Comprar o vender una empresa con una app
Antes de cerrar la operación, confirma quién es dueño de las cuentas de las tiendas, el código y las claves de firma, y luego pide a alguien independiente que revise de qué está hecha la app, sus licencias de código abierto, su seguridad y si todavía puede publicar una actualización. Esto es para compradores, vendedores y sus asesores cuando los clientes o el personal dependen de la app. Lo hacemos como una auditoría de $8,000 USD para una app y un código base, en 1 a 4 semanas, y recibes hallazgos por escrito para llevar a tu equipo de la operación y a tu abogado.
Para operaciones en las que los clientes o el personal dependen de la app.Las auditorías cuestan $8,000 USD, en 1 a 4 semanas.
Los estándares que puede usar una revisión
Cada dato enlaza al grupo que lo publica. Esto es información general, no asesoría legal.
Una lista de materiales de software (SBOM) es una lista anidada de las partes con las que está hecho un software. La guía preliminar de CISA dice que ayuda a una organización a encontrar vulnerabilidades, evaluar riesgos y tomar decisiones sobre el software que usa.
Fuente: CISA
ISO/IEC 5230, del OpenChain Project, establece los requisitos clave de un buen programa de cumplimiento de licencias de código abierto. Una empresa puede adoptarlo mediante autocertificación.
OWASP describe su Mobile Application Security Verification Standard (MASVS) como el estándar de la industria para la seguridad de apps móviles. Quienes hacen pruebas pueden usarlo para asegurarse de que una revisión sea completa y consistente.
Fuente: OWASP MAS (Creative Commons Atribución 4.0)
MASVS agrupa sus controles en almacenamiento, criptografía, autenticación, red, interacción con la plataforma, calidad del código, resiliencia y privacidad.
Fuente: OWASP MAS (Creative Commons Atribución 4.0)
Apple puede marcar una app que no se ha actualizado en tres años y que tiene muy pocas descargas. El dueño tiene entonces 90 días para enviar una actualización.
Fuente: Apple Developer
Google Play incluye las adquisiciones como un motivo permitido para transferir una cuenta de desarrollador, solo a través de su proceso oficial. Comprar una cuenta de cualquier otra forma está prohibido.
Fuente: Play Console Help
Confirma quién es dueño de las cuentas de las tiendas, el código y las claves.
Pregunta a nombre de quién está cada cuenta, si el código está cedido por escrito y dónde se guardan las claves de firma. Pide pruebas, no una respuesta verbal.
Pide una lista de cada componente de la app.
Eso es un SBOM: cada biblioteca y servicio externo con el que está hecha la app.
Revisa las licencias de código abierto.
Pregunta si el vendedor tiene un programa de cumplimiento de licencias, como uno basado en ISO/IEC 5230. Si no, pide a alguien que revise las licencias contra la lista de componentes.
Haz que se revise la seguridad contra un estándar reconocido por su nombre.
OWASP MASVS da ocho áreas para revisar, desde cómo se guardan los datos en el teléfono hasta la privacidad.
Comprueba que la app todavía pueda publicar una actualización hoy.
Apple y Google siguen subiendo el mínimo que cada actualización debe cumplir. Una app que no puede cumplirlo no puede publicar un arreglo después de que cierres.
Mira cómo le va a la app con sus usuarios.
Revisa las tasas de cierres inesperados y de bloqueos contra los límites de Google Play, y lee las calificaciones recientes.
Pregunta con qué frecuencia publica el equipo, y con qué frecuencia una versión falla.
Estas medidas de entrega muestran si la app puede seguir adelante después de la operación.
Obtén los hallazgos por escrito antes de cerrar.
Envía los puntos legales, como la propiedad del código y las licencias, a tu abogado.
Lo que cuesta
Para una app y un código base, en 1 a 4 semanas. Las apps más grandes, o una empresa con varias apps, se cotizan más alto. La auditoría se paga por separado; cualquier arreglo, traspaso o mantenimiento después de la operación tiene su propio precio. Los precios son para trabajo remoto. El trabajo presencial se cotiza por separado y cuesta más.
Cómo funciona la auditoríaLas cuentas de las tiendas, la cesión del código, las claves de firma y cada servicio externo del que depende la app.
Los componentes principales y sus licencias de código abierto, con los puntos para enviar a tu abogado marcados.
Una revisión organizada según las ocho áreas de OWASP MASVS, más datos de cierres inesperados, bloqueos y calificaciones. No es una prueba de penetración ni una certificación.
Si la app puede seguir publicando actualizaciones, y cada hallazgo clasificado por su riesgo para la operación, en palabras sencillas.
Quién es dueño de las cuentas, el código y las claves; de qué está hecha la app y bajo qué licencias; su seguridad; si todavía puede publicar una actualización; y cómo entrega el equipo. Ningún estándar por sí solo fija esta lista. Es la forma en que combinamos los estándares publicados para una operación.
Si la app influye en el precio, vale la pena. Los problemas que encuentras primero son problemas que puedes arreglar o explicar, en lugar de problemas que el equipo de un comprador plantea tarde en la operación.
No. Revisamos la app según las áreas que establece OWASP MASVS y te decimos lo que encontramos. Una prueba de penetración o una certificación formal es un trabajo especializado, y te diremos cuándo necesitas una.
Sí. Los hallazgos llegan por escrito y en palabras sencillas, y los puntos legales, como la propiedad del código y las licencias, están marcados para tu abogado. No damos asesoría legal.
De 1 a 4 semanas, y $8,000 USD para una app y un código base. Las apps más grandes se cotizan más alto.
Basta con una nota breve. Te respondemos si podemos ayudar y cuánto cuesta el primer paso.