Cada cierto tiempo nos llega una solicitud de pentesting de una empresa que antes contrató uno y quedó con la sensación de que no sirvió para nada. El informe tenía 80 páginas, la mitad era boilerplate sobre OWASP copiado de otro proyecto, y nadie supo qué hacer con el resultado. Eso no es un problema raro: es la consecuencia de contratar a alguien que corre un escáner automatizado, le pone logo y lo llama pentest.
Acá te explico qué es un pentesting de verdad, para qué sirve cada tipo y qué tienes que exigirle al proveedor antes de firmar.
Para qué sirve un pentesting (y para qué no)
Un pentesting —prueba de penetración— es un ataque controlado y autorizado a los sistemas de tu empresa. El objetivo es encontrar vulnerabilidades reales antes de que lo haga alguien que no te tiene buena voluntad.
Lo que lo distingue de un escáner automatizado es el analista: alguien que encadena hallazgos, evalúa qué pasa si se combinan dos vulnerabilidades menores, y te dice cuál es el impacto real de negocio de cada cosa que encontró. Un escáner te da una lista de CVEs con puntaje CVSS. Un pentest bien hecho te dice “con esta vulnerabilidad, un atacante puede llegar a tus datos de clientes en tres pasos sin credenciales válidas”.
Para qué no sirve: no es una certificación de seguridad. Que hayas pasado un pentest no significa que eres inexpugnable; significa que en ese momento, con ese alcance, el equipo no encontró cómo entrar. La foto es válida mientras no cambie la infraestructura.
Los 4 tipos de pentesting que existen
No existe un “pentest genérico”. Antes de contratar, tienes que saber qué quieres probar.
Pentest de red o infraestructura. Prueba los activos de red: servidores, routers, firewalls, servicios expuestos a internet. Busca puertos abiertos innecesarios, servicios con versiones obsoletas, credenciales débiles, configuraciones por defecto. Es el punto de entrada para la mayoría de los ataques externos. Para una infraestructura de tamaño mediano, tarda entre 2 y 3 semanas.
Pentest de aplicación web. Prueba tu app, tu API o tu sitio. Sigue metodologías como OWASP Top 10: inyección SQL, XSS, IDOR, autenticación rota, exposición de datos sensibles. Es el más frecuente porque casi toda empresa tiene una aplicación web o una API expuesta. Para una aplicación de complejidad media, tarda 1 a 2 semanas.
Pentest de ingeniería social. Prueba a las personas. Campañas de phishing controladas, pretexting por teléfono, intentos de acceso físico. El vector humano sigue siendo la entrada más común: en Chile se detectaron más de 37 millones de intentos de phishing en 2024. Si tu equipo no está entrenado para reconocerlos, el mejor firewall no te protege.
Red team. No prueba si existe una vulnerabilidad: simula a un atacante real con un objetivo concreto de negocio. “¿Puede alguien llegar a los datos de nómina desde internet?” El equipo usa cualquier técnica disponible —técnica y social— sin avisar cuándo ni por dónde va a intentar entrar. Es el ejercicio más profundo y el más largo: 4 a 6 semanas para una empresa mediana. Requiere que la organización tenga cierta madurez de seguridad previa para que el resultado sea aprovechable. Si nunca has hecho un pentest, el red team no es el punto de partida.
Si tengo que recomendar por dónde empezar: pentest de aplicación web si tienen una app crítica, pentest de infraestructura si tienen servidores propios expuestos a internet. Son los dos que más frecuentemente muestran hallazgos críticos en empresas que nunca han hecho un ejercicio así.
Qué incluye un informe serio
El informe es el producto que te llevas. Si no te sirve para actuar, pagaste por nada.
Un informe bien hecho tiene cinco componentes:
Resumen ejecutivo. Sin jerga técnica. Una página que un gerente sin formación técnica pueda leer y entender qué riesgo tiene la empresa hoy, y qué tan urgente es actuar. Si el proveedor no puede explicar en castellano simple lo que encontró, hay un problema.
Hallazgos clasificados por criticidad. Crítico, alto, medio, bajo. Con evidencia de cada uno: capturas de pantalla, output de herramientas, y en los casos que lo ameritan, un PoC (prueba de concepto) que demuestre que la vulnerabilidad es explotable y no teórica.
Impacto de negocio. Por qué le importa a tu empresa ese hallazgo en particular. “Inyección SQL en el formulario de login” no le dice nada a un gerente. “Un atacante puede extraer todos los correos y RUT de la base de datos de clientes sin credenciales” sí.
Plan de remediación. Qué hacer, en qué orden y con qué prioridad. Las vulnerabilidades críticas van primero; las bajas, cuando haya tiempo. Sin este plan, el informe es una lista de problemas sin solución.
Re-test incluido o cotizado. Un pentest sin re-test es incompleto. Tienes que poder verificar que las remediaciones cerraron el hallazgo, no solo que el equipo lo marcó como resuelto en su sistema de tickets. Si el proveedor no menciona el re-test, pregunta explícitamente cómo lo manejan.
Señales de que estás contratando un pentesting malo
Cinco señales que hemos visto o nos han contado clientes que tuvieron malas experiencias:
- Te mandan el informe antes de terminar el período acordado de pruebas, sin explicación.
- El informe no tiene evidencia de los hallazgos: los nombra pero no los demuestra.
- No hay contexto de negocio: te dicen qué encontraron, no qué significa para tu empresa.
- El re-test no está incluido ni cotizado: queda como responsabilidad tuya verificar.
- No firmaron un NDA ni un contrato de alcance antes de empezar.
Ese último punto es importante: si alguien va a atacar tus sistemas con tu autorización, el acuerdo escrito que define exactamente qué sistemas están en alcance y bajo qué condiciones es lo primero que debe existir. Si el proveedor no lo pide, es una señal de alerta, no de confianza.
La otra señal que no aparece en el informe sino en el proceso de venta: si el proveedor no te pregunta qué sistemas están en alcance, qué ambientes son productivos y qué tipo de pruebas autorizas, está operando a ciegas o va a hacer lo mismo que le hace a todos los clientes.
Cuánto tiempo toma y cómo se estructura
El esquema estándar tiene dos fases claramente separadas:
Fase de ejecución: entre 1 y 3 semanas, dependiendo del alcance y el tipo de prueba. En esta fase el equipo ataca activamente los sistemas dentro del perímetro acordado.
Fase de informe: 1 semana. Se documenta todo, se clasifica por criticidad, se escribe el plan de remediación. Un proveedor que te manda el informe al día siguiente de terminar la ejecución o no trabajó el análisis como corresponde, o usó un template genérico.
El re-test, si se acuerda, tarda entre 2 y 5 días según la cantidad de hallazgos a verificar.
Pentesting y la Ley 21.719
La Ley 21.719 no exige pentesting explícitamente. Lo que exige es que las organizaciones adopten medidas técnicas y organizativas razonables para proteger los datos personales que tratan, con plena vigencia desde el 1 de diciembre de 2026.
Un pentest anual es la forma más objetiva de demostrar que lo estás haciendo: tienes un informe fechado, con hallazgos documentados, evidencia de remediación y re-test. Si llega una fiscalización de la APDP, ese historial pesa. No como sustituto de tener la seguridad en orden, sino como evidencia de que tienes un proceso para encontrar y cerrar brechas. Si quieres revisar qué más exige la ley y cómo preparar la empresa, la guía de cumplimiento de la Ley 21.719 cubre el panorama completo de obligaciones y plazos.
Preguntas frecuentes
¿Qué es un pentesting y para qué sirve en una empresa?
Es un ataque controlado y autorizado a tus sistemas, ejecutado por un equipo de seguridad con tu permiso escrito. El objetivo es encontrar las vulnerabilidades reales antes de que lo haga un atacante. A diferencia de un escáner automatizado, incluye análisis manual, encadenamiento de hallazgos y evaluación del impacto real de negocio de cada cosa que se encontró.
¿Cuánto dura un pentesting?
Depende del alcance. Un pentest de aplicación web típico toma 1 a 2 semanas de ejecución más una semana para el informe. Un pentest de red o infraestructura puede tomar 2 a 3 semanas. Un red team completo puede durar 4 a 6 semanas. El re-test agrega 2 a 5 días.
¿Cuánto cuesta un pentesting en Chile?
Son valores referenciales: un pentest de aplicación web parte en torno a US$2.000–4.000 para una app pequeña. Un pentest de infraestructura puede estar entre US$4.000 y US$10.000. Un red team para una empresa mediana puede superar los US$15.000. El precio final depende del número de activos en alcance, la complejidad y la metodología del proveedor.
¿Qué debe incluir el informe de un pentesting?
Resumen ejecutivo sin jerga, hallazgos clasificados por criticidad con evidencia (capturas, PoC), impacto de negocio en términos no técnicos, plan de remediación priorizado y re-test incluido o cotizado. Si el informe solo lista CVEs con puntaje CVSS sin explicar el impacto real en tu negocio, no te sirve para tomar decisiones.
¿Cuál es la diferencia entre pentesting y red team?
El pentesting prueba si una vulnerabilidad existe y es explotable. El red team simula a un atacante real con un objetivo concreto de negocio, usando cualquier técnica disponible sin avisar cuándo ni por dónde. El red team es más largo, más costoso y requiere que la organización tenga madurez de seguridad previa para que el ejercicio aporte valor real.
¿Con qué frecuencia debería hacer pentesting mi empresa?
Una vez al año como mínimo si manejas datos sensibles. También después de cambios mayores en infraestructura o al lanzar una aplicación crítica. Si el rubro lo exige (fintech, salud, e-commerce de alto volumen), puede ser semestral.
Si quieres saber qué tipo de prueba corresponde a tu empresa y recibir una cotización con alcance definido, hacemos la propuesta en 48 horas. Escríbenos desde nuestra consultoría de seguridad informática.