Contenido del artículo
Un buen proveedor de pentest te explica, antes de cualquier precio, qué va a probar exactamente, cómo evitará romper tu sistema en producción y qué informe vas a recibir. Si no consigues respuestas claras y por escrito a estas tres preguntas, comparar precios no tiene sentido: estás comparando trabajos distintos.
Abajo tienes 10 preguntas para hacer a cualquier empresa, una tabla de señales de alarma y qué debe incluir el contrato y el informe. De qué depende el precio lo explico aparte en qué incluye un pentest y cuánto cuesta.
En resumen
- Elige por lo claro que el proveedor describe el alcance, las reglas para probar sin riesgo, el informe y el retest, no por el precio.
- Pide un informe de ejemplo sin nombres de clientes. En diez minutos se ve si trabajaron a mano o solo lanzaron un escáner.
- Señales de alarma: «lo probamos todo», un precio sin hablar de tus sistemas, «garantizamos cero vulnerabilidades», «el retest ya lo veremos».
- Antes de empezar debes firmar un NDA y una autorización por escrito con los sistemas, las fechas y los contactos por si algo falla.
10 preguntas al proveedor
Puedes reenviar estas preguntas a las empresas tal cual. Los buenos proveedores las responden con calma y por escrito.
Descargar la lista de preparación (PDF)PDF · A4
Cómo distinguir una buena propuesta de una floja
El pentest y el escaneo automático se venden a menudo con la misma palabra. La diferencia está en quién piensa: un escáner busca señales conocidas, mientras que una persona comprueba si de verdad se puede llegar a datos ajenos, saltarse permisos o encadenar varios problemas pequeños en uno grave. NIST y PCI SSC tratan estos trabajos como cosas distintas. [3] [4]
| Qué mirar | Buena señal | Señal de alarma |
|---|---|---|
| Alcance | Sistemas, roles y exclusiones por escrito | «Lo probamos todo» |
| Precio | Después de hablar de tus sistemas | Al momento, sin una sola pregunta |
| Método | Trabajo manual más herramientas, tiempo desglosado | Solo escáner, informe en un día |
| Pruebas seguras | Reglas para producción, franjas horarias, un contacto si algo falla | «No va a pasar nada, tranquilo» |
| Informe | Hallazgos reproducidos, impacto en el negocio, orden de correcciones | 200 páginas de capturas del escáner |
| Retest | Incluido en el precio, plazos claros | «Ya lo veremos» |
| Resultado | Honesto: probamos esto, encontramos esto | «Garantizamos cero vulnerabilidades» |
Qué debe incluir el contrato
El contrato protege a las dos partes: a ti de daños y al proveedor de acusaciones de acceso ilegal. El mínimo que te recomiendo revisar antes de firmar:
- Un NDA antes de compartir cualquier dato o acceso.
- Autorización por escrito para las acciones activas: qué sistemas, desde qué direcciones, en qué fechas y quién está de guardia por tu parte.
- Alcance y exclusiones. Los servicios de terceros (hosting, pasarela de pago, nube) suelen necesitar permiso aparte de su dueño.
- Reglas para producción: qué está prohibido, en qué horario, cómo parar la prueba.
- Qué contiene el informe y cuándo lo recibes, incluido el retest.
La guía de Diia.Business para empresas de Ucrania describe las mismas etapas: planificación, análisis, simulación de ataques, informe y nueva revisión. [1]
Cómo leer un informe de ejemplo
Un buen informe sirve tanto al dueño como al desarrollador. OWASP recomienda un resumen breve para la dirección y los detalles técnicos para el equipo. [2] En el ejemplo, busca:
- Un resumen breve y claro: qué se encontró, qué supone para el negocio, qué arreglar primero.
- Cada hallazgo con pasos para reproducirlo: un desarrollador debe poder repetirlo.
- Una valoración del riesgo explicada, no solo «Critical» o «High».
- Recomendaciones concretas: qué cambiar, no «mejorar el nivel de seguridad».
- Qué no se probó. Un informe honesto dice sus límites para que no des por seguro lo que no se revisó.
Si el ejemplo son cientos de páginas de entradas iguales del escáner sin explicar qué suponen para el negocio, eso es lo que recibirás.
Cuándo todavía no necesitas un pentest
Un pentest tiene sentido cuando hay algo que probar a fondo: tu propia web con área de clientes, una API, datos de clientes, pagos. Si la empresa trabaja sobre todo con servicios en la nube como Microsoft 365 o Google Workspace, suele ser más útil empezar por revisar cuentas y accesos (Security Assessment). Si antes necesitas ver qué se ve desde internet, encaja una revisión externa. Un buen proveedor te dirá él mismo si ahora no necesitas un pentest.
Preguntas frecuentes
¿Cuántas empresas debo comparar?
Con dos o tres basta. Envía a todas las mismas 10 preguntas y la misma descripción de tus sistemas para comparar las respuestas con justicia.
¿Puedo fiarme de las certificaciones del proveedor?
Certificaciones como OSCP, GPEN o GWAPT muestran que la persona ha pasado una formación seria. Importa más quién probará exactamente tu proyecto y si tiene experiencia con sistemas como los tuyos. Pregunta por la persona concreta.
¿Es normal que un proveedor no nombre a sus clientes?
Sí. La mayor parte de este trabajo va bajo NDA. A cambio, pide un informe de ejemplo anonimizado o la descripción de un proyecto parecido sin nombres.
¿Puede un pentest romper una web en producción?
Hay riesgo si no hay reglas. Por eso, antes de empezar se acuerda qué está prohibido, el horario de pruebas y a quién llamar si algo falla. Parte de las pruebas se puede hacer en un entorno de pruebas.
¿Cada cuánto hay que hacer un pentest?
Normalmente una vez al año y después de cambios grandes: un producto nuevo, una integración, un paso a la nube. Entre pentests ayuda revisar con regularidad las vulnerabilidades conocidas.
Referencias
- Diia.Business: ¿Qué es un test de penetración? (en ucraniano) business.diia.gov.ua
- OWASP Web Security Testing Guide: Reporting Structure wstg.owasp.org
- NIST SP 800-115: Technical Guide to Information Security Testing and Assessment csrc.nist.gov
- PCI SSC: Penetration Testing Guidance v1.1 (2017) pcisecuritystandards.org
