Evidencia real, no listas teóricas
Cada hallazgo incluye su prueba de concepto. Demostramos que la vulnerabilidad es explotable, medimos su impacto y te decimos cómo cerrarla.
Tipos de servicio de prueba de penetración
Sin información inicial
Simula un atacante externo desde internet, y como podría intentar explotar vulnerabilidades. Es ideal para medir tu exposición pública.
Información parcial sobre TI
Solo tendremos conocimiento parcial de tu sistema, simula un atacante con acceso básico, cliente o proveedor comprometido. Ideal para una primera prueba formal de tu empresa.
Conocimiento completo de tus sistemas
Trabajamos de la mano con tu equipo de TI para conocer detalles, este pentest simula una amenaza interna o una revisión mucho más exhaustiva. Ideal para auditorías y sectores regulados.
NEO responde las preguntas más frecuentes
Un pentesting o prueba de penetración es un ataque simulado, autorizado y controlado contra los sistemas de una empresa, ejecutado por hackers éticos para identificar vulnerabilidades, explotarlas de forma segura y documentar su impacto real en el negocio junto con las medidas para corregirlas.
Están relacionados pero no son idénticos. El hackeo ético es la disciplina general de usar técnicas de ataque con autorización y fines defensivos. El pentesting es un proyecto concreto de hackeo ético, con alcance definido, fechas, metodología y un reporte formal de resultados.
El análisis de vulnerabilidades escanea y prioriza fallas potenciales sin explotarlas. El pentesting va más allá: las explota de forma controlada para demostrar cuáles son reales y con qué impacto.
Son complementarios, el análisis es la higiene periódica y el pentesting la validación profunda.
El pentesting evalúa a fondo un alcance definido en un periodo acotado. Un ejercicio de Red Team simula un adversario real durante semanas o meses, combinando intrusión técnica, ingeniería social y evasión de controles, para desafiar a la organización completa. Para la mayoría de las empresas, el pentesting periódico es el paso previo y necesario.
Depende del escenario que quieras simular. Si es la primera prueba formal de tu empresa, Grey Box suele dar el mejor balance entre profundidad y tiempo.
El precio se define por alcance: cuántas IPs, dominios, aplicaciones web o segmentos de red se evalúan, y la modalidad elegida. Con tu lista de activos preparamos una cotización precisa y sin sorpresas. El retest y el Reporte de Certificación ya vienen incluidos.
Al menos una vez al año, y después de cada cambio significativo: migraciones a la nube, nuevas aplicaciones expuestas a internet, fusiones o incidentes de seguridad. PCI DSS lo exige de forma periódica, ISO 27001 lo espera como parte de la gestión de vulnerabilidades, y en el sector financiero mexicano la CNBV lo considera parte de una gestión de riesgo tecnológico sana.
