En este artículo10 min de lectura
Un pentesting, o test de intrusión, es un ataque simulado y autorizado contra tus sistemas para comprobar qué fallos se pueden aprovechar de verdad y qué daño harían. No es un escaneo automático: un especialista explota las vulnerabilidades, las encadena y documenta cómo lo ha hecho. Aquí verás qué tipos hay, cuándo lo pide la normativa, qué debe traer el informe y de qué depende el precio.
Qué es un pentesting o test de intrusión
Un pentesting es una prueba en la que un especialista ataca tus sistemas como lo haría un atacante real, pero con tu permiso, para descubrir por dónde se puede saltar su seguridad. El NIST lo define como pruebas que imitan ataques reales para encontrar formas de eludir la seguridad de una aplicación, un sistema o una red (NIST).
«Pentest» y «pentesting» son lo mismo. En español se llama test de intrusión o prueba de penetración. Lo que lo distingue de otras revisiones es que no se queda en la lista de fallos: los aprovecha para demostrar hasta dónde llega un atacante.
Tampoco es un certificado de seguridad. Es una foto de un momento concreto: dice qué se podía hacer contra tus sistemas en las fechas de la prueba. Si mañana cambias algo, la foto se queda vieja.
Al ser un ataque de verdad, se hace con unas condiciones que hay que dejar por escrito antes de empezar (INCIBE):
- Una autorización clara e inequívoca del propietario de los sistemas, por contrato.
- Si el pentester va a ver datos personales, un contrato de encargado del tratamiento.
- Unas reglas acordadas: qué se prueba, en qué fechas, qué no se toca y a quién se llama si algo deja de funcionar.
Pentesting, escaneo de vulnerabilidades, auditoría y red team
Son cuatro servicios distintos que a menudo se venden con el mismo nombre. La diferencia está en si se explota el fallo o solo se detecta, y en quién hace el trabajo:
| Escaneo de vulnerabilidades | Pentesting | Auditoría | Red team | |
|---|---|---|---|---|
| Qué hace | Lista fallos posibles de forma automática | Explota fallos para probar el impacto real | Revisa configuración, procesos y cumplimiento | Simula a un atacante real durante semanas, sin avisar al equipo |
| Quién lo hace | Una herramienta | Un especialista | Un consultor | Un equipo especializado |
| Cada cuánto | Continuo o mensual | Anual y tras cambios | Anual o por proyecto | Puntual, en empresas maduras |
| Para qué sirve | Mantener el inventario de fallos | Saber qué es aprovechable | Saber dónde estás | Probar la detección y la respuesta |
El pentest no es la forma principal de encontrar vulnerabilidades. Es la forma de comprobar que tu gestión de vulnerabilidades funciona.
Lo dice el centro de ciberseguridad del Reino Unido (NCSC). El escaneo es automático y continuo; el pentest combina técnicas automáticas y manuales para explotar fallos conocidos y desconocidos (CREST). Por eso uno no sustituye al otro: la gestión de vulnerabilidades encuentra y corrige durante todo el año, y el pentest comprueba una vez al año que esa corrección funciona. Si lo que buscas es una foto general de tu seguridad, eso es una auditoría de ciberseguridad.
Tipos de pentesting según lo que se prueba
Más útil que hablar de técnicas es decidir qué quieres probar. Estos son los tipos habituales, de más a menos frecuentes en una pyme:
Externo
Lo que cualquiera ve desde fuera: la web, la VPN, el correo y el firewall. Es el test de intrusión de redes más habitual y el primero que conviene hacer.
Interno
Qué consigue alguien que ya está dentro, sea un empleado o un equipo infectado. Mide hasta dónde llega un atacante una vez pasa la puerta.
Aplicaciones web y API
Tiendas online, portales de clientes y API, con la guía de pruebas de OWASP, cuya versión estable es la 4.2 (OWASP). Complementa al firewall de aplicaciones web, no lo sustituye.
Wifi
Si la red inalámbrica deja entrar a quien no debe y si separa bien a los invitados de los equipos de la empresa.
Nube y Microsoft 365
Configuración y permisos: cuentas con más acceso del necesario, datos compartidos en abierto o accesos sin doble factor.
Industrial (OT)
Máquinas y sistemas de control, con mucho cuidado de no parar la producción. Lo explicamos en la guía de IEC 62443.
Ingeniería social
Llamadas y correos que intentan engañar a la plantilla. Se suele combinar con una simulación de phishing.
Además del objetivo, se elige cuánta información recibe el pentester: ninguna (caja negra), la de un usuario normal (caja gris) o toda, incluido el código (caja blanca). Lo explicamos con más detalle en nuestro servicio de pentesting para empresas.
Cuándo necesita tu empresa un pentest, y cada cuánto
Lo necesitas si tienes sistemas expuestos a internet, si vas a lanzar una aplicación o si una norma o un cliente te lo exigen. Y cada vez es más urgente, porque explotar fallos se ha convertido en la forma más común de entrar:
La normativa también lo pide, con distinto nombre y frecuencia según el marco:
| Marco | Qué pide | A quién | Cada cuánto |
|---|---|---|---|
| NIS2 (art. 21.2.e y f) | Gestionar las vulnerabilidades y tener procedimientos para evaluar la eficacia de las medidas. Su Reglamento de Ejecución 2024/2690 cita las pruebas de penetración y pide fijar su alcance, frecuencia y tipo | Entidades esenciales e importantes; el reglamento, a proveedores de servicios gestionados, nube y centros de datos, entre otros | La decide y la documenta cada entidad |
| ENS (Real Decreto 311/2022) | Pruebas de penetración en las inspecciones de seguridad (op.mon.3, refuerzo R6) y auditoría de pruebas de penetración en los servicios en la nube de terceros (op.nub.1) | Sector público y empresas que le dan servicio | En categoría ALTA, periódicamente o tras un incidente. La auditoría del ENS, al menos cada dos años |
| ISO/IEC 27001:2022 | Controles A.8.8 (gestión de vulnerabilidades técnicas) y A.8.29 (pruebas de seguridad en desarrollo y aceptación, ISMS.online). No nombra el pentest, pero es la forma habitual de demostrarlos | Empresas certificadas o en proceso | La fija su análisis de riesgos |
| PCI DSS v4.0.1 (req. 11.4) | Pentest interno y externo, por alguien independiente | Quien procesa pagos con tarjeta | Cada 12 meses y tras cualquier cambio importante |
| DORA (art. 26) | Pruebas avanzadas de penetración guiadas por amenazas (TLPT) | Entidades financieras designadas por el supervisor | Al menos cada tres años |
| Contrato o aseguradora | Lo que pida el cliente o el cuestionario del seguro | Proveedores de grandes empresas | Lo que diga el contrato |
Una vez al año, y después de cualquier cambio importante: una aplicación nueva, una migración o una fusión. Es también lo que pide PCI DSS.
Y hay momentos en los que conviene hacerlo aunque nadie te lo pida:
- Antes de publicar una aplicación o una tienda online nueva.
- Después de migrar a la nube o de cambiar el firewall o la VPN.
- Tras una fusión o la compra de otra empresa, antes de conectar las redes.
- Después de un incidente, para comprobar que el agujero está cerrado.
- Cuando un cliente grande te manda un cuestionario de seguridad.
Un matiz sobre NIS2: España todavía no la ha traspuesto, así que hoy es lo que pide la directiva, no una obligación de una ley española. Lo explicamos en NIS2 en España y, para el sector público, en la guía de certificación ENS.
Cómo es un pentest, fase a fase
Un pentest sigue siempre el mismo orden: primero se pacta qué se puede tocar, después se ataca y al final se explica y se vuelve a comprobar. Estas son las fases:
- Alcance y autorizaciónQué sistemas entran, en qué fechas, qué está prohibido y quién es el contacto de emergencia.
- ReconocimientoSe recoge todo lo que se puede saber de tus sistemas desde el punto de partida acordado.
- AnálisisSe buscan los fallos y se eligen los que merece la pena intentar.
- ExplotaciónSe aprovechan los fallos para entrar, siempre dentro de lo pactado.
- Movimiento dentro de la redDesde lo conseguido, se intenta llegar más lejos: otros equipos, más permisos, datos.
- InformeQué se encontró, cómo se hizo y cómo corregirlo, explicado para dirección y para el equipo técnico.
- Re-testCuando has corregido, se vuelve a probar para confirmar que el fallo ya no existe.
Las metodologías de referencia son PTES, con siete fases (pentest-standard), OSSTMM 3 (ISECOM) y la guía de OWASP para aplicaciones web. La duración se fija en el documento de alcance, en jornadas de trabajo (NCSC), así que no hay una cifra típica que sirva para todos.
¿No sabes por dónde empezar?
Revisamos qué tienes expuesto a internet y te decimos qué pentest tiene sentido en tu caso.
Qué debe traer un buen informe de pentest
El informe es lo que compras: un pentest bien hecho con un mal informe no sirve para corregir nada. Antes de contratar, pide un ejemplo anonimizado y comprueba que trae esto:
- Un resumen para dirección, sin jerga, con los riesgos principales.
- Los hallazgos ordenados por gravedad, con su puntuación CVSS.
- Las pruebas que permiten repetir cada fallo.
- El impacto de cada fallo en el negocio, no solo en lo técnico.
- Cómo resolver cada hallazgo.
- Recomendaciones priorizadas: qué corregir primero.
- El re-test incluido en el precio.
- Una sesión para explicarlo al equipo.
El re-test merece una línea aparte. Sin él no sabes si las correcciones funcionan, y es habitual que un arreglo deje el fallo a medio cerrar. Si no viene incluido en la oferta, pide que lo esté.
El NCSC añade una que casi nadie pide: una opinión sobre si tu gestión de vulnerabilidades está detectando lo que debería (NCSC). Si el pentester encuentra fallos que tus herramientas no veían, el problema no es el fallo: es la herramienta.
Cuánto cuesta un pentest
No hay un precio fijo: un pentest se presupuesta en jornadas de especialista, y las jornadas dependen de lo que se quiere probar. Lo que más mueve el precio es esto:
- El alcance: número de IP, aplicaciones y usuarios
- El tipo de prueba: externa, interna, web, nube…
- La información que recibe el pentester
- Las jornadas de especialista
- Si incluye el re-test
- La urgencia
Para comparar dos ofertas, pide que detallen las jornadas y qué entra en cada una. Si quieres una referencia de mercado, Tarlogic publica una horquilla de 4.500 a 30.000 € según el objetivo, el número de activos y la complejidad (Tarlogic). Es la cifra de un proveedor, no un estudio, pero da una idea del rango.
Desconfía de un pentest muy barato o muy rápido: a menudo es un escaneo automático con portada de pentest. Pregunta cuántas de las jornadas son de trabajo manual y qué herramientas se usan.
Cómo elegir quién hace el pentest
Fíjate en tres cosas: qué certificaciones prácticas tiene el equipo, cómo trabaja y si es independiente de quien mantiene tus sistemas. Estas son las certificaciones más habituales:
| Certificación | Quién la da | Cómo se evalúa |
|---|---|---|
| OSCP | OffSec | Examen práctico de casi 24 horas atacando máquinas reales |
| CREST CRT | CREST | Examen práctico |
| eJPT y eCPPT | INE | Exámenes prácticos |
| CEH | EC-Council | Examen tipo test, sobre todo teórico |
Además, pide:
- La metodología por escrito.
- Un seguro de responsabilidad civil que cubra el trabajo.
- Un acuerdo de confidencialidad.
- Un informe de ejemplo anonimizado.
- Que no lo haga quien mantiene tus sistemas: nadie revisa bien su propio trabajo, y PCI DSS exige que quien hace el pentest sea independiente.
Preguntas frecuentes
¿Cuánto cuesta un pentesting en España?
Depende del alcance: número de IP, aplicaciones y usuarios, tipo de prueba, información que recibe el pentester y si incluye re-test. Pide que el presupuesto detalle las jornadas de trabajo y qué entra en cada una; así podrás comparar ofertas.
¿Cuánto dura un test de intrusión?
Lo fija el documento de alcance, en jornadas de especialista. Un pentest externo acotado es mucho más corto que uno interno con aplicaciones web y re-test. Pide el calendario por escrito antes de empezar.
¿Es obligatorio el pentesting por NIS2, ENS o ISO 27001?
Ninguna lo impone a todas las empresas con ese nombre. NIS2 pide evaluar la eficacia de las medidas; el ENS incluye pruebas de penetración en categoría ALTA y en la nube de terceros; ISO 27001 pide gestionar las vulnerabilidades. El pentest es la forma habitual de demostrarlo. PCI DSS sí lo exige cada 12 meses.
¿Es legal hacer un pentest?
Sí, con autorización clara y por escrito del propietario de los sistemas, un alcance definido y, si se tratan datos personales, un contrato de encargado del tratamiento. Sin esa autorización, es un ataque.
¿Qué diferencia hay entre caja negra, gris y blanca?
Es la información que recibe el pentester: ninguna (negra, como un atacante externo), la de un usuario (gris) o toda, incluido el código (blanca). Con más información se encuentran más fallos en el mismo tiempo; con menos, se parece más a un ataque real.
¿Puede hacer el pentest mi proveedor de mantenimiento?
Mejor que no: nadie revisa bien su propio trabajo. PCI DSS, por ejemplo, exige que quien hace el pentest sea independiente de quien gestiona los sistemas.
Por dónde empezar
Si nunca has hecho un pentest, empieza por el externo: es lo que ve cualquier atacante y suele ser lo más barato de probar. Después, cada año y tras cada cambio importante, amplía el alcance según lo que te pida tu sector.
Y entre pentest y pentest, que no falte la gestión de vulnerabilidades: es lo que mantiene a raya los fallos el resto del año.
¿Quieres un pentest con informe para dirección y re-test incluido?
Te proponemos el alcance, las jornadas y el calendario por escrito antes de empezar.
Escribe sobre ciberseguridad, protección del dato e infraestructura IT a partir de lo que plantean las empresas y administraciones con las que trabaja ITGLOBAL.