Cuando una empresa pide precio de un pentest o de un servicio de hacking ético, suele recibir ofertas que no se parecen en nada: unas por unos pocos días de trabajo y otras por varias semanas. La diferencia casi nunca es el margen del proveedor: es que no están cotizando la misma prueba. Esta guía le explica qué mueve el valor para que pueda pedir y comparar cotizaciones con criterio.
Respuesta rápida
Un pentest se cotiza por alcance: cuántos sistemas, qué tipo de prueba y cuánta profundidad manual. No hay una tarifa de lista. Para comparar, pida a cada proveedor el mismo alcance, la metodología que usa, un informe de ejemplo y si incluye re-test.
Los seis factores que mueven el precio
Alcance técnico
Cuántas direcciones IP, servidores, aplicaciones web, APIs o apps móviles entran en la prueba. Es lo que más mueve el valor.
Tipo de prueba
Externa (lo que se ve desde internet), interna (desde la red de la empresa), aplicaciones web, móviles o ingeniería social. Cada una exige trabajo distinto.
Caja negra, gris o blanca
Cuánta información recibe el equipo: nada (simula un atacante externo), credenciales de usuario o acceso al código y la arquitectura.
Profundidad manual
Un escaneo automatizado es rápido; la explotación manual, el encadenamiento de fallas y la validación de falsos positivos toman horas de especialista.
Condiciones de la prueba
Pruebas en producción, en horario no laboral o con ventanas de mantenimiento requieren más coordinación.
Entregables y re-test
Informe ejecutivo y técnico, sesión de cierre con su equipo y una segunda prueba para confirmar que las correcciones funcionan.
Qué tipo de pentest necesita
| Prueba | Qué revisa | Para quién |
|---|---|---|
| Pentest externo | Servicios expuestos a internet: firewall, VPN, correo, portales y servidores públicos. | Toda empresa con servicios publicados. |
| Pentest interno | Lo que podría hacer un atacante que ya entró a la red: movimiento lateral, privilegios, Active Directory. | Empresas con muchas sedes o usuarios. |
| Aplicaciones web y APIs | Autenticación, permisos, inyecciones y lógica de negocio, con la guía OWASP. | Portales de clientes, comercio electrónico, trámites en línea. |
| Ingeniería social | Phishing simulado y llamadas para medir cómo responden las personas. | Organizaciones que quieren medir el riesgo humano. |
Si el pentest es para la certificación, lea Pentesting para ISO 27001: qué pide la norma.
Pentest o escaneo de vulnerabilidades: la diferencia que explica el precio
Un escaneo de vulnerabilidades lo hace una herramienta: revisa versiones y configuraciones y entrega una lista de fallas conocidas, con falsos positivos incluidos. Un pentest usa ese escaneo como punto de partida, y luego un especialista intenta explotar las fallas de forma controlada, las encadena y demuestra qué podría lograr un atacante real.
Los dos sirven, pero para cosas distintas. El escaneo es ideal para revisar de forma continua; el pentest, para medir el riesgo real y como evidencia ante auditores. Si quiere escaneo y corrección continuos, vea remediación automatizada con Vicarius.
Qué tener a mano para cotizar
- 1
Lista de direcciones IP, dominios y aplicaciones que quiere probar.
- 2
Si las aplicaciones tienen usuarios con diferentes roles y cuántos.
- 3
Si la prueba puede hacerse en producción o hay un ambiente de pruebas.
- 4
Horarios permitidos y personas de contacto ante un hallazgo crítico.
- 5
Para qué necesita el informe: ISO 27001, PCI DSS, Superfinanciera, un cliente o una licitación.
- 6
Si necesita re-test y en qué plazo planea corregir.
Cinco señales de alerta en una cotización
Precio por IP sin preguntar nada
Si nadie le pregunta qué hay detrás de cada IP, probablemente le van a vender un escaneo automático.
Informe que es la salida de la herramienta
Un buen informe prioriza por impacto, muestra evidencia y explica cómo corregir. Pida un ejemplo anonimizado.
Sin autorización escrita
Sin contrato de alcance y autorización, la prueba puede ser un delito según la Ley 1273 de 2009.
Sin metodología declarada
Pregunte qué marco siguen: NIST SP 800-115, OWASP WSTG u otro reconocido.
Sin re-test
Sin una segunda prueba no hay forma de demostrar al auditor que las fallas se corrigieron.
Fuentes
Preguntas frecuentes
¿Cuánto cuesta un pentest en Colombia?
No hay una tarifa única. El valor depende del alcance (cuántas direcciones IP, servidores, aplicaciones web, APIs o apps móviles), del tipo de prueba (externa, interna, web, ingeniería social), de la información que se entrega al equipo (caja negra, gris o blanca), de la profundidad manual y de si incluye re-test. Una cotización seria empieza con una reunión de alcance, no con un precio por IP.
¿Por qué dos cotizaciones de pentest tienen precios tan distintos?
Casi siempre porque no cotizan lo mismo. Una puede ser un escaneo automatizado con un reporte de la herramienta y otra una prueba manual con explotación controlada, informe ejecutivo y re-test. Para comparar, pida el mismo alcance, la misma metodología y el mismo entregable.
¿Un escaneo de vulnerabilidades es lo mismo que un pentest?
No. El escaneo usa herramientas automáticas para listar vulnerabilidades conocidas. El pentest incluye el escaneo, pero un especialista intenta explotar las fallas de forma controlada, encadena hallazgos y descarta falsos positivos. Por eso cuesta más y entrega más evidencia.
¿Cuánto tiempo toma un pentest?
Depende del alcance. Una aplicación web suele tomar de una a dos semanas entre pruebas e informe, y una infraestructura completa más tiempo. Al cotizar, pida el cronograma con las fechas de pruebas, entrega de informe y re-test.
¿Es legal contratar un pentest?
Sí, con autorización escrita del dueño de los sistemas. Sin ella, la Ley 1273 de 2009 tipifica el acceso abusivo a un sistema informático. Por eso el contrato debe definir alcance, fechas, horarios y responsables antes de la primera prueba.
¿Cada cuánto debo hacer un pentest?
Lo habitual es al menos una vez al año y después de cambios importantes, como una aplicación nueva o una migración a la nube. Si su empresa procesa pagos con tarjeta, PCI DSS v4.0 exige pruebas de penetración internas y externas al menos cada 12 meses y tras cambios significativos.
¿Las entidades públicas pueden contratar el pentest por SECOP?
Sí. Star Solutions TI está inscrita en el RUP con la clase UNSPSC 81111800 y participa en procesos de SECOP. En estos casos conviene que el estudio previo defina con precisión el alcance, la metodología y el entregable, para que las ofertas sean comparables.
Pida una cotización con el alcance claro
En una reunión corta definimos qué probar, con qué metodología y qué informe necesita. Le enviamos una propuesta que puede comparar punto por punto con otras ofertas.
Ver servicio de hacking ético