Lo que cuesta realmente un test de penetración
Dos presupuestos por lo que parece el mismo trabajo pueden diferenciarse en diez veces sin que ninguna de las dos empresas mienta. La diferencia está casi siempre en el alcance, en la veteranía y en cuánto del trabajo lo hace realmente una persona. Estos son mis precios y los siete factores que los mueven.
Los precios
Son puntos de partida, no una carta. Cada encargo se cierra contra un alcance escrito antes de empezar, no hay facturación por horas y la cifra se confirma por escrito en las 24 horas siguientes a una llamada de alcance gratuita.
- Test de aplicación web - desde 500 $. OWASP Top 10 manual, autenticación y autorización, lógica de negocio y abuso de flujos de trabajo, y testing de API sobre REST y GraphQL. Habitualmente de tres a cinco días laborables. Dimensionado por número de roles de usuario, tamaño de la superficie de endpoints y si hay una API en alcance.
- Test de red y Active Directory - desde 1.500 $. Testing de red interno y externo, ADCS, Kerberoasting y abuso de ACL, rutas de ataque mapeadas con BloodHound y validación de segmentación. Dimensionado por tamaño del dominio, número de hosts y relaciones de confianza.
- Test de nube - desde 1.500 $. Azure y la infraestructura en nube entran en el mismo nivel de infraestructura y se dimensionan igual.
- Testing impulsado por cumplimiento - desde 500 $. El trabajo de marcos normativos sigue la misma lógica de precios: desde 500 $ para un alcance solo de aplicación, desde 1.500 $ cuando entra infraestructura. El marco cambia las evidencias que necesita, no el coste del testing en sí.
Cada encargo incluye lo que con frecuencia se vende como extra: soporte de remediación mientras corrige, un retest que confirma que las correcciones se sostienen y una carta de atestación que puede entregar a un cliente o a un evaluador. El desglose completo está en la página de precios.
Por qué dos presupuestos por el mismo trabajo se diferencian en diez veces
Es la pregunta que más recibo, y la respuesta honesta es que la mayor parte de la horquilla no tiene nada que ver con la calidad del test.
1. Días-tester, no funcionalidades
Un test de penetración se vende en días de atención de una persona cualificada. Una aplicación pequeña con un rol y cuarenta endpoints es una cantidad de trabajo realmente distinta de una plataforma con seis roles, un flujo de pago y una API pública. Convierta cada presupuesto en días-tester y la horquilla suele colapsar. Si una empresa no quiere decirle cuántos días compra, ese es el hallazgo.
2. Gastos generales que usted financia
El presupuesto de una gran consultora carga con equipo comercial, gestión de cuentas, jefatura de proyecto, instalaciones y margen antes de enviar un solo paquete. Nada de eso mejora el test. Es un coste real de comprar a una firma grande y es la mayor parte de la brecha entre un encargo de 2.000 $ y uno de 18.000 $ por la misma aplicación.
3. Quién hace realmente el trabajo
Las firmas grandes asignan testers júnior a encargos pequeños y hacen que alguien sénior revise la salida. A usted se le cotiza a una tarifa mezclada y se le testea a una júnior. Con un tester independiente, quien dimensiona es quien ejecuta y escribe, y merece la pena preguntarlo explícitamente a cualquier proveedor.
4. Trabajo manual frente a herramientas
Un escáner encuentra cabeceras ausentes, librerías desactualizadas y CVE conocidos. No encuentra un control de acceso roto entre dos inquilinos, un flujo en el que se puede saltar un paso, ni un campo de precio en el que el servidor confía. Esos son los hallazgos que importan y solo salen de una persona. Los presupuestos más baratos del mercado suelen ser salida de escáner con portada, y por eso el precio por sí solo dice muy poco.
5. Protección frente a la ampliación de alcance
Un presupuesto que parece bajo y luego factura por horas cualquier imprevisto no es un presupuesto bajo. Precio cerrado contra alcance escrito es la única versión en la que la cifra que le enseñan es la que paga.
6. Retest y remediación
Muchas firmas cobran aparte el retest, que es precisamente la parte que demuestra que ha corregido algo. Si un presupuesto lo excluye, añádalo antes de comparar.
7. El plazo
El trabajo que debe empezar esta semana cuesta más en todas partes, también conmigo. Si un contrato con un cliente o una fecha de auditoría impulsa el test, lo más barato que puede hacer es empezar la conversación pronto.
Por lo que nunca debería pagar
Hay cosas que aparecen con regularidad en los presupuestos y no valen dinero. Una exportación de escáner sin editar, por larga que sea. Un informe sin pasos de reproducción, porque sus ingenieros no pueden actuar con él. Una lista de hallazgos sin justificación de severidad, lo que hace imposible el triaje. Un "test de penetración" sin testing autenticado contra una aplicación que tiene inicio de sesión, lo que salta toda el área donde viven los hallazgos reales. Y cualquier encargo en el que nadie quiera decirle el nombre o las certificaciones de quien testea.
Calcular su propia cifra
Si quiere llegar a la llamada sabiendo ya aproximadamente dónde va a aterrizar, responda estas cinco: qué tipo de sistema es, qué tamaño tiene a grandes rasgos, cuántos roles de usuario distintos existen, si hay una API en alcance y si un marco o un cliente marca la fecha. Esas cinco respuestas determinan casi todo el precio. Hay una explicación más larga en cuánto cuesta un test de penetración, y el informe de muestra enseña lo que produce el dinero.
Por situación
El coste funciona distinto según lo que impulse el test. Si el motivo es una ronda de financiación o un cliente corporativo, vea coste del test de penetración para startups. Si es un auditor, vea coste del test de penetración SOC 2 o coste del test de penetración PCI DSS. Y si está valorando una oferta en la parte más baja del mercado, lea primero qué compra realmente un test de penetración barato.
Preguntas sobre precio
¿Quiere la cifra de su alcance y no un rango?
La llamada de alcance es gratuita y la propuesta escrita a precio cerrado llega en 24 horas.