Para elegir una empresa de pentest en Colombia pida cinco cosas antes de firmar: el alcance por escrito, las certificaciones de las personas que van a probar (no solo las de la empresa), un informe de muestra con prueba de concepto y puntaje CVSS, un retest definido y un contrato con autorización expresa y confidencialidad. Si alguna falta, el «pentest» suele ser un escaneo automatizado con otro nombre. Esta guía explica qué revisar en cada punto, cuánto debería costar y qué señales de alerta descartan a un proveedor.
¿Qué certificaciones debe tener quien hace el pentest?
Las certificaciones importan cuando son de la persona que ejecuta la prueba y cuando el examen es práctico. Pida los nombres de quienes van a probar y sus credenciales; una empresa puede tener un sello y asignarle su proyecto a alguien sin experiencia.
¿Qué debe traer el informe?
Pida un informe de muestra (anonimizado) antes de contratar. Un informe serio tiene estas partes:
Si el informe de muestra es una lista de hallazgos con el nombre de una herramienta y sin prueba de concepto, es el resultado de un análisis de vulnerabilidades, no de un pentest. Son servicios distintos y se cobran distinto.
¿Qué preguntar sobre la metodología?
¿Cuánto debería costar un pentest en Colombia?
Depende del alcance (cuántas aplicaciones, APIs o rangos de red), de la profundidad y del retest. Como referencia, en T.I. RESCUE un pentest empieza en $5.000.000 COP + IVA y el retest se cotiza aparte. Qué define el precio de un pentest lo explica con detalle. Una regla práctica: si una propuesta cuesta una fracción de las demás por el mismo alcance, pregunte cuántas horas de prueba manual incluye; lo más probable es que sea un escaneo automatizado.
¿Qué debe decir el contrato?
¿Proveedor local o internacional? ¿Remoto o presencial?
Un pentest de aplicaciones web, APIs o red externa se hace de forma remota sin perder nada; el de red interna también, con una VPN o un equipo dentro de su red. Lo que sí pesa es el contexto: un proveedor en Colombia trabaja en su horario, factura en pesos, conoce la Circular 007 de la Superfinanciera y la Ley 1581, y puede sentarse con su junta a explicar el informe. Pregunte dónde está el equipo que va a probar, no solo dónde está la oficina comercial.
Siete señales de alerta
Lista de verificación: 10 preguntas para comparar proveedores
Preguntas frecuentes al contratar un pentest
¿Cada cuánto se debe hacer un pentest?
Al menos una vez al año y después de cambios grandes: una aplicación nueva, una migración a la nube, una fusión o un incidente. Normas como PCI DSS lo exigen anual y tras cambios significativos.
¿Pentest o análisis de vulnerabilidades?
El análisis detecta fallas conocidas con herramientas y es más barato y frecuente; el pentest las valida y explota de forma controlada para demostrar el impacto. Pentest y análisis de vulnerabilidades los compara.
¿Pentest o red team?
El pentest busca el mayor número de vulnerabilidades en un alcance definido; el red team simula a un atacante real con un objetivo y evalúa si su equipo lo detecta. Pentest vs red team explica cuándo conviene cada uno.
¿El pentest me da un certificado?
Le da un informe con fecha y alcance. Ningún pentest «certifica» que un sistema es seguro; quien lo prometa no está siendo honesto.
¿Sirve un proveedor que no está en mi ciudad?
Sí. Las pruebas se hacen de forma remota con la misma metodología; lo importante es que el equipo trabaje en su horario y conozca la normativa colombiana.
¿Quiere comparar con una propuesta real?
Le enviamos el alcance, los entregables y el precio de un pentest de T.I. RESCUE, con el nombre y las credenciales de quien lo haría.
Pedir una propuestaMarcar este sitio como fuente preferida en Google
También te puede interesar
Comentarios (0)
Sé el primero en comentar.