¿Cuánto cuesta una prueba de intrusión?

Una prueba de intrusión (pentest) es un intento de hackeo ético y controlado en el que los especialistas atacan sus sistemas como lo haría un atacante real, con el fin de encontrar vulnerabilidades antes de que lo hagan los delincuentes. Los costes varían mucho porque "un pentest" no es un producto fijo: el alcance determina el precio.

¿Qué factores determinan el precio?

• Alcance y magnitud: el número de aplicaciones, direcciones IP, sistemas o roles de usuario que se prueban.
• Tipo de prueba: una prueba de aplicación web, de red, en la nube, móvil o de API requiere una experiencia y un tiempo diferentes.
• Profundidad: una prueba de caja negra (black box, sin conocimiento previo) difiere de una prueba de caja gris (grey box) o de caja blanca (white box, con acceso y documentación).
• Complejidad: el software a medida y muchas integraciones requieren más tiempo de investigación que un entorno estándar.
• Reprueba: una comprobación tras la corrección de los hallazgos, a menudo presupuestada por separado.

¿Qué obtiene a cambio?

Un buen pentest ofrece más que una lista de vulnerabilidades. Recibe un informe claro con una clasificación del riesgo por hallazgo, recomendaciones concretas de corrección, un orden de prioridades y un resumen ejecutivo. Además, ese informe es útil como prueba para NIS2, ISO 27001, sus clientes y su aseguradora cibernética.

¿En qué fijarse al comparar presupuestos?

• ¿Está el alcance definido con precisión, para que compare cosas equivalentes?
• ¿Se prueba de forma manual, o solo se ejecuta un análisis automatizado? Los pentests reales son en gran parte trabajo manual.
• ¿Se incluyen en el precio una reprueba y un informe claro?
• ¿Qué certificaciones y experiencia tienen los testadores?
• ¿Recibe una explicación verbal de los hallazgos?

¿Pentest o análisis de vulnerabilidades?

No confunda un pentest con un análisis de vulnerabilidades (vulnerability scan). Un análisis es una comprobación automatizada y continua que detecta vulnerabilidades conocidas, ideal para mantener una visibilidad permanente. Un pentest es un trabajo manual en profundidad que también encuentra fallos de lógica y rutas de ataque combinadas. Se complementan: el análisis para la continuidad, el pentest para la profundidad.