El mercado de pentest en Brasil ha crecido rápidamente y, con él, también ha aumentado la cantidad de proveedores que ofrecen el servicio con propuestas y precios muy diferentes.
Contratar una empresa de pentest sin criterios claros es tan arriesgado como no contratar ninguna: la prueba puede ser superficial, el informe puede no generar ninguna acción concreta y la empresa puede seguir expuesta sin darse cuenta.
Este artículo no es una lista de proveedores. Es una guía para quienes necesitan entender qué evaluar antes de firmar cualquier contrato.
Qué es un pentest y para qué sirve
Pentest, o prueba de intrusión, es una simulación controlada de un ciberataque realizada con la autorización formal de la empresa contratante. El objetivo es identificar vulnerabilidades técnicas antes de que agentes maliciosos puedan explotarlas.
Una empresa de pentest cualificada no solo encuentra las brechas. También las documenta, las clasifica según su criticidad e indica el camino para corregirlas. El valor del servicio reside menos en la prueba en sí y más en lo que la organización puede hacer con los resultados obtenidos.
Pentest no es una auditoría de seguridad
Esta distinción se suele pasar por alto y conviene dejarla clara antes de cualquier contratación. El pentest simula al atacante: intenta comprometer el entorno mediante vías reales para descubrir qué puede explotarse en ese momento. Por su parte, la auditoría de seguridad evalúa el estado de los controles, los procesos y el cumplimiento normativo de la organización.
Ambos servicios se complementan, pero responden a preguntas diferentes. El pentest indica qué podría hacer un atacante hoy. La auditoría explica por qué el entorno ha llegado al estado en el que se encuentra.
Los tipos de pentest y cuándo utilizar cada uno
La elección del formato depende de lo que la empresa quiera descubrir. Los tres modelos principales se diferencian por el nivel de información que recibe el profesional encargado de realizar la prueba antes de comenzar.
- Black Box: el profesional no recibe ninguna información previa sobre el entorno, simulando a un atacante externo sin acceso privilegiado. Permite conocer la exposición real del perímetro, pero puede dejar fuera de alcance vulnerabilidades internas.
- Gray Box: el profesional recibe información parcial, como las credenciales de un usuario común. Es el formato más contratado actualmente por las empresas, ya que combina la perspectiva externa e interna en un único servicio.
- White Box: el profesional tiene acceso completo a la arquitectura y al código fuente. Es el modelo más exhaustivo y está recomendado por OWASP para identificar fallos complejos que no aparecen en pruebas externas.
Además de la modalidad, el alcance define el objetivo de la prueba: aplicaciones web, infraestructura de red, APIs, entornos cloud, aplicaciones móviles o accesos de proveedores externos.
Qué evaluar en una empresa de pentest antes de contratarla
Esta es la etapa que la mayoría de las empresas se salta al pasar directamente a comparar precios. Los siguientes aspectos marcan una diferencia en la calidad del servicio que se entregará.
- Certificaciones de los profesionales que realizarán la prueba, como OSCP, CEH, GPEN y GWAPT, que acreditan una formación técnica verificable.
- Metodología utilizada y si está alineada con frameworks reconocidos en el mercado, como OWASP Testing Guide, PTES o NIST SP 800-115.
- Trayectoria demostrable: experiencia en su sector, casos verificables y referencias disponibles.
- Si el informe entregado incluye una versión ejecutiva independiente de la versión técnica.
- Si se incluye un re-test para validar las correcciones dentro de un periodo establecido en el contrato, una práctica que en 2026 ya se considera estándar en el mercado.
- Si la empresa tiene CNPJ activo y emite factura, un requisito básico para el cumplimiento interno.
- Si el contrato incluye un NDA formal que cubra el acceso al entorno y las vulnerabilidades encontradas durante la prueba.
Qué debe contemplar el contrato
Antes de firmar con cualquier empresa de pentest, el contrato debe definir con precisión el alcance de los activos que serán evaluados y la ventana de ejecución, con fechas claramente establecidas. Los proveedores que se resistan a formalizar estos aspectos merecen especial atención.
Además, el documento debe contemplar el formato y el plazo de entrega del informe, la política de re-test y las responsabilidades en caso de incidente durante la ejecución de la prueba. Un pentest mal delimitado puede provocar interrupciones de servicios o la exposición de datos no prevista.
Qué debe contener el informe
Un informe de calidad tiene dos capas. La ejecutiva está dirigida a la dirección, con una visión del riesgo expresada en lenguaje empresarial y una priorización clara de aquello que debe abordarse primero. La técnica detalla cada vulnerabilidad encontrada, su clasificación de criticidad, las evidencias recopiladas y el camino para su remediación.
Un informe que no permite actuar no sirve. Las empresas que reciben el documento, lo archivan y continúan operando de la misma manera anulan por completo el valor de la inversión. El pentest es el diagnóstico. El tratamiento son las acciones de remediación, y estas necesitan un plazo y un responsable, como cualquier otro riesgo que necesita un responsable.
Cuándo y con qué frecuencia contratarlo
La recomendación del mercado es realizar un pentest al menos una vez al año, o después de cambios significativos en la infraestructura y del lanzamiento de nuevos sistemas. Los incidentes de seguridad también son un desencadenante evidente, pero lo ideal es no esperar a que ocurran.
La LGPD no exige explícitamente la realización de un pentest, pero el informe de una prueba reciente con las vulnerabilidades corregidas y documentadas puede servir como evidencia de diligencia ante la ANPD en caso de incidente. Los sectores sujetos a una regulación más específica tienen requisitos concretos: el Banco Central, mediante las Resoluciones BCB 538/2025 y CMN 5.274/2025, exige un pentest anual realizado por un profesional independiente para las instituciones financieras. El PCI DSS 4.0 exige pruebas externas e internas a las empresas que procesan datos de tarjetas.
Cabe recordar que el alcance de la prueba debe incluir los accesos de proveedores e integraciones con terceros, que son vectores que suelen ignorarse y representan una superficie de ataque relevante.
Quién debe encargarse de esta contratación dentro de la empresa
La contratación de una empresa de pentest requiere la participación de alguien que conozca el entorno técnico y pueda definir el alcance con precisión. También es necesario contar con quien tenga autoridad para aprobar el acceso de un tercero al entorno y con quien vaya a transformar el informe en decisiones con plazos y responsables.
En las empresas que no cuentan con un CISO interno, esta función suele asumirla un CISO as a Service o una consultoría especializada. Delegar esta contratación exclusivamente en el equipo de TI operativo, sin apoyo estratégico, aumenta el riesgo de que el alcance quede incompleto y el informe no se traduzca en acciones concretas.
¿El pentest vale lo que cuesta?
El servicio es tan bueno como la empresa que lo realiza y como el proceso que tiene la organización para aprovechar los resultados obtenidos. Elegir un proveedor por el precio más bajo sin evaluar la metodología, las certificaciones y el formato del informe es una forma de invertir en seguridad sin obtener realmente seguridad.
La pregunta que conviene hacerse antes de contratar no es cuánto cuesta el pentest. Es qué riesgo está aceptando la empresa al no conocer sus propias vulnerabilidades.
Cómo puede ayudar STWBrasil
STWBrasil realiza pentests con un equipo certificado, una metodología estructurada y un informe en formato ejecutivo y técnico, con re-test incluido.
Si su empresa necesita evaluar su postura de seguridad o cumplir requisitos regulatorios, póngase en contacto con STWBrasil para conocer el alcance adecuado para su entorno.
