Muchas empresas en proceso de certificación preguntan si ISO 27001 obliga a hacer pentesting. La respuesta corta es que la norma no lo nombra, pero sí exige demostrar que usted conoce y controla sus vulnerabilidades. Y la forma más sólida de demostrarlo es una prueba de penetración con informe.
Respuesta rápida
ISO/IEC 27001:2022 no exige un pentest de forma literal, pero los controles 8.8, 8.29 y 5.35 piden gestionar vulnerabilidades, probar la seguridad de los sistemas y revisarla de forma independiente. Un pentest anual, con retest y conectado a su tratamiento de riesgos, es la evidencia que la mayoría de auditores espera.
Hacking ético y pentesting: ¿son lo mismo?
Hacking ético es el concepto general: usar las técnicas de un atacante, con autorización, para encontrar fallas antes que él. El pentesting es una forma concreta de hacking ético, con alcance, fechas, metodología e informe formal. Para ISO 27001 lo que cuenta es el pentest, porque deja evidencia que el auditor puede revisar.
Qué controles de ISO 27001 cubre un pentest
Gestión de vulnerabilidades técnicas
Pide identificar vulnerabilidades, evaluar su exposición y corregirlas a tiempo. El pentest demuestra cuáles son explotables de verdad.
Pruebas de seguridad en desarrollo y aceptación
Las aplicaciones nuevas o modificadas deben probarse antes de salir a producción. Un pentest de la aplicación es la evidencia más directa.
Revisión independiente de la seguridad
La seguridad debe revisarla alguien independiente. Un pentester externo cumple ese papel.
Protección de los sistemas durante pruebas de auditoría
Las pruebas sobre sistemas en producción deben planearse y autorizarse para no afectar la operación. Aplica al propio pentest.
Inteligencia de amenazas
Los hallazgos del pentest muestran cómo atacaría alguien a su empresa y alimentan su análisis de amenazas.
Numeración del Anexo A de ISO/IEC 27001:2022.
Qué tipo de pentest necesita
| Tipo | Qué evalúa | Cuándo lo necesita |
|---|---|---|
| Externo | Lo que un atacante ve desde internet: sitio web, VPN, correo, servicios publicados. | Toda empresa certificada o en proceso. |
| Interno | Qué puede hacer alguien que ya está dentro de la red, como un empleado o un equipo infectado. | Empresas con red corporativa, sedes o Directorio Activo. |
| Aplicación web o móvil | Pruebas a la aplicación con la guía OWASP: autenticación, permisos, inyecciones, manejo de sesiones. | Si desarrolla o publica aplicaciones (control 8.29). |
| Ingeniería social | Simulaciones de phishing o llamadas para medir cómo reacciona el personal. | Para evidenciar el control 6.3 de concienciación. |
Las pruebas pueden ser de caja negra (sin información previa, como un atacante externo), caja gris (con un usuario común) o caja blanca (con documentación y acceso). Para ISO 27001, la caja gris suele dar el mejor equilibrio entre realismo y cobertura.
Cada cuánto hacer el pentest
ISO 27001 no fija una frecuencia: la define su propio análisis de riesgos. La práctica más común es una vez al año y después de cada cambio importante, como una aplicación nueva, una migración a la nube o un cambio de red.
Si su empresa procesa pagos con tarjeta, el estándar PCI DSS v4.0 sí lo exige: pruebas de penetración internas y externas al menos cada 12 meses y tras cambios significativos (requisito 11.4).
Cómo prepararlo, paso a paso
- 1
Defina el alcance con su análisis de riesgos
Pruebe primero los activos que están dentro del alcance del SGSI y que tienen mayor riesgo. No hace falta probar todo el primer año.
- 2
Firme autorización y reglas de enfrentamiento
Contrato, confidencialidad, horarios, sistemas excluidos y a quién avisar si aparece una falla crítica.
- 3
Ejecute la prueba con metodología reconocida
OWASP WSTG para aplicaciones, PTES o NIST SP 800-115 para infraestructura. El auditor valora que la metodología esté declarada.
- 4
Trate los hallazgos como riesgos
Cada hallazgo entra a su plan de tratamiento de riesgos con responsable, fecha y decisión (corregir, mitigar o aceptar).
- 5
Haga el retest y guarde la evidencia
La nueva prueba confirma qué se corrigió. Guarde el informe, el plan y el retest para la auditoría.
Qué debe tener el informe para el auditor
Resumen ejecutivo
Nivel de riesgo general y principales hallazgos en lenguaje para la dirección.
Alcance y metodología
Qué se probó, cuándo, desde dónde y con qué metodología.
Hallazgos con evidencia
Cada falla clasificada por riesgo, con capturas y pasos para reproducirla.
Recomendaciones y retest
Cómo corregir cada hallazgo y la confirmación de lo que ya se corrigió.
Error frecuente: entregar al auditor un informe sin plan de acción. El auditor no busca que usted no tenga vulnerabilidades, sino que las conozca, las trate y haga seguimiento.
Antes de contratar: es legal solo con autorización
En Colombia, la Ley 1273 de 2009 tipifica delitos como el acceso abusivo a un sistema informático. Un pentest es legal porque el dueño de los sistemas lo autoriza por escrito. Exija contrato, acuerdo de confidencialidad y documento de alcance firmado antes de cualquier prueba.
Fuentes
Preguntas frecuentes
¿ISO 27001 exige hacer pentesting?
La norma ISO/IEC 27001:2022 no usa la palabra "pentesting" ni obliga a una prueba específica. Sí exige gestionar las vulnerabilidades técnicas (control 8.8), probar la seguridad en el desarrollo y la aceptación de sistemas (8.29) y revisar de forma independiente la seguridad (5.35). En la práctica, un pentest es la forma más sólida de demostrar esos controles ante el auditor, y la mayoría de organismos certificadores lo esperan en empresas con sistemas expuestos a internet.
¿Qué diferencia hay entre hacking ético y pentesting?
Hacking ético es el término general: usar técnicas de un atacante, con autorización, para encontrar fallas. El pentesting o prueba de penetración es un tipo de hacking ético con alcance, tiempo y metodología definidos, y con un informe formal. Para ISO 27001, lo que sirve como evidencia es el pentest con informe.
¿Cada cuánto debo hacer un pentest para ISO 27001?
ISO 27001 no fija una frecuencia; la define su análisis de riesgos. Lo habitual es al menos una vez al año y después de cambios importantes, como una nueva aplicación, una migración a la nube o un cambio de red. Si su empresa procesa pagos con tarjeta, PCI DSS sí exige pruebas de penetración internas y externas al menos cada 12 meses y tras cambios significativos.
¿Sirve un escaneo de vulnerabilidades en lugar de un pentest?
El escaneo automático es útil y debe hacerse con frecuencia, pero no reemplaza al pentest. El escáner encuentra fallas conocidas; el pentester comprueba si se pueden explotar, encadena fallas y mide el impacto real. Para el auditor, lo ideal es tener ambos: escaneos periódicos y un pentest con informe.
¿Qué debe tener el informe de pentest para el auditor de ISO 27001?
Alcance y fechas, metodología usada, hallazgos clasificados por riesgo con evidencia, recomendaciones de corrección, un resumen ejecutivo para la dirección y el resultado de la nueva prueba (retest) que confirma qué se corrigió. El informe debe conectarse con su tratamiento de riesgos y su plan de acción.
¿Es legal hacer pentesting en Colombia?
Sí, siempre que exista autorización expresa y por escrito del dueño de los sistemas. Sin esa autorización, las mismas técnicas pueden constituir delitos de la Ley 1273 de 2009, como el acceso abusivo a un sistema informático. Por eso todo pentest serio inicia con un contrato, un acuerdo de confidencialidad y un documento de alcance firmado.
Pentest e ISO 27001 con una empresa certificada
Star Solutions TI tiene su sistema de gestión certificado en ISO/IEC 27001:2022 por SGS. Hacemos el pentest, el informe para el auditor y el retest, y si lo necesita, lo acompañamos en toda la certificación.