Hace unas semanas un cliente nos enseñó el «informe de auditoría» que le había entregado su anterior proveedor: cuarenta páginas de salida de un escáner automático, media docena de hallazgos marcados como críticos y ni una sola comprobación de si alguno de ellos era explotable de verdad. Había pagado por una auditoría. Le habían entregado un análisis de vulnerabilidades. Y lo que su caso pedía, viendo cómo tenía montada la aplicación de pedidos, era un pentesting.
Saber qué es un pentesting y en qué se diferencia de las otras dos cosas no es una discusión de vocabulario técnico: es lo que decide si el dinero que te vas a gastar sirve de algo. Los tres términos se usan como si fueran sinónimos en presupuestos, webs y conversaciones comerciales. No lo son. Se diferencian en qué buscan, en cuánta intervención humana llevan, en qué te entregan al final y, sobre todo, en el precio. Confundirlos sale caro por los dos lados: pagando de más por algo que no necesitas o creyendo que estás cubierto cuando no lo estás.
Las tres cosas, en una frase cada una
- El análisis de vulnerabilidades busca fallos conocidos con herramientas automáticas y te da una lista priorizada.
- El pentesting coge esos fallos (y otros que ninguna herramienta encuentra) e intenta explotarlos de verdad para demostrar hasta dónde llega un atacante.
- La auditoría de seguridad compara tu organización con un marco de referencia (el ENS, la ISO 27001, tu propia política) y dictamina si cumples o no.
Una responde «¿qué fallos tengo?». Otra, «¿qué se puede hacer con ellos?». La tercera, «¿cumplo con lo que se me exige?». Son preguntas distintas y no se sustituyen entre sí.
Qué es un análisis de vulnerabilidades
Es un escaneo. Una herramienta recorre tus sistemas, identifica qué versiones de software corren en cada uno y los cruza contra bases de datos de vulnerabilidades públicas. La guía técnica de referencia en esto, la NIST SP 800-115, lo define con una precisión que conviene retener: el escaneo de vulnerabilidades identifica fallos «sin depender de la interpretación humana». Ahí está su virtud y ahí está su límite.
La virtud: es rápido, es barato y se puede repetir todas las semanas. Para una pyme con treinta equipos y un par de servidores, un escaneo recurrente es probablemente la medida con mejor relación coste-beneficio que existe. Y no es una opinión nuestra: según el informe DBIR 2026 de Verizon, la explotación de vulnerabilidades ya es el vector de entrada número uno, presente en el 31 % de las brechas analizadas, y ha desplazado al robo de credenciales por primera vez en las diecinueve ediciones del informe. INCIBE, por su parte, detectó y notificó 237.028 sistemas vulnerables en España durante 2025. Es decir: lo que un escáner encuentra es exactamente por donde están entrando.
El límite: la herramienta no sabe nada de tu negocio. No entiende que ese formulario de presupuestos deja consultar los pedidos de otro cliente cambiando un número en la URL, porque técnicamente ahí no hay ninguna «vulnerabilidad conocida»: hay una lógica mal diseñada. Tampoco distingue lo que es explotable de lo que no. De ahí que los informes de escáner vengan llenos de críticos que, mirados de cerca, no llevan a ninguna parte, mientras el agujero real pasa desapercibido.
Qué es un pentesting
Un test de intrusión, o pentesting, es un ataque simulado y autorizado contra tus sistemas. La misma guía del NIST lo separa del escaneo con una palabra: el pentest corrobora. No se conforma con señalar que una puerta parece abierta; la cruza, mira qué hay al otro lado y sigue avanzando hasta donde llegue.
Eso implica una persona detrás. Un pentester encadena fallos que por separado serían insignificantes: una versión desactualizada aquí, una contraseña reutilizada allá, un permiso mal puesto en un directorio compartido, y de pronto está leyendo la base de datos de nóminas. Ninguna herramienta hace ese razonamiento. El trabajo se apoya en metodologías públicas que puedes exigir en el presupuesto: la OWASP Web Security Testing Guide para aplicaciones web, el PTES para el proceso completo, y el OWASP Top 10 en su edición de 2025 como mínimo común denominador de lo que hay que revisar sí o sí.
Tipos de pentest que te van a ofrecer
Por información de partida: caja negra (el pentester no sabe nada, como un atacante externo real), caja gris (le das credenciales de usuario normal, que es el escenario más rentable para una pyme) y caja blanca (acceso a código y arquitectura, el más exhaustivo). Por posición: externo, desde internet, o interno, simulando a alguien que ya está dentro de la red o a un empleado descontento. Por objetivo: aplicación web, infraestructura, wifi, móvil, o ingeniería social contra el propio equipo.
Conviene no confundirlo con un red team. Un pentest busca encontrar y validar el máximo de caminos posibles en un alcance acordado, con el equipo defensor al corriente. Un red team simula a un adversario concreto, con un objetivo concreto, sin avisar a los defensores, y lo que mide en realidad no es tu superficie de ataque: es tu capacidad de detectar y responder. Si todavía no tienes capacidad de detección que poner a prueba, pagar un red team es tirar el dinero.
Qué es una auditoría de seguridad
Aquí cambia el marco mental. Una auditoría no busca fallos técnicos: comprueba el grado de cumplimiento frente a un estándar. Se revisan políticas, evidencias, registros, contratos con proveedores, formación del personal y también controles técnicos, pero el resultado no es una lista de vulnerabilidades: es un dictamen de conformidad con no conformidades asociadas.
Y a diferencia de las otras dos, en muchos casos es obligatoria:
- Esquema Nacional de Seguridad. El artículo 31 del Real Decreto 311/2022 es explícito: los sistemas en su ámbito serán objeto de «una auditoría regular ordinaria, al menos cada dos años», más una extraordinaria siempre que haya modificaciones sustanciales. Los sistemas de categoría básica se resuelven con autoevaluación (artículo 38); los de categoría media y alta, no.
- ISO 27001:2022. El sistema de gestión exige auditorías internas y las de certificación las hace una entidad acreditada. Dentro de sus controles, el A.8.8 cubre la gestión de vulnerabilidades técnicas y el A.8.29, las pruebas de seguridad en desarrollo y aceptación. Traducido: la norma te obliga a tener un proceso, y el pentest es una de las formas de acreditar que ese proceso funciona. Lo desarrollamos en la guía de ISO 27001 para pymes.
- PCI DSS. Si tu negocio procesa pagos con tarjeta, el requisito 11 del estándar obliga a escaneos periódicos y a pruebas de intrusión al menos anuales y tras cambios relevantes.
La tabla que aclara el 90 % de las dudas
| Análisis de vulnerabilidades | Pentesting | Auditoría | |
|---|---|---|---|
| Pregunta que responde | ¿Qué fallos conocidos tengo? | ¿Hasta dónde llega un atacante? | ¿Cumplo con la norma? |
| Ejecución | Automática | Manual, con apoyo de herramientas | Revisión documental y de evidencias |
| ¿Se explota el fallo? | No | Sí, de forma controlada | No |
| Falsos positivos | Frecuentes | Descartados en la propia prueba | No aplica |
| Entregable | Listado priorizado por severidad | Informe con pruebas de concepto y plan de corrección | Dictamen con no conformidades |
| Frecuencia razonable | Continua o mensual | Anual y tras cambios relevantes | Según la norma (el ENS marca dos años) |
| Quién lo pide | Tú, por higiene | Tú o un cliente que exige garantías | La ley, un cliente o una certificación |
Cómo saber cuál necesitas tú
Cuatro situaciones que cubren casi todos los casos que nos llegan:
- «No hemos hecho nunca nada.» Empieza por el análisis de vulnerabilidades y por revisar lo básico. Gastar 6.000 euros en un pentest cuando aún tienes los equipos sin parchear y sin doble factor es como contratar a un cerrajero para que te diga que la puerta está abierta. Nuestro checklist de 25 controles es el punto de partida gratuito.
- «Tenemos una aplicación web con datos de clientes.» Pentest de caja gris sobre esa aplicación. Es donde más daño puede hacer un fallo y donde menos ayuda un escáner: los fallos de control de acceso encabezan el OWASP Top 10 de 2025 como categoría A01, y ni esos ni los de lógica de negocio los detecta una herramienta automática, porque para verlos hay que entender qué se supone que puede hacer cada usuario.
- «Un cliente grande nos exige acreditar seguridad.» Auditoría, y probablemente ISO 27001 o adecuación al ENS si ese cliente es Administración. Aquí lo que se compra es el papel defendible, y ese es el terreno de la consultoría GRC. Es la misma dinámica de exigencia en cascada que explicamos en el artículo sobre riesgo de proveedores.
- «Ya tenemos monitorización y queremos saber si funciona.» Ahí sí tiene sentido plantear un ejercicio de red team, o al menos un pentest interno con el equipo defensor sin avisar.
Qué te tiene que entregar un pentest para valer lo que cuesta
Este es el punto donde más presupuestos se caen. Exige por escrito, antes de firmar:
- Alcance cerrado: qué IPs, qué dominios, qué aplicaciones, qué queda fuera y en qué ventana horaria se prueba.
- Severidad con criterio público. Que cada hallazgo venga puntuado con CVSS v4.0, cuya escala es 0,1-3,9 baja, 4,0-6,9 media, 7,0-8,9 alta y 9,0-10 crítica. Si el informe dice «riesgo alto» sin decir por qué, no hay forma de discutirlo ni de priorizar.
- Prueba de concepto reproducible de cada hallazgo relevante. Sin captura ni pasos, es una hipótesis.
- Plan de corrección accionable y ordenado por impacto real en tu negocio, no por la puntuación bruta de la herramienta.
- Retest incluido. Un pentest sin comprobación posterior de que lo corregiste bien deja el trabajo a medias. Y el mismo DBIR 2026 recuerda por qué importa: el tiempo medio de remediación se está alargando, no acortando.
- Resumen ejecutivo comprensible por gerencia. Si nadie fuera de sistemas entiende el informe, no se va a aprobar el presupuesto para arreglar nada.
Sobre precios: en el mercado español un pentest acotado de aplicación web se mueve habitualmente en el entorno de los tres a doce mil euros, y uno de infraestructura interna algo por encima, con mucha variación según el número de activos y la profundidad. Son cifras orientativas de mercado, no una tarifa oficial. Lo que sí conviene mirar con lupa es un presupuesto muy por debajo de esa horquilla: casi siempre significa que lo que vas a recibir es un escaneo automático con otro nombre.
El error más caro: quedarse en el informe
Un pentest no mejora tu seguridad. Lo que mejora tu seguridad es corregir lo que el pentest encuentra. Hemos visto informes de dos años atrás, impecables, con todos los hallazgos todavía abiertos, en empresas que dan por hecho que están cubiertas porque «hicimos la auditoría». La prueba solo vale lo que valga el plan que viene después, y ese plan necesita responsable, fecha y presupuesto para cada línea. Si además tienes monitorización continua, sabrás si alguien está intentando aprovechar el hueco mientras lo cierras.
Preguntas frecuentes sobre pentesting y auditorías
¿Cada cuánto hay que hacer un pentesting?
La referencia habitual es una vez al año y siempre que haya un cambio relevante: una aplicación nueva, una migración a la nube, una integración con un tercero. Si estás bajo el ENS, la auditoría de seguridad tiene su propio reloj: al menos cada dos años según el artículo 31 del RD 311/2022. Y si procesas pagos con tarjeta, PCI DSS te pide pruebas de intrusión anuales.
¿Cuánto dura y cuánto tarda en llegar el informe?
Para un alcance de pyme, la parte de pruebas suele ocupar entre cinco y diez días laborables, y el informe llega una o dos semanas después. Si un proveedor te promete un pentest completo en dos días, o el alcance es minúsculo o lo que te va a entregar es la salida de un escáner con maquetación bonita.
¿Un pentest puede tirar mis sistemas?
El riesgo existe y por eso se acuerda antes. Un trabajo serio define ventana horaria, excluye pruebas de denegación de servicio salvo que se pidan expresamente, mantiene un canal de contacto abierto durante toda la prueba y sabe parar. Lo que nunca debe pasar es que te enteres de que ha empezado porque algo se ha caído.
Si tengo antivirus, firewall y copias de seguridad, ¿necesito un pentest?
Esas tres cosas te protegen de lo genérico. El pentest sirve para lo específico: la aplicación que desarrolló una empresa que ya no existe, el servidor que quedó publicado en una migración, el permiso que se dio «temporalmente» en 2021. Ningún producto de seguridad conoce esas particularidades de tu casa. Además, según el DBIR 2026, el vector principal de entrada hoy es la explotación de una vulnerabilidad, no el malware que el antivirus está preparado para detener.
¿Cuál es la diferencia entre pentesting y red team?
El pentest tiene un alcance acordado y busca cobertura: cuantos más caminos de ataque válidos encuentre, mejor. El red team tiene un objetivo (llegar al servidor de facturación, por ejemplo), actúa sin avisar al equipo de defensa y mide sobre todo si te enteras y en cuánto tiempo. El segundo solo tiene sentido cuando ya hay una capacidad de detección montada que merezca la pena poner a prueba.
¿Vale un pentest para certificarme en ISO 27001?
Ayuda, pero no sustituye a nada. La certificación exige un sistema de gestión completo: análisis de riesgos, políticas, evidencias y auditoría por una entidad acreditada. El pentest es una de las pruebas que alimentan ese sistema, concretamente los controles de gestión de vulnerabilidades técnicas y de pruebas de seguridad. Presentarse a una certificación con un informe de pentest y poco más no funciona.
¿Y si el escáner me dice que tengo veinte vulnerabilidades críticas?
Antes de asustarse, valídalas. Una parte importante de los críticos de un escaneo son falsos positivos o corresponden a servicios que no están expuestos. Ese filtrado es precisamente lo que aporta el criterio humano, y es la razón por la que una lista de hallazgos sin verificar no debería llamarse auditoría.
Si has llegado hasta aquí con la duda de qué te toca a ti, el atajo suele ser este: si nunca has probado nada, empieza por lo barato y repetible; si tienes algo publicado en internet con datos de clientes, ponlo a prueba de verdad; y si quien te lo pide es un cliente o una norma, lo que necesitas es cumplimiento, no técnica.
En CiberPYME hacemos las tres cosas y te decimos cuál te toca antes de venderte ninguna: auditoría y pentesting, consultoría GRC para el cumplimiento y monitorización 24/7 para lo que pasa después. Cuéntanos tu caso y te damos una valoración honesta, sin compromiso.
