Cómo elegir un servicio de ethical hacking

La forma más rápida de evaluar un servicio de ethical hacking es pedir tres documentos antes de firmar: el alcance detallado por escrito, un ejemplo de informe real (con datos anonimizados) y la metodología que seguirá el equipo. Si un proveedor no puede mostrarte los tres, o evade cualquiera de ellos, busca otra opción. En esta guía encontrarás los criterios que una empresa debe usar para comparar proveedores, las señales de alerta que anticipan un mal servicio y las preguntas que todo comprador debe hacer antes de contratar.

El hacking ético es la práctica de probar la seguridad de sistemas, redes y aplicaciones con la autorización expresa de su propietario, con el objetivo de encontrar vulnerabilidades antes de que las exploten los ciberdelincuentes. Elegir bien al proveedor determina la calidad de los hallazgos que recibirás y, en última instancia, el retorno de tu inversión en seguridad.

Qué tipos de servicio existen y cuál necesita tu empresa

No todos los servicios de seguridad son iguales. Antes de pedir cotizaciones, identifica qué necesita tu organización:

Servicio	Qué evalúa	Cuándo pedirlo
Prueba de penetración (pentest) web	Aplicaciones web y móviles frente a ataques reales simulados	Antes de lanzar una aplicación o después de cambios importantes en el código
Pentest de infraestructura	Red interna y externa, servidores, segmentación, configuraciones	Al menos una vez al año, o tras cambios en la red
Análisis de vulnerabilidades	Detección automatizada de debilidades conocidas, sin explotación manual	Como control periódico o complemento del pentest, nunca como sustituto
Ejercicio de ingeniería social	La respuesta del personal ante phishing y manipulación	Cuando el riesgo principal está en las personas, no en la tecnología
Auditoría de seguridad	Políticas, procedimientos y cumplimiento frente a estándares como ISO 27001	Para procesos de certificación o cumplimiento normativo

Si necesitas entender mejor en qué consiste cada prueba, consulta cómo funciona el hacking ético y la diferencia entre hacking ético y pentesting.

Criterios para elegir un proveedor de ethical hacking

1. Alcance definido por escrito

El contrato o propuesta debe especificar exactamente qué se va a probar: direcciones IP, dominios, aplicaciones, rangos de red y qué queda fuera. Un alcance vago ("probar la seguridad de la empresa") produce informes vagos. Pide que el documento incluya:

• Activos dentro y fuera del alcance.
• Ventanas de prueba autorizadas y contactos técnicos.
• Qué tipos de pruebas están permitidas y cuáles no (por ejemplo, denegación de servicio).
• Cómo se manejará una interrupción accidental de un servicio durante la prueba.

2. Metodología estructurada y reconocida

El proveedor debe explicar la metodología que seguirá: fases de reconocimiento, análisis, explotación controlada y documentación de hallazgos. Existen marcos públicos de referencia —como la OWASP Testing Guide o el Penetration Testing Execution Standard (PTES)— que un equipo serio conoce y aplica. Si el proveedor no puede describir su metodología paso a paso, el resultado dependerá del criterio individual de quien ejecute, no de un proceso repetible. Más detalle sobre enfoques de trabajo en metodologías de hacking ético.

3. Calidad del informe de hallazgos

El informe es el producto que realmente compras. Pide un ejemplo anonimizado y verifica que contenga:

• Resumen ejecutivo en lenguaje de negocio, para la dirección.
• Detalle técnico por hallazgo: descripción, evidencia de la vulnerabilidad, impacto en tu operación y pasos concretos de remediación.
• Priorización: cada hallazgo clasificado por severidad, para saber qué corregir primero.
• Recomendaciones accionables, no párrafos genéricos copiados de internet.

Un informe de cinco páginas con hallazgos superficiales vale menos que uno detallado que tu equipo de TI pueda ejecutar sin adivinar.

4. Re-test posterior a la remediación

Corregir una vulnerabilidad sin verificar la corrección deja el trabajo a medias. Un buen proveedor incluye —o al menos ofrece— una segunda ronda de pruebas para confirmar que las remediaciones fueron efectivas y no introdujeron nuevos problemas. Pregunta explícitamente si el re-test está incluido en el precio o se cobra aparte.

5. Certificaciones y experiencia real del equipo

Verifica quién ejecutará la prueba, no solo quién la vende. Certificaciones reconocidas en la industria —como Certified Ethical Hacker (CEH) u Offensive Security Certified Professional (OSCP)— indican una base técnica verificada, pero no sustituyen la experiencia: pide saber cuántos años lleva el equipo haciendo pentesting y en qué sectores ha trabajado. Desconfía del proveedor que no te dice quién hará el trabajo.

6. Confidencialidad y marco legal

Toda prueba de intrusión debe realizarse bajo un acuerdo de confidencialidad (NDA) y una autorización formal firmada por quien tenga poder de decisión sobre los sistemas. Esto protege a ambas partes: a tu empresa, porque sus datos quedan bajo secreto profesional; y al proveedor, porque actúa con permiso explícito. Si un proveedor ofrece "probar sin que nadie se entere" o minimiza la parte legal, es una señal de alerta grave.

7. Comunicación durante la prueba

El proveedor debe mantenerte informado: un canal de contacto directo, reportes de avance y notificación inmediata si encuentra una vulnerabilidad crítica o si alguna prueba afecta la disponibilidad de un servicio. El silencio total hasta la entrega del informe final suele indicar desorganización.

8. Relación costo-valor, no solo precio

El pentest más barato rara vez es el mejor negocio. Compara qué incluye cada propuesta: alcance, días de prueba, profundidad del informe y re-test. Una prueba superficial que no encuentra nada porque no buscó lo suficiente es más cara que una prueba completa: te deja con una falsa sensación de seguridad. Pide propuestas comparables con el mismo alcance para decidir con datos.

Señales de alerta: cuándo desconfiar de un proveedor

• Garantiza "cero vulnerabilidades" o "seguridad total". Ninguna prueba seria puede prometer eso; solo puede afirmar que no encontró vulnerabilidades dentro del alcance y el tiempo acordados.
• No pide autorización formal ni propone un NDA. Operar sin marco legal es negligente.
• No muestra ejemplos de informes. Si el entregable es secreto, probablemente sea deficiente.
• Solo usa herramientas automatizadas. El escaneo automático es el punto de partida, no la prueba: la explotación manual y el análisis de un experto es lo que distingue un pentest de un simple escáner.
• El precio es sospechosamente bajo para el alcance. Suele significar pocas horas de trabajo real o personal sin experiencia.
• No habla de re-test. Quien no verifica correcciones no cierra el ciclo de seguridad.
• Promete resultados en plazos irreales. Un pentest serio de una aplicación o red mediana requiere días de trabajo, no horas.

Por qué la inversión se justifica

Contratar un servicio de ethical hacking permite identificar vulnerabilidades antes que los atacantes, proteger los datos de tus clientes, cumplir con estándares y regulaciones de seguridad, y demostrar a tus clientes y socios que la seguridad es una prioridad de tu empresa. Detectar una debilidad en una prueba controlada siempre cuesta menos que descubrirla durante un incidente real, con sistemas caídos, datos expuestos y reputación en juego.

Preguntas frecuentes antes de contratar

¿Cada cuánto debe hacerse una prueba de penetración?

Como mínimo una vez al año. Además, conviene repetirla cada vez que haya cambios significativos: lanzamiento de una aplicación nueva, migración a la nube, cambios importantes en la infraestructura o después de un incidente de seguridad.

¿Un análisis de vulnerabilidades reemplaza al pentest?

No. El análisis automatizado detecta debilidades conocidas de forma rápida, pero no confirma si son explotables ni encadena vulnerabilidades como lo haría un atacante real. Es un buen complemento y control periódico, pero el pentest con explotación manual es el que mide el riesgo real.

¿La prueba puede tumbar mis sistemas?

Un proveedor profesional diseña las pruebas para no interrumpir la operación: trabaja en ventanas acordadas, evita técnicas disruptivas salvo autorización expresa y tiene un protocolo de comunicación si algo sale mal. Por eso el alcance por escrito y los contactos técnicos son indispensables.

¿Qué debo preparar antes de que empiece la prueba?

Define el alcance con el proveedor, firma la autorización y el NDA, designa un contacto técnico disponible durante las ventanas de prueba y asegúrate de tener respaldos actualizados de los sistemas críticos. El proveedor serio te entregará una lista de prerrequisitos antes de empezar.

¿El equipo necesita certificaciones específicas?

Las certificaciones reconocidas (CEH, OSCP, entre otras) son una buena señal de base técnica, pero evalúalas junto con la experiencia demostrable del equipo, la calidad de sus informes de ejemplo y las referencias de clientes anteriores. Ninguna certificación por sí sola garantiza un buen pentest.

¿Qué pasa después de recibir el informe?

Tu equipo corrige los hallazgos siguiendo la priorización del informe, y luego el proveedor ejecuta el re-test para verificar que las correcciones funcionaron. Los hallazgos no corregidos deben quedar registrados en tu plan de gestión de riesgos con un responsable y una fecha.

Da el siguiente paso con un equipo que cumple estos criterios

En Ethical Hacking Latam trabajamos con alcance definido por escrito, metodología estructurada, informes técnicos accionables con resumen ejecutivo y verificación posterior a la remediación. Si estás evaluando proveedores, compáranos con esta misma guía: pide una propuesta y juzga por ti mismo.

Solicita una cotización o agenda una llamada — cuéntanos qué sistemas necesitas evaluar y te proponemos el alcance adecuado para tu empresa.