Test de penetración barato: qué compra realmente menos de 1.000 $

Asequible es una estructura de costes. Barato es un servicio que falta.

Hay dos razones completamente distintas por las que un test de penetración puede costar poco, y producen resultados opuestos.

La primera es una estructura de costes baja. Un tester independiente sin equipo comercial, sin gestores de cuenta, sin jefatura de proyecto, sin instalaciones y sin margen que alimentar puede cobrar una fracción del precio de una consultora y dedicar las mismas horas, o más, a atacar de verdad su sistema. No se ha quitado nada del test. Lo que se ha quitado es todo lo que lo envuelve.

La segunda es un servicio que falta. El precio es bajo porque el trabajo no está ocurriendo. Se lanza un escáner, la salida recibe una portada y un logotipo, y la factura dice "test de penetración". Esto también cuesta muy poco producirlo, que es exactamente por lo que se fija un precio de ganga.

Desde fuera, en un presupuesto, ambos se parecen. Las preguntas siguientes los separan de forma fiable.

Siete preguntas que revelan la diferencia

• ¿Cuántos días de testing manual compra este precio? La pregunta más útil con diferencia. Un tester real responde con un número de inmediato, porque así construyó el presupuesto. Esquivarla es la respuesta.
• ¿Quién ejecuta el testing y qué certificaciones tiene? Debería recibir un nombre. Si el trabajo se subcontrata o lo hace quien esté libre esa semana, quiere saberlo antes de comprar, no después.
• ¿El informe incluirá pasos de reproducción para cada hallazgo? Sin ellos sus ingenieros no pueden confirmar ni corregir nada, y el informe es decoración. Las exportaciones de escáner casi nunca traen pasos utilizables para los hallazgos que importan.
• ¿Está incluido el testing autenticado? Si su aplicación tiene inicio de sesión y nadie testea detrás, se ha saltado toda el área donde viven los hallazgos serios. Es la forma más común en que un test barato es técnicamente honesto y prácticamente inútil.
• ¿Está incluido el retest? El retest es lo que demuestra que las correcciones funcionaron. Si es una factura aparte, añádala al presupuesto antes de comparar.
• ¿Cuánto durará el encargo? Un test de una aplicación real que termina en cuatro horas no ha ocurrido. De tres a cinco días laborables es una ventana normal para una aplicación pequeña.
• ¿Puedo ver un informe de muestra redactado? Esto lo zanja más rápido que nada. El formato, la profundidad, la justificación de severidad y la calidad de los pasos de reproducción se ven de inmediato. El mío está en informe de muestra.

Lo que un test realmente de bajo coste debe seguir incluyendo

El presupuesto es una restricción legítima y debería reducir el alcance, nunca el estándar. Incluso en la parte baja de un rango de precios sensato, todo esto debería estar presente.

• Testing manual por un tester con nombre y certificado, no solo herramientas.
• Testing autenticado contra cada rol de usuario en alcance.
• Testing de lógica de negocio, no solo la lista OWASP Top 10.
• Hallazgos valorados con justificación declarada, no un color sin explicar.
• Pasos de reproducción que un ingeniero pueda seguir sin preguntarle nada.
• Notificación inmediata de cualquier hallazgo crítico, durante el test y no al final.
• Soporte de remediación mientras corrige y un retest después.
• Una carta de atestación que pueda enviar a un cliente o a un evaluador.

Si a un presupuesto le faltan varias de estas, no es más barato que las alternativas. Es un producto distinto y más pequeño que casualmente comparte nombre.

El argumento honesto para gastar más

Prefiero decir esto que fingir lo contrario. Hay situaciones en las que un encargo de bajo coste es la compra equivocada y debería presupuestar como es debido.

Los entornos grandes son una. Si tiene miles de hosts, varios dominios y una década de adquisiciones, el trabajo requiere realmente un equipo y un equipo cuesta lo que cuesta. Los ejercicios de red team son otra: simular a un adversario real durante semanas contra una capacidad de detección madura no es una actividad de presupuesto pequeño, y ese trabajo se dimensiona y se cobra de forma bastante distinta. Los regímenes que exigen testing dirigido por inteligencia, y algunos contextos financieros regulados, también esperan una escala que un solo tester en un plazo corto no puede producir. Y si su comprador ha especificado una firma concreta o una acreditación que solo se obtiene en un sitio, su restricción es de compras y no de seguridad.

Fuera de esos casos, para una aplicación o una red de tamaño pequeño o medio, el presupuesto caro suele comprarle gastos generales en lugar de profundidad.

Dónde se sitúan mis precios y por qué

El testing de aplicaciones web empieza en 500 $ y el trabajo de red y Active Directory en 1.500 $, a precio cerrado contra un alcance escrito, con soporte de remediación, retest y carta de atestación incluidos en lugar de facturados aparte. Es una cifra baja para los estándares del mercado y es baja por la primera razón de esta página, no por la segunda: no hay una firma alrededor del testing a la que financiar. Las horas son reales, el tester tiene nombre y certificación OSCP+, y el informe de muestra está publicado para que juzgue el resultado antes de gastar nada.

El desglose completo está en la página de coste del test de penetración y en la página de precios. Si un marco normativo impulsa su test, el testing impulsado por cumplimiento cubre qué evidencias espera cada régimen.