Una empresa de pentesting es un proveedor especializado en pruebas de penetración: un equipo de hackers éticos que, con autorización y un alcance acordado por escrito, intenta vulnerar los sistemas de una organización para demostrar qué fallas se pueden explotar, qué impacto tendrían en el negocio y cómo corregirlas. Elegir bien a ese proveedor consiste en comparar cómo trabaja (metodología, alcance, validación de hallazgos, retest y reporte), no solo cuánto cobra.
Para contratar un pentest con criterio hay que tener claras cuatro cosas: en qué se diferencia de un escaneo de vulnerabilidades, qué siete criterios separan una propuesta sólida de una superficial, qué modalidad pedir y de qué depende el precio.
Qué hace una empresa de pentesting y qué no cuenta como pentest
Piensa en un cerrajero al que contratas para que intente entrar a tu bodega. Le das permiso por escrito, le dices qué puertas puede probar y en qué horario, y al final te entrega un informe: por dónde logró entrar, hasta dónde llegó y qué chapa conviene cambiar primero. Una empresa de pentesting hace exactamente eso con tus sistemas: servidores, aplicaciones web y móviles, APIs, red y nube.
Lo que recibes de un pentest bien hecho son hallazgos confirmados, cada uno con la evidencia de que se puede explotar, el impacto explicado en términos de negocio y los pasos concretos para corregirlo. Esa última parte es la que convierte la prueba en un plan de trabajo para tu equipo de TI.
Tan importante como saber qué es un pentest es saber qué no lo es:
- No es una revisión documental. Revisar políticas y controles por escrito es trabajo de una auditoría de ciberseguridad, que se complementa con el pentest pero no lo sustituye.
- No es una garantía de seguridad total. El pentest mide tu exposición en un momento y sobre un alcance definido; por eso se repite.
Un ejemplo concreto. Un martes a las 11 de la mañana, el pentester entra a tu portal de clientes con una cuenta de prueba, cambia un número en la dirección del navegador y ve los pedidos de otro cliente. Ninguna herramienta automática lo marcó, porque técnicamente la página respondió bien. Ese hallazgo, con la captura y los pasos para repetirlo, es lo que pagas cuando contratas un pentest.
Pentest o escaneo de vulnerabilidades: la diferencia que cambia la propuesta
Volviendo al ejemplo del cerrajero, el escaneo de vulnerabilidades equivale a revisar las cerraduras desde la banqueta y anotar cuáles son de un modelo con fallas conocidas. El pentest es intentar abrirlas, ver si detrás de la primera puerta hay otra sin llave y llegar hasta el cuarto donde guardas la mercancía.
| Aspecto | Escaneo de vulnerabilidades | Pentest |
|---|---|---|
| Cómo se hace | Una herramienta automática compara tus sistemas contra una base de fallas conocidas. | Especialistas combinan herramientas con pruebas manuales y encadenan fallas como lo haría un atacante. |
| Qué confirma | Fallas posibles, sin probarlas. | Fallas explotables, con evidencia. |
| Contexto del negocio | No lo entiende: prioriza por severidad teórica. | Prioriza por impacto real en tu operación. |
| Tiempo típico | Horas. | Días o semanas, según el alcance. |
| Para qué sirve | Higiene periódica y monitoreo. | Validación profunda y evidencia para clientes y auditores. |
Un jueves por la tarde, tu equipo de TI recibe dos propuestas para el mismo sitio de comercio electrónico. Una promete un "pentest completo" entregado al día siguiente; la otra propone cinco días de pruebas, una sesión de resultados y un retest. No cotizan lo mismo: la primera describe un escaneo con otro nombre, y un reporte final en 24 horas para varias aplicaciones es la señal más clara.
7 criterios para comparar empresas de pentesting
Con varias propuestas sobre la mesa, estos siete puntos te dicen si el proveedor va a probar tus cerraduras de verdad o solo las va a mirar.
1. Un equipo con certificaciones prácticas
Lo que importa es quién ejecuta la prueba, no el logotipo de la empresa. Pide los perfiles del equipo asignado y fíjate en certificaciones que se obtienen atacando sistemas en un laboratorio, como OSCP (Offensive Security Certified Professional) o eWPT (especialista en pruebas de aplicaciones web), además de credenciales generales como CEH.
2. Una metodología reconocida
Un pentest serio sigue un método público y no depende del estilo de cada consultor. Los marcos más usados son PTES (Penetration Testing Execution Standard, un estándar que ordena la prueba desde el acuerdo inicial hasta el reporte), NIST SP 800-115 (la guía técnica del instituto de estándares de Estados Unidos para pruebas de seguridad) y OWASP (la comunidad que publica las guías para probar aplicaciones web y APIs).
Con esos marcos, el trabajo se divide en fases de una prueba de penetración que puedes seguir y auditar: reconocimiento, análisis, explotación, reporte y verificación.
3. Alcance y reglas acordados por escrito
El alcance dice qué activos entran en la prueba (direcciones IP, dominios, aplicaciones, APIs) y cuáles quedan fuera. Las reglas de la prueba son el acuerdo con el cerrajero sobre qué puertas puede tocar y a qué hora: ventanas de trabajo, contactos de emergencia y qué hacer si un sistema se degrada. Un proveedor que cotiza sin pedirte una lista de activos está adivinando.
4. Pruebas de lógica de negocio
Las herramientas detectan fallas técnicas, pero no entienden cómo funciona tu operación. Un pentester sí revisa si un usuario puede comprar a cero pesos manipulando un campo, saltarse un paso de aprobación o subir sus propios permisos. Si la propuesta no menciona la lógica de negocio, la prueba será superficial.
5. Aviso el mismo día cuando hay algo crítico
Un hallazgo crítico no debería esperar semanas al reporte final. Pregunta cómo y en cuánto tiempo te avisan cuando confirman una vulnerabilidad grave, para que tu equipo de TI pueda cerrarla mientras la prueba sigue.
6. Retest incluido
El retest es la segunda visita del cerrajero después de que cambiaste la chapa: el proveedor vuelve a probar cada hallazgo para confirmar que la corrección funciona. Sin él te quedas sin evidencia de que cerraste lo que se encontró, que es justo lo que pide un auditor. Explicamos cómo funciona en nuestra guía de retesting en pruebas de penetración.
7. Un reporte en dos niveles
El entregable debe servir a dos lectores. Dirección necesita un resumen ejecutivo en lenguaje de negocio: qué tan expuesta está la empresa y qué se necesita para corregirlo. Tu equipo técnico necesita cada hallazgo con su evidencia, los pasos para reproducirlo y la forma exacta de repararlo, sin cientos de páginas de alertas sin confirmar.
Un lunes a las 9, tu director financiero y tu líder de TI leen el mismo reporte. Él necesita entender en una página cuánto riesgo hay y cuánto costaría reducirlo; tu equipo necesita saber qué cerrar primero y cómo. Si el reporte solo le sirve a uno de los dos, está incompleto.
Black box, grey box o white box: qué modalidad pedir
La modalidad define cuánta información recibe el equipo antes de empezar. En términos del cerrajero: llega sin llaves, llega con la llave de la entrada o llega con los planos del edificio.
| Modalidad | Qué recibe el equipo | Qué simula | Cuándo conviene |
|---|---|---|---|
| Black box (caja negra) | Ninguna información inicial. | Un atacante externo que empieza desde internet. | Medir tu exposición pública. |
| Grey box (caja gris) | Accesos parciales, como una cuenta de usuario y documentación básica. | Un cliente, proveedor o colaborador con acceso básico comprometido. | Una primera prueba formal: da el mejor balance entre profundidad y tiempo. |
| White box (caja blanca) | Conocimiento completo: arquitectura, credenciales y a veces código. | Una amenaza interna o una revisión exhaustiva. | Sistemas críticos, auditorías y sectores regulados. |
Además de la modalidad, cambia el objetivo: existen distintos tipos de pentesting para aplicaciones web, redes, nube, APIs o aplicaciones móviles, y una misma propuesta puede combinar varios.
Por ejemplo, una empresa de logística que nunca ha hecho un pentest y necesita presentar evidencia a un cliente corporativo en seis semanas suele empezar con grey box sobre su portal de clientes y la red de sus oficinas.
¿Cuánto cuesta un pentest y de qué depende el precio?
El precio de un pentest se fija por alcance, no por paquete. Cuatro variables lo definen:
- Cantidad y tipo de activos: cuántas direcciones IP, dominios, aplicaciones, APIs o segmentos de red se prueban.
- Complejidad: una página informativa se evalúa rápido; una plataforma con transacciones, varios roles de usuario e integraciones requiere mucho más trabajo manual.
- Modalidad: black box suele necesitar más horas de reconocimiento que grey box.
- Lo que incluye: si el retest y la sesión de resultados van dentro del precio o se cotizan aparte.
Al comparar, pon las propuestas en la misma base: mismo alcance, misma modalidad y mismo entregable. En nuestro servicio de pentesting para empresas cotizamos a partir de tu lista de activos, con el retest y la constancia ya incluidos.
Un viernes al mediodía comparas dos cotizaciones con una diferencia de 40%. Al alinearlas descubres que la más barata cubre tres de tus ocho aplicaciones y no incluye retest: la diferencia de precio era una diferencia de alcance.
Preguntas frecuentes sobre empresas de pentesting
Están relacionados, pero no son idénticos. El hacking ético es la disciplina general de usar técnicas de ataque con permiso y con fines defensivos; el pentesting es un proyecto concreto dentro de ella, con alcance, fechas, metodología y un reporte formal. Lo desarrollamos en pentesting vs. hacking ético.
El pentest evalúa a fondo un alcance definido durante un periodo corto. Un Red Team simula a un adversario real durante semanas y combina intrusión técnica, ingeniería social y evasión de controles para poner a prueba a toda la organización. Para la mayoría de las empresas, el pentest periódico es el paso previo. Comparamos ambos en Red Team vs. pentesting.
Al menos una vez al año y después de cada cambio importante: una migración a la nube, una aplicación nueva publicada en internet, una fusión o un incidente de seguridad.
Depende de tu sector y de tus clientes. PCI DSS exige pruebas de penetración periódicas a quien procesa pagos con tarjeta, ISO 27001 pide gestionar las vulnerabilidades técnicas y, en el sector financiero, la CNBV lo considera parte de una gestión sana del riesgo tecnológico. Fuera de la regulación, cada vez más clientes corporativos piden un reporte de pentest reciente antes de firmar un contrato.
Depende del alcance y de la modalidad. Una aplicación web acotada puede resolverse en pocos días; varias aplicaciones, APIs y la red interna pueden tomar semanas. Al calendario de la prueba se suma el tiempo que tu equipo de TI necesita para corregir y el retest.
En cualquiera de los dos. Producción muestra el riesgo real, por eso se trabaja con ventanas acordadas y un canal directo para pausar la prueba si un sistema se vuelve lento. Un ambiente de pruebas reduce el riesgo operativo, pero solo es útil si replica fielmente la configuración de producción. La decisión se toma al definir el alcance.
Durante un pentest el equipo puede ver datos sensibles, así que el manejo de esa información debe quedar por escrito antes de empezar: acuerdo de confidencialidad, quién tiene acceso a la evidencia, dónde se guarda y cuándo se elimina. Si el proveedor subcontrata parte del trabajo, también debe decirte a quién.
Experto en Microsoft Cloud y Ciberseguridad con más de una década de experiencia en la industria tecnológica. Es reconocido por su amplio conocimiento en la implementación de soluciones basadas en la nube y en la protección de datos y sistemas contra amenazas cibernéticas. Como líder y conferencista, Gustavo sigue compartiendo sus conocimientos y mejores prácticas en eventos tecnológicos y programas de capacitación. Su enfoque práctico y su dedicación a mantenerse actualizado en un entorno tecnológico en constante evolución lo convierten en un recurso invaluable para las empresas y profesionales que buscan aprovechar al máximo la tecnología de manera segura.
