Contratar una empresa de pentesting sin aplicar los criterios adecuados es uno de los errores más costosos que una organización puede cometer en materia de ciberseguridad, no por el coste del servicio en sí, sino por el coste de confiar en un diagnóstico que no reveló lo que realmente debía revelar. Un pentest mal ejecutado genera una falsa sensación de seguridad que puede prolongarse durante meses, hasta que un incidente real pone de manifiesto aquello que la prueba no detectó.
El mercado de la seguridad ofensiva ha crecido rápidamente en los últimos años y, con él, el número de proveedores que ofrecen servicios de "pentesting". Saber distinguir qué diferencia una prueba técnica rigurosa de un simple escaneo automatizado acompañado de un informe bien presentado es lo que permite tomar una decisión basada en criterios objetivos.
Por qué un pentest requiere una evaluación cuidadosa
A diferencia de otros servicios de TI, el resultado de un pentest no puede ser verificado de forma inmediata por quien lo contrata. La empresa recibe un informe, pero, sin conocimientos técnicos o referencias especializadas, no tiene forma de saber si ese documento refleja realmente todo lo que se ha evaluado o si existen vectores de ataque que el profesional ni siquiera llegó a explorar.
Esto genera una asimetría de información que favorece a proveedores con menor rigor técnico, siempre que el informe entregado tenga apariencia de ser completo. Los siete criterios que se presentan a continuación tienen como objetivo reducir esa asimetría y ofrecer al cliente parámetros concretos para evaluar las distintas propuestas.
Los 7 criterios técnicos para elegir una empresa de pentesting
Antes de analizar cualquier propuesta, conviene comprender qué miden realmente estos criterios: no se trata únicamente de credenciales o reputación, sino de indicadores que permiten anticipar cómo se llevará a cabo la prueba y cuál será la profundidad del análisis.
1. Certificaciones de los profesionales que realizarán la prueba
Certificaciones como OSCP, CEH, eJPT y las pertenecientes a la línea EC-Council indican que el profesional ha superado evaluaciones prácticas de seguridad ofensiva.
El aspecto clave aquí es preguntar específicamente quién realizará el pentest, y no limitarse a revisar las certificaciones que la empresa menciona en su presentación corporativa. Es habitual que algunas organizaciones destaquen las certificaciones de socios o directivos, mientras que las pruebas son ejecutadas por analistas con una cualificación muy inferior.
2. Metodología documentada y reconocida
Una empresa de pentesting seria trabaja siguiendo metodologías reconocidas internacionalmente, como OWASP para aplicaciones web, PTES (Penetration Testing Execution Standard) o NIST para infraestructuras.
Más importante que mencionar una metodología es ser capaz de explicar, de forma concreta, qué fases comprende la prueba y qué aspectos se analizan en cada una de ellas. Una propuesta ambigua en este punto suele indicar que el pentest carece de la estructura necesaria para cubrir los vectores de ataque más relevantes del entorno evaluado.
3. Alcance definido con precisión antes de la contratación
El alcance del pentest —qué sistemas, redes, aplicaciones y niveles de acceso estarán incluidos— debe quedar perfectamente definido antes de la firma del contrato.
Un alcance mal delimitado permite al proveedor entregar una prueba superficial que, técnicamente, no incumple el contrato, simplemente porque aquello que no se evaluó nunca estuvo incluido. Las vulnerabilidades más críticas suelen encontrarse precisamente en los puntos que nadie identificó antes de que un incidente los sacara a la luz, y un alcance impreciso garantiza que esos puntos queden fuera del análisis.
4. Diferenciación entre pentesting manual y escaneo automatizado
Las herramientas automatizadas permiten identificar vulnerabilidades conocidas y catalogadas. Un pentest de calidad va mucho más allá.
Implica profesionales capaces de combinar distintos vectores de ataque, explotar escenarios que ninguna herramienta automatizada detectaría por sí sola y poner a prueba la lógica del sistema, no únicamente la presencia de vulnerabilidades conocidas (CVE).
Pregunte al proveedor qué porcentaje de la prueba se realiza manualmente y solicite ejemplos de vulnerabilidades detectadas en proyectos anteriores que no habrían sido descubiertas mediante un simple escaneo automatizado.
5. Informe con trazabilidad y recomendaciones de corrección
El informe final constituye el principal resultado del pentest.
Debe documentar cada vulnerabilidad identificada indicando:
- el vector de ataque utilizado;
- las evidencias técnicas que demuestran el hallazgo;
- la clasificación de criticidad basada en métricas reconocidas, como CVSS;
- las recomendaciones específicas para corregir cada vulnerabilidad.
Un informe que simplemente enumera vulnerabilidades sin explicar cómo fueron explotadas o cómo deben corregirse tiene un valor técnico muy limitado. Un informe estructurado para que pueda ser comprendido tanto por el equipo técnico como por la dirección es el que convierte el diagnóstico en decisiones concretas de seguridad.
6. Experiencia en el tipo de entorno que va a evaluarse
Realizar un pentest sobre una infraestructura de red es muy diferente de hacerlo sobre una aplicación web, un entorno cloud o una API.
Una empresa con experiencia principalmente en infraestructuras puede no disponer del mismo nivel de especialización para evaluar una plataforma SaaS compleja.
Solicite referencias o ejemplos de proyectos realizados en entornos similares al suyo y compruebe que el equipo tiene experiencia con las tecnologías que forman parte de su infraestructura.
7. Compromiso ético y acuerdo de confidencialidad
Durante un pentest, los profesionales tendrán acceso a datos, sistemas e información sensible de la organización.
Antes de autorizar cualquier prueba, debe existir un contrato que establezca claramente:
- qué puede ser accedido;
- qué queda expresamente excluido;
- cómo serán tratados los datos descubiertos durante la evaluación;
- cuáles son las obligaciones de confidencialidad una vez finalizado el trabajo.
Las empresas que muestran reticencias a formalizar estos aspectos o presentan contratos ambiguos en este punto merecen una evaluación especialmente cuidadosa antes de concederles acceso al entorno.
Cómo evaluar una propuesta antes de tomar una decisión
Con estos criterios resulta posible formular preguntas objetivas a cualquier proveedor y comparar las respuestas de manera estructurada.
- ¿Quiénes serán los profesionales que realizarán la prueba?
- ¿Qué metodología utilizarán?
- ¿Qué elementos están incluidos y cuáles quedan fuera del alcance?
- ¿Cómo se documentarán las vulnerabilidades encontradas?
Las respuestas a estas preguntas dicen mucho más sobre la calidad del servicio que cualquier presentación comercial.
Una empresa de pentesting con verdadero rigor técnico responderá con precisión y transparencia a cada una de ellas. Un proveedor que basa su propuesta únicamente en la apariencia tenderá a responder con generalidades.
La decisión de contratar un pentest ya representa un paso importante en la madurez de ciberseguridad de cualquier organización. Merece la pena asegurarse de que la prueba proporcione realmente el diagnóstico que la empresa necesita para tomar decisiones técnicas fundamentadas, y no simplemente un documento que transmita la sensación de que el trabajo ha sido realizado.
La STWBrasil realiza pentests anuales con profesionales certificados internacionalmente, utilizando metodologías reconocidas y entregando informes con trazabilidad completa tanto para los equipos técnicos como para la dirección. Póngase en contacto con nuestro equipo para descubrir cómo adaptamos cada prueba a las características específicas del entorno de su empresa.
