INSPECTOR Qué es un pentest
Un pentest (prueba de penetración) es un ejercicio puntual en el que un especialista certificado intenta vulnerar una aplicación, una red o un sistema concreto, con permiso y dentro de un alcance definido, y entrega un reporte de lo que logró y cómo. Es profundo, es manual y es una foto: describe cómo estaba ese sistema en esos días. Un pentest manual de una sola aplicación suele costar entre $3,000 y $18,000 USD, según el tamaño del alcance, y lo normal es repetirlo una vez al año o después de un cambio grande.
Lo pide un cliente corporativo, un regulador o un auditor; lo necesita una aplicación que maneja dinero o datos sensibles antes de salir a producción; y lo hace bien alguien con experiencia ofensiva. Nosotros no lo hacemos con IA ni vendemos "atacantes autónomos": lo cotizamos aparte con un socio, por día de tester.
Qué es la vigilancia continua
La vigilancia responde otra pregunta: no "¿qué tan difícil es entrar a esta app hoy?" sino "¿qué tiene mi empresa expuesto en este momento, qué cambió desde la semana pasada y qué amenaza nueva salió para lo que uso?". Agentes de IA revisan cada semana el inventario de lo expuesto a internet, leen cada cambio que entra al código, siguen las vulnerabilidades publicadas y las credenciales filtradas, y avisan en menos de 24 horas cuando aparece algo crítico. Una persona lee el resultado y lo explica cada mes.
Es ancha, es continua y es una película, no una foto. No encuentra lo que encuentra un buen pentester en una lógica de negocio compleja, pero sí encuentra el puerto que alguien abrió el martes, la llave que quedó en el repositorio y la vulnerabilidad crítica que salió ayer para tu versión de WordPress, de Nginx o de tu librería de Node.
Comparación directa
| Pentest | Vigilancia continua | |
|---|---|---|
| Frecuencia | Una vez; se repite cada año o tras un cambio grande | Todos los días; reporte cada mes |
| Alcance | Una aplicación o sistema definido, a profundidad | Todo lo expuesto a internet, código, servidores, nube y amenazas nuevas |
| Quién lo hace | Un especialista certificado, de forma manual | Agentes de IA; una persona lee y explica el reporte |
| Qué encuentra mejor | Fallas de lógica, cadenas de explotación, lo que requiere creatividad humana | Cambios, exposiciones nuevas, secretos en código, vulnerabilidades publicadas, credenciales filtradas |
| Riesgo para producción | Controlado, pero hay pruebas activas contra el sistema | Ninguno: solo lectura, sin ataques |
| Costo típico | $3,000–$18,000 USD por aplicación; con nuestro socio $1,500–$2,500 USD por día de tester | Vigía $900 USD al mes; Vigía Plus $1,800 USD al mes; Arranque $2,000 USD una vez |
| Entregable | Reporte técnico detallado con pruebas de concepto | Hoja de Dirección + reporte técnico + llamada mensual; aviso en menos de 24 h ante algo crítico |
Cuándo conviene cada una
Conviene un pentest cuando vas a lanzar o rediseñar una aplicación que maneja dinero o datos sensibles, cuando un cliente, un regulador o un auditor te lo exige por escrito, o cuando ya tienes vigilancia y quieres una prueba profunda de un sistema específico.
Conviene la vigilancia cuando no tienes equipo de seguridad y nadie revisa lo que tienes expuesto; cuando tu infraestructura cambia seguido (despliegues, servidores nuevos, proveedores); cuando lo que te preocupa es el ransomware, el fraude por correo y las credenciales filtradas más que una falla sofisticada; y cuando quieres un documento mensual que demuestre que alguien está mirando.
Convienen las dos en la empresa que ya depende de software propio: la vigilancia todos los días y un pentest al año sobre la aplicación más crítica. Como la vigilancia ya deja limpio lo obvio, el pentester usa sus días en lo que de verdad requiere a un humano, y el retest es más corto.
Lo que no conviene es confundirlas: una evaluación automática que nadie lee no es un pentest, y un pentest de hace diez meses no te dice qué tienes expuesto hoy.