Qué es un pentest y cuándo hacerlo en tu empresa
Un pentest (prueba de penetración) simula un ataque real, con permiso, para encontrar fallos antes que un delincuente. Tipos, fases y cuándo hacerlo.
Por Zyro
Un pentest (de penetration test, en español "prueba de penetración" o "test de intrusión") es un ataque simulado y autorizado contra tus sistemas. Lo realiza un equipo que piensa como un atacante para encontrar fallos de seguridad antes de que lo haga alguien con malas intenciones. Al terminar, te entrega los hallazgos ordenados por gravedad, con pruebas y con la forma de corregirlos.
Pentest no es lo mismo que un escáner de vulnerabilidades
Se confunden con mucha frecuencia, y la diferencia importa a la hora de comparar presupuestos:
- Escáner de vulnerabilidades: herramienta automática que compara lo que encuentra (versiones de software, configuraciones) con bases de datos de fallos conocidos. Es rápido, barato y repetible, pero genera falsos positivos y no entiende tu negocio.
- Pentest: combina herramientas con criterio humano. Encadena fallos pequeños, comprueba si de verdad se pueden aprovechar y mide el impacto real. Es más lento y más caro, pero responde a la pregunta que de verdad importa: ¿hasta dónde podría llegar alguien?
Lo sensato es usar los dos: el escáner de forma continua y el pentest de forma periódica.
Tipos de pentest según lo que se sabe de antemano
- Caja negra: el equipo parte de cero, como un atacante externo. Refleja bien lo que vería un desconocido, pero tarda más en llegar a lo profundo.
- Caja gris: se facilita información parcial, por ejemplo una cuenta de usuario normal. Es el equilibrio más habitual entre coste y cobertura.
- Caja blanca: acceso a documentación, arquitectura e incluso código. Es el más completo y el que más fallos encuentra por euro invertido.
Tipos de pentest según el ámbito
- Externo: lo que ve cualquiera desde Internet (webs, correo, VPN, DNS, servicios expuestos).
- Interno: qué podría hacer alguien que ya está dentro de la red, por ejemplo con un portátil comprometido o un empleado malintencionado.
- Aplicaciones web y APIs: fallos de lógica, autenticación y control de acceso. La referencia habitual es la lista OWASP Top 10.
- Redes inalámbricas: Wi-Fi corporativo y de invitados, y cómo se separan de la red interna.
- Ingeniería social: campañas de phishing controladas, siempre con permiso explícito y acordadas con dirección.
- Cloud: configuración de cuentas, identidades, permisos y almacenamiento.
Fases de un pentest profesional
- Alcance y autorización por escrito: qué se prueba, qué queda fuera, en qué horarios y a quién se avisa si algo sale mal.
- Reconocimiento: recopilar información sobre lo que está expuesto.
- Análisis de vulnerabilidades: identificar posibles puntos débiles.
- Explotación controlada: comprobar cuáles se pueden aprovechar de verdad, limitando el daño y respetando lo acordado.
- Evaluación del impacto: qué datos o sistemas quedarían al alcance, y limpieza de cualquier rastro de las pruebas.
- Informe: resumen para dirección y detalle técnico para quien tiene que corregir.
- Retest: repetir las pruebas sobre lo corregido para confirmar que el problema ha desaparecido.
La autorización por escrito no es opcional
Acceder a un sistema informático sin permiso es delito en España (artículo 197 bis del Código Penal), aunque la intención sea buena. Por eso un pentest serio empieza siempre con un documento firmado que fija el alcance, las ventanas horarias, los sistemas excluidos y los contactos de emergencia. Si un proveedor te propone "probar a ver qué pasa" sin ese papel, desconfía.
Cuándo necesita tu empresa un pentest
- Antes de lanzar una aplicación o un servicio importante.
- Después de cambios grandes de infraestructura, migraciones a la nube o fusiones.
- Cuando un cliente, un contrato o una norma lo exige o lo recomienda. Por ejemplo, el NIS2 pide evaluar la eficacia de las medidas de seguridad, y el reglamento europeo DORA exige pruebas avanzadas a determinadas entidades financieras.
- Tras un incidente, para comprobar que no queda ninguna puerta abierta.
- De forma periódica. Como referencia habitual, una vez al año, o antes si cambia algo relevante.
Cómo es un buen informe
Un informe útil tiene un resumen ejecutivo comprensible para dirección y, para cada hallazgo, una severidad razonada (por ejemplo con CVSS), una evidencia reproducible, el impacto y una recomendación concreta. Si lo que recibes es la salida de un escáner con tu logo encima, no es un pentest.
Preguntas que conviene hacer al proveedor
- ¿Qué metodología siguen (OWASP, PTES, OSSTMM)?
- ¿Quién hará las pruebas y qué experiencia tiene?
- ¿Cómo protegen los datos que encuentren durante el trabajo?
- ¿Incluye el retest para verificar las correcciones?
- ¿Cómo se actúa si una prueba afecta a un servicio en producción?
Y después del informe
El valor de un pentest no está en el PDF, sino en lo que se corrige. Prioriza lo grave, asigna responsables y fechas, y repite las pruebas para confirmarlo. Si quieres entender cómo se combina la parte ofensiva con la defensiva, lee nuestra guía sobre red team, blue team y purple team.
Cómo lo planteamos en Zyro
En Zyro desarrollamos ZyroShield, nuestra división de ciberseguridad, con una plataforma ofensiva para auditar tu propia infraestructura y otra defensiva para detectar y responder. Puedes ver cómo funciona ZyroShield o contarnos tu caso y te diremos con honestidad qué necesitas y qué no.