar.
¿Qué es el Penetration Testing basado en la nube?
El cloud pen testing no es solo "probar un entorno de nube". Es un método de ofrecer evaluaciones de seguridad a través de una plataforma nativa de la nube. En lugar de depender de un humano para ejecutar manualmente cada comando, una plataforma como Penetrify utiliza motores automatizados e infraestructura en la nube para realizar el trabajo pesado.
Piénsalo como la diferencia entre comprar un traje a medida y tener acceso a una línea de fabricación automatizada de alta gama que puede producir exactamente lo que necesitas bajo demanda.
Pruebas automatizadas vs. manuales
Una idea errónea común es que el cloud pen testing es solo "escaneo automatizado". Si bien la automatización es una gran parte de ello, el valor real reside en el enfoque híbrido.
- Escaneo automatizado: Encuentra la "fruta madura": encabezados faltantes, versiones obsoletas o puertos abiertos.
- Cloud-Native Penetration Testing: Va un paso más allá simulando rutas de ataque reales. Utiliza la elasticidad de la nube para lanzar cientos de pruebas simultáneamente, buscando fallos lógicos y vulnerabilidades complejas que un simple escáner podría pasar por alto.
Accesibilidad bajo demanda
Debido a que las herramientas de prueba residen en la nube, no necesitas instalar hardware especializado ni configurar complejas "jump boxes" en tu centro de datos. Puedes iniciar una prueba desde un navegador. Esta accesibilidad significa que puedes probar de forma temprana y frecuente, en lugar de guardarlo para un gran "evento" una vez al año.
Por qué la velocidad importa en la remediación de vulnerabilidades
El término "Tiempo medio de remediación" (MTTR) es una métrica que mantiene despiertos a los CISO por la noche. Mide cuánto tiempo transcurre desde el momento en que se descubre una vulnerabilidad hasta el momento en que realmente se corrige.
Según varios estudios de la industria, el tiempo promedio para aplicar un parche para una vulnerabilidad crítica suele ser de más de 60 días. En ese período de dos meses, tu organización esencialmente está dejando la puerta principal sin cerrar.
Reducción de la "brecha de descubrimiento"
El cloud pen testing reduce el tiempo que lleva encontrar el problema. En lugar de esperar una auditoría trimestral, puedes ejecutar una prueba dirigida en el momento en que una nueva aplicación se pone en marcha. Si encuentras una vulnerabilidad de SQL Injection a los diez minutos de la implementación, puedes corregirla antes de que cualquier tráfico malicioso llegue al servidor.
Informes en tiempo real y bucles de retroalimentación
Una de las mejores características de plataformas como Penetrify es que no te obligan a esperar un PDF. Los resultados aparecen en un panel de control a medida que se encuentran. Esto permite que tu equipo de DevSecOps comience a trabajar en una solución mientras el resto del Penetration Test aún se está ejecutando. Convierte la seguridad de una "puerta de parada" en un bucle de retroalimentación continuo.
Validación de correcciones
¿Cuántas veces te ha dicho un desarrollador que un error está corregido, solo para que el próximo Penetration Test anual revele que todavía está ahí? Con un enfoque basado en la nube, puedes volver a ejecutar el caso de prueba específico para esa vulnerabilidad inmediatamente después de aplicar el parche. Si aparece la luz verde, sabes que está corregido. Si no, el desarrollador puede seguir trabajando. Esta "re-prueba instantánea" es uno de los mayores impulsores de la velocidad en la remediación.
Integración de Cloud Pen Testing en tu Pipeline de CI/CD
Si realmente quieres acelerar la remediación, no debes tratar el Penetration Testing como una actividad aislada. Debe ser parte de tu flujo de trabajo de desarrollo. A esto a menudo se le llama seguridad "Shift Left", pero en realidad, se trata de hacer que la seguridad sea omnipresente durante todo el ciclo de vida.
Pruebas en el Entorno de Staging
Antes de que el código toque la producción, debe llegar a un entorno de staging que refleje tu configuración en vivo. Al activar un Penetration Test automatizado en staging, detectas vulnerabilidades durante la fase de control de calidad.
Activación de Pruebas a través de la API
Las plataformas modernas en la nube como Penetrify ofrecen APIs que te permiten automatizar el inicio de una prueba. Puedes configurar tu herramienta de CI/CD (como Jenkins o GitHub Actions) para que le diga a la plataforma de Penetration Testing: "Oye, acabamos de enviar una nueva compilación a nuestro entorno de desarrollo. Ejecuta una evaluación rápida en estos tres endpoints".
Integración Directa con Jira y Slack
Los desarrolladores no quieren iniciar sesión en otro panel de seguridad. Viven en Jira, Linear o Slack. Las herramientas de Cloud Penetration Testing de alta calidad pueden enviar los hallazgos directamente a tus herramientas de gestión de proyectos. Una vulnerabilidad se convierte en un ticket, completo con los detalles técnicos y los pasos de remediación necesarios para solucionarlo. Esto elimina el retraso de "copiar y pegar" donde los analistas de seguridad mueven manualmente los datos de un informe a la lista de tareas de un desarrollador.
Superando la Brecha de Habilidades con Inteligencia Automatizada
Uno de los mayores obstáculos en ciberseguridad es la falta de talento. Simplemente no hay suficientes penetration testers capacitados, y los que están disponibles son caros.
Complementando tu Equipo Interno
Incluso si tienes un gran equipo de seguridad, su tiempo se aprovecha mejor en problemas arquitectónicos complejos, no en la comprobación de "TLS 1.0" o "Cross-Site Scripting" en cada formulario web. Las plataformas de Cloud Penetration Testing se encargan de las partes repetitivas y tediosas del trabajo. Esto permite que tus expertos humanos se centren en el 10% de las vulnerabilidades que requieren verdadera intuición y creatividad humana.
Orientación de Nivel Experto para Desarrolladores Junior
No todos los desarrolladores son expertos en seguridad. Cuando un Cloud Penetration Test encuentra una vulnerabilidad, no solo debe decir "Broken Access Control". Debe proporcionar:
- Una descripción del riesgo: ¿Por qué es importante esto?
- Evidencia: ¿Cómo se encontró? (Capturas de pantalla, encabezados de solicitud/respuesta).
- Guía de remediación: Instrucciones claras a nivel de código sobre cómo solucionarlo realmente.
Al proporcionar este contexto, plataformas como Penetrify actúan como un multiplicador de fuerza para tu personal existente. Es como tener un consultor de seguridad senior sentado al lado de cada desarrollador de tu equipo.
Cumplimiento y Requisitos Regulatorios
Para muchas empresas, el Penetration Testing no es solo una buena idea, es un requisito legal. Ya sea SOC 2, HIPAA, PCI-DSS o GDPR, a menudo necesitas demostrar que estás probando regularmente tus defensas.
Cumpliendo con la Barra de "Pruebas Regulares"
Los marcos de cumplimiento se están alejando cada vez más de los requisitos de "una vez al año" hacia la "monitorización continua" y la "evaluación regular". Si solo estás probando una vez al año, podrías pasar tu auditoría, pero en realidad no estás seguro. El Cloud Penetration Testing te permite ejecutar evaluaciones mensuales o incluso semanales, proporcionando una gran cantidad de evidencia para tus auditores de que te tomas la seguridad en serio.
Informes Simplificados para Auditores
A los auditores les encantan los datos limpios y consistentes. En lugar de entregarles una pila de diferentes informes en PDF de diferentes proveedores, puedes darles acceso a un panel unificado que muestre tu postura de seguridad histórica. Puedes mostrarles el momento exacto en que se encontró una vulnerabilidad y el momento exacto en que se parcheó. Este nivel de transparencia hace que el proceso de auditoría sea mucho más fluido y menos estresante.
Mitos Comunes Sobre el Cloud Penetration Testing
Debido a que esta es una forma relativamente nueva de hacer las cosas, hay algunos mitos que deben aclararse.
Mito 1: "Es solo un escáner de vulnerabilidades".
Como se mencionó anteriormente, un escáner busca firmas conocidas. El Cloud Penetration Testing simula ataques. Intenta encadenar vulnerabilidades. Por ejemplo, podría encontrar una divulgación de información de bajo riesgo y usar esa información para eludir una verificación de autenticación en otro lugar. Los escáneres no hacen eso; las plataformas nativas de Cloud Penetration Testing sí.
Mito 2: "El Cloud Penetration Testing es solo para empresas en la nube".
Si bien la plataforma está basada en la nube, puede probar cualquier cosa que sea accesible a través de una red. Ya sea que tus servidores estén en AWS, Azure, Google Cloud o en un centro de datos privado en tu sótano, siempre y cuando el motor de pruebas pueda comunicarse con el objetivo, se puede probar.
Mito 3: "Romperá mi entorno de producción".
Esta es una preocupación válida, pero las plataformas modernas están diseñadas teniendo en cuenta la seguridad. Puedes configurar la "intensidad" de las pruebas y programarlas durante las horas de menor actividad. Además, el Penetration Testing en un entorno de nube suele ser más seguro que las pruebas tradicionales porque puedes crear fácilmente clones de tu entorno de producción específicamente para fines de prueba.
Eficiencia de Costos: Obtener Más por Menos
El presupuesto siempre es un factor. Los Penetration Tests tradicionales pueden costar entre $15,000 y $50,000 por compromiso. Si haces eso cuatro veces al año, estás viendo una partida masiva.
Pasando de CapEx a OpEx
Las pruebas de Penetration Testing en la nube generalmente operan con un modelo de suscripción o de pago por prueba. Esto convierte un gasto de capital masivo e impredecible en un gasto operativo predecible. No tiene que contratar contratistas costosos para cada verificación.
Reduciendo el Costo de las Brechas
Sin embargo, el ahorro de costos más significativo proviene de la prevención de una brecha. El costo promedio de una brecha de datos ahora supera los $4 millones. Al gastar una fracción de eso en pruebas de Penetration Testing continuas en la nube, esencialmente está comprando la póliza de seguro más barata disponible. Encontrar una vulnerabilidad crítica de forma temprana puede pagar toda la plataforma durante una década.
Cómo Elegir la Plataforma Adecuada de Pruebas de Penetration Testing en la Nube
Si está buscando implementar esto en su organización, debe buscar algunas características clave.
- Alcance y Cobertura: ¿Puede probar aplicaciones web, APIs e infraestructura de red? Las empresas modernas usan los tres, por lo que su plataforma debería poder manejarlos.
- Calidad de los Informes: Busque plataformas que ofrezcan informes "Accionables". Si el informe no les dice a sus desarrolladores exactamente cómo solucionar el problema, no es útil.
- Flexibilidad de Integración: ¿Tiene una API? ¿Se integra con Jira, Slack o GitHub?
- Soporte para Pruebas Manuales: La automatización es excelente, pero a veces se necesita un humano. Plataformas como Penetrify brindan un enfoque híbrido donde obtienes lo mejor de ambos mundos.
- Facilidad de Uso: Si se necesitan tres semanas de capacitación para aprender a usar la herramienta, vuelve al punto de partida con el problema del "cuello de botella". Debería ser lo suficientemente intuitivo para que un gerente de TI estándar lo configure.
Identificación y Priorización de Activos de Alto Riesgo
No todos los servidores son creados iguales. Su página de inicio de sesión pública es una prioridad más alta que una herramienta interna de seguimiento del tiempo de los empleados. Cuando comience con las pruebas de Penetration Testing en la nube, necesita una estrategia sobre cómo priorizar sus esfuerzos de remediación.
El Marco de "Criticidad"
Comience por clasificar sus activos en tres niveles:
- Nivel 1 (Crítico): Aplicaciones externas, bases de datos que contienen PII (Información de Identificación Personal) y servidores de autenticación. Estos deben probarse continuamente.
- Nivel 2 (Alto): Aplicaciones internas que manejan datos confidenciales de la empresa o facilitan las operaciones comerciales centrales. Estos deben probarse mensualmente o después de cada actualización importante.
- Nivel 3 (Estándar): Entornos de desarrollo/prueba y herramientas internas no confidenciales. Estos se pueden probar trimestralmente o bajo demanda.
Las plataformas en la nube como Penetrify facilitan este enfoque escalonado. Puede establecer diferentes programas de prueba para diferentes grupos de activos, asegurando que sus datos más valiosos estén siempre bajo la atenta mirada del motor de pruebas.
Paso a Paso: Transición de las Pruebas de Penetration Testing Tradicionales a las Pruebas en la Nube
Si está listo para hacer el cambio, aquí hay una hoja de ruta simple a seguir:
1. Audite su Proceso Actual
¿Cuánto tiempo le toma actualmente obtener un informe de Penetration Test? ¿Cuánto tiempo tardan en corregirse esos errores? Documente estos números. Esta es su línea de base.
2. Identifique un Proyecto "Piloto"
No intente mover toda su infraestructura a la vez. Elija una aplicación o una unidad de negocio. Utilice una plataforma como Penetrify para ejecutar una prueba basada en la nube en este objetivo específico.
3. Compare Resultados
Compare los hallazgos de la plataforma en la nube con sus informes manuales anteriores. ¿Son consistentes los hallazgos? ¿Se entregó el informe de la nube más rápido? ¿Fue más fácil de entender para los desarrolladores?
4. Intégrelo con su Flujo de Trabajo
Conecte la plataforma a su Jira o Slack. Observe cómo cambia el flujo de comunicación entre el equipo de seguridad y los desarrolladores. Por lo general, verá una caída significativa en el "ping-pong de vulnerabilidades" que ocurre en los correos electrónicos.
5. Amplíe
Una vez que haya demostrado el valor con un proyecto piloto, comience a incorporar el resto de sus activos de Nivel 1 y Nivel 2.
El Papel de Penetrify en la Seguridad Moderna
La seguridad de nivel profesional no debería ser un lujo reservado solo para las empresas Fortune 500. La realidad es que a los atacantes no les importa el tamaño de su empresa; solo les importan sus vulnerabilidades.
Penetrify se creó para resolver exactamente los problemas que hemos discutido. Al proporcionar una arquitectura nativa de la nube, elimina las barreras de costo, complejidad y tiempo. Le permite:
- Simular ataques del mundo real sin necesidad de un doctorado en seguridad ofensiva.
- Escalar las pruebas en toda su infraestructura simultáneamente, sin importar cuántos endpoints tenga.
- Obtener informes al instante, para que sus desarrolladores puedan moverse a la velocidad del negocio.
Ya sea que sea una startup que se prepara para su primera auditoría SOC 2 o un equipo de seguridad empresarial que busca escalar sus operaciones, las pruebas basadas en la nube son el camino más lógico a seguir.
Mejores Prácticas para una Remediación de Vulnerabilidades Exitosa
Incluso con las mejores herramientas, la remediación requiere una cultura interna sólida. Aquí hay algunos consejos para asegurarse de que su nueva estrategia de pruebas de Penetration Testing en la nube realmente conduzca a un entorno más seguro.
No Castigue a los Desarrolladores por los Errores
Si los desarrolladores sienten que están "en problemas" cada vez que la prueba de Penetration Test encuentra un error, comenzarán a resentir el proceso de seguridad. En cambio, trate los hallazgos como una oportunidad de aprendizaje. Celebre el hecho de que la vulnerabilidad se encontró internamente en lugar de por un actor malicioso.
Priorice la "Explotabilidad", No Solo la "Gravedad"
Un error de gravedad "Alta" en un servidor que no tiene acceso a Internet suele ser menos peligroso que un error de gravedad "Media" en su aplicación web principal. Mire el contexto. Las plataformas de pruebas de Penetration Testing en la nube a menudo proporcionan una puntuación de explotabilidad que le ayuda a comprender la probabilidad de que un atacante realmente use ese agujero específico.
Automatice las Cosas "Aburridas"
Utilice el tiempo de sus desarrolladores de manera inteligente. Si un error se puede solucionar actualizando la versión de una biblioteca, esa debería ser una tarea automatizada. Guarde la corrección manual para los fallos de lógica complejos que requieren la resolución de problemas por parte de un humano.
Mantenga sus objetivos de prueba realistas
Nunca tendrá cero vulnerabilidades. El objetivo no es la perfección; el objetivo es ser más rápido que las personas que intentan entrar. Si puede reducir su tiempo de corrección de 60 días a 6 días, habrá reducido su perfil de riesgo en un 90%. Esa es una victoria enorme.
Preguntas frecuentes
¿Es seguro el cloud Penetration Testing para mis datos?
Sí. Las plataformas de buena reputación como Penetrify utilizan cifrado estándar de la industria y canales de comunicación seguros. Además, la prueba generalmente se centra en la lógica de la aplicación y la infraestructura de red, no en la lectura de los datos reales de sus clientes.
¿Sigo necesitando Penetration Tests manuales?
Para la mayoría de las organizaciones, la respuesta es "a veces". El cloud Penetration Testing cubre la gran mayoría de las amenazas y es perfecto para la monitorización continua. Sin embargo, para los activos de riesgo extremadamente alto, una prueba manual exhaustiva una vez al año sigue siendo un buen enfoque de "cinturón y tirantes". La plataforma en la nube se encarga de la parte "continua", mientras que un humano puede encargarse de la parte "a medida".
¿En qué se diferencia esto de un programa Bug Bounty?
Los programas Bug Bounty son geniales, pero pueden ser impredecibles. Es posible que reciba 100 informes en una semana y ninguno durante los siguientes tres meses. También pueden ser caros si tiene que pagar por cada hallazgo menor. El cloud Penetration Testing proporciona una evaluación estructurada, predecible y exhaustiva de toda su superficie de ataque, no solo de las partes que los cazadores de recompensas encuentran "interesantes".
¿Puede probar aplicaciones solo internas?
Sí. La mayoría de las plataformas de cloud Penetration Testing proporcionan un agente ligero o un túnel seguro que permite que los motores de la nube lleguen a su red interna de forma segura. Esto le permite probar sus portales de recursos humanos, intranets internas y servidores de archivos con el mismo rigor que sus sitios web públicos.
¿Cuánto tiempo tarda un cloud Penetration Test típico?
Una evaluación automatizada estándar puede tardar desde unas pocas horas hasta un día, dependiendo de la complejidad del objetivo. Esta es una mejora enorme con respecto a las pruebas manuales, que suelen tardar entre 5 y 10 días hábiles por compromiso.
Ejemplos prácticos de aceleración de la corrección
Veamos dos escenarios hipotéticos para ver cómo funciona esto en la práctica.
Escenario A: La forma antigua
- Lunes: Se implementa un nuevo endpoint de API. Tiene una vulnerabilidad oculta donde un usuario puede ver el perfil de otra persona cambiando un número de ID.
- Miércoles: Se programa un Penetration Test manual para seis semanas después.
- Seis semanas después: El probador encuentra el error.
- Una semana después: El probador termina el informe y lo envía por correo electrónico al CISO.
- Dos días después: El CISO lee el informe y lo envía al vicepresidente de ingeniería.
- El próximo lunes: El vicepresidente de ingeniería se lo asigna a un desarrollador.
- Tiempo total vulnerable: ~55 días.
Escenario B: Con Penetrify
- Lunes (10:00 AM): Se implementa un nuevo endpoint de API.
- Lunes (10:05 AM): La canalización CI/CD activa un Penetration Test automatizado en Penetrify.
- Lunes (2:00 PM): La prueba finaliza. Identifica la vulnerabilidad IDOR (Insecure Direct Object Reference).
- Lunes (2:01 PM): Se crea automáticamente un ticket de Jira y se asigna al desarrollador que envió el código.
- Lunes (4:00 PM): El desarrollador corrige el error y envía un parche.
- Lunes (4:30 PM): El desarrollador activa un escaneo de "Validar corrección". Pasa.
- Tiempo total vulnerable: 6 horas.
La diferencia no es solo de unos pocos días; es la diferencia entre un incidente menor y una posible violación de datos catastrófica.
Estableciendo su estrategia de seguridad para el próximo año
A medida que mira hacia el futuro, considere cómo está cambiando su infraestructura. ¿Está moviendo más servicios a microservicios? ¿Está adoptando funciones sin servidor? ¿Está aumentando la frecuencia de sus implementaciones?
Si se está volviendo más ágil en su desarrollo, su seguridad debe seguir su ejemplo. No puede proteger un negocio nativo de la nube con una mentalidad de seguridad local y solo manual.
Invertir en las herramientas adecuadas
Las herramientas que elija hoy determinarán cuánto tiempo perderá mañana. Busque soluciones que le brinden visibilidad sin agregar fricción.
Construyendo una cultura de seguridad
Las herramientas son solo la mitad de la batalla. Utilice los datos de sus cloud Penetration Tests para educar a su equipo. Si nota que el mismo tipo de vulnerabilidad (como Cross-Site Scripting) aparece cada semana, es una señal de que su equipo podría necesitar un taller rápido sobre prácticas de codificación segura. Utilice su plataforma de pruebas como un maestro, no solo como un juez.
Dé el siguiente paso hacia un ciclo de seguridad más rápido
La corrección de vulnerabilidades no tiene por qué ser un proceso lento y doloroso de lectura de archivos PDF y discusión sobre las prioridades de los tickets. Al adoptar el Penetration Testing basado en la nube, puede convertir su evaluación de seguridad en una parte optimizada, automatizada y realmente útil de su ciclo de vida de desarrollo.
La velocidad de la nube es una ventaja para los atacantes, pero es una ventaja aún mayor para los defensores que saben cómo usarla. Mover su Penetration Testing a la nube es la forma más efectiva de cerrar la brecha entre el descubrimiento y la corrección.
Si está listo para ver cómo una plataforma de seguridad nativa de la nube puede transformar su proceso de corrección, consulte Penetrify. Está diseñado para brindarle la profundidad de un Penetration Test profesional con la velocidad y la escalabilidad de la nube. No espere a su próxima auditoría anual para descubrir cuáles son sus debilidades. Comience a realizar pruebas hoy mismo y anticípese a las amenazas antes de que siquiera sepan que está allí.