Un cliente grande te pide "evidencia de pruebas de seguridad" para seguir trabajando contigo. Pides tres cotizaciones y llegan tres cosas distintas con tres precios muy distintos. No es que alguien te esté estafando: es que "pruebas de seguridad" son dos servicios diferentes, y conviene saber cuál te pidieron antes de pagar el otro.
El análisis de vulnerabilidades: el inventario
Un análisis de vulnerabilidades revisa, de forma sistemática y en gran parte automatizada, qué tienes expuesto: versiones de software sin actualizar, configuraciones por defecto, puertos abiertos, parches que faltan. El resultado es una lista, ordenada por gravedad, de todo lo que un atacante podría aprovechar.
Es amplio y relativamente rápido. Te dice dónde están las ventanas abiertas. No te dice si alguien puede entrar por ellas ni qué alcanzaría una vez adentro.
El pentesting: el ataque controlado
Una prueba de penetración es otra cosa: una persona, con permiso por escrito y un alcance acordado, intenta entrar como lo haría un atacante real. Encadena fallas: una contraseña débil que lleva a un servidor, un servidor que lleva a una base de datos, una base de datos que lleva a la nómina.
Es profundo y manual. Te dice no solo que la ventana estaba abierta, sino que por ahí se llegó a la caja fuerte, y cómo. Cuesta más porque son horas de una persona especializada, no de un programa.
Ya ves la diferencia. Lo que sigue es la pregunta de verdad: cuál va primero.
Cuál primero
Casi siempre, el análisis de vulnerabilidades. Hacer un pentesting sobre una infraestructura que nunca se ha revisado es pagarle a un especialista por encontrar lo que un escaneo habría listado en una tarde. Primero se cierra lo evidente; después se prueba si lo que queda aguanta.
Las excepciones: cuando vas a lanzar una aplicación nueva (ahí el pentesting sobre la aplicación va primero) y cuando un cliente o un regulador te pide expresamente una prueba de penetración con fecha.
Cada cuánto
- Análisis de vulnerabilidades: de forma continua o al menos trimestral, porque cada semana salen fallas nuevas en software que ya tienes.
- Pentesting: al menos una vez al año, y después de cualquier cambio grande: una aplicación nueva, una migración a la nube, una fusión.
Qué recibe la dirección
De cualquiera de los dos, un reporte con dos partes. La técnica: cada hallazgo, su gravedad, cómo se reproduce y cómo se corrige, para que TI lo ejecute. Y la ejecutiva: qué significa para el negocio, en una página, para quien decide el presupuesto. Si una cotización no incluye la segunda parte, el reporte se va a quedar en un cajón de TI.
Y una regla que vale para los dos: se planean contigo. Alcance, horarios y qué queda fuera. Las pruebas que podrían afectar la operación se hacen en ventanas acordadas o en ambientes de prueba, nunca un martes a media mañana sin avisar.
Preguntas frecuentes
¿Qué diferencia hay entre pentesting y análisis de vulnerabilidades?
El análisis es un inventario, en gran parte automatizado, de lo que tienes expuesto. El pentesting es un ataque controlado y manual que prueba hasta dónde se puede llegar.
¿Cuál hago primero?
Casi siempre el análisis de vulnerabilidades, para cerrar lo evidente. El pentesting va después, o primero si lanzas una aplicación nueva.
¿Las pruebas pueden tirar mis sistemas?
Se planean contigo: alcance, horarios y exclusiones. Lo que podría afectar la operación se hace en ventanas acordadas o en ambientes de prueba.