Preguntas Clave para Evaluar Proveedores de Pentesting (2026)

TL;DR

• La mejor demo de pentesting no enseña solo herramientas: enseña metodología, alcance, gestión del riesgo, evidencia, comunicación ejecutiva y plan de mitigación. [1]
• Si el objetivo es presentar resultados a dirección, el proveedor debe transformar hallazgos técnicos en decisiones de negocio. [2]
• En España, NIS2 hace más importante que las pruebas de seguridad ayuden a evidenciar gestión de riesgos, continuidad, incidentes y cadena de suministro. [3]

Por qué las preguntas importan

Un pentest mal definido puede producir un informe largo pero poco accionable. [1] NIST SP 800-115 indica que las pruebas técnicas deben planificarse, ejecutarse, analizar hallazgos y desarrollar estrategias de mitigación; por eso la selección del proveedor debe evaluar todo el ciclo, no solo la fase de ataque. [1]

Preguntas estratégicas para la demo

1. ¿Cómo delimitan alcance, exclusiones y reglas de compromiso? La planificación reduce ambigüedad y evita pruebas que afecten activos fuera de alcance. [1]
2. ¿Qué metodología usan para priorizar hallazgos? La priorización debe considerar impacto, probabilidad, exposición y contexto del negocio. [2]
3. ¿Cómo separan evidencia técnica de resumen ejecutivo? Dirección necesita entender riesgo, decisión requerida y riesgo residual. [2]
4. ¿Qué entregables incluyen para remediación? Un buen informe debe proponer mitigaciones y permitir verificar correcciones. [1]
5. ¿Incluyen retest? Sin retest, la organización puede corregir sin evidencia de que el riesgo bajó. [1]
6. ¿Cómo tratan sistemas de terceros o cadena de suministro? NIS2 incorpora la seguridad de proveedores y relaciones con servicios externos dentro de la gestión de riesgos. [3]
7. ¿Qué experiencia tienen en el sector y tamaño de empresa? El contexto cambia la interpretación del riesgo, los controles y los tiempos de mitigación. [2]

Preguntas para la solicitud de propuesta

• ¿Qué perfiles participarán y cuántas horas tendrá cada fase? [1]
• ¿Qué ocurre si se detecta una vulnerabilidad crítica durante la prueba? [1]
• ¿Cómo documentan evidencias sin exponer información sensible innecesaria? [2]
• ¿Qué formato de reporte ejecutivo entregan y cómo se presenta a dirección? [2]
• ¿Cómo se integran los hallazgos con nuestro plan de riesgo y cumplimiento? [3]

Señales de alerta

• El proveedor promete “garantizar seguridad” tras una prueba puntual, aunque el riesgo de ciberseguridad requiere gestión continua. [2]
• El alcance no documenta reglas de compromiso, ventanas, contactos de emergencia y sistemas excluidos. [1]
• El reporte de ejemplo no incluye impacto, prioridad, mitigación y retest. [1]
• La demo se centra en herramientas, pero no explica cómo se comunican resultados a negocio. [2]

Mini checklist final

• [ ] Alcance y reglas de compromiso documentadas. [1]
• [ ] Metodología de priorización clara. [2]
• [ ] Informe ejecutivo y técnico separados. [1]
• [ ] Plan de mitigación y retest incluidos. [1]
• [ ] Evidencia útil para cumplimiento y dirección. [3]

PREGUNTAS FRECUENTES