Pentesting (test de penetración)

El mercado global de pentesting alcanzó los 2.740 millones de dólares en 2025, con una proyección de 7.410 millones para 2034 (Fortune Business Insights). En España, el mercado de pentesting se valoró en 44,29 millones de dólares en 2025, con un crecimiento del 15,6% anual, impulsado por el RGPD (Art. 32) y la Directiva NIS2 que exigen tests de seguridad regulares. Más del 70% de las empresas ya utilizan Penetration Testing as a Service (PTaaS), reflejando la evolución hacia modelos de testing continuo frente al pentesting puntual tradicional (Cyphere, 2025).

Definición técnica

El pentesting (penetration testing o test de penetración) es una evaluación de seguridad técnica en la que profesionales autorizados simulan ataques cibernéticos reales contra la infraestructura, aplicaciones o sistemas de una organización para identificar vulnerabilidades explotables. A diferencia del análisis de vulnerabilidades (que solo identifica debilidades potenciales), el pentesting demuestra activamente que las vulnerabilidades son explotables y documenta el impacto real de su explotación.

Tipos de pentesting por conocimiento previo:

Tipos de pentesting por objetivo:

Metodología de un pentesting profesional

Pentesting y peritaje forense: la conexión clave

Para un perito informático forense, el pentesting es relevante en varios escenarios:

Escenarios donde pentesting y forense se encuentran:

Valor probatorio del informe de pentesting:

• Un informe de pentesting realizado antes de una brecha que documentó la vulnerabilidad explotada es evidencia de conocimiento previo y posible negligencia si no se remedió
• La ausencia de pentesting puede considerarse incumplimiento del Art. 32 RGPD (“evaluaciones regulares de la eficacia de las medidas técnicas”)
• Los informes de pentesting son admisibles como prueba pericial en tribunales españoles cuando cumplen los estándares de documentación

Caso práctico: pentesting como prueba de negligencia tras ransomware

Nota: El siguiente caso es un ejemplo compuesto y anonimizado basado en tipologías reales de peritaje informático. No representa un caso específico real.

Contexto: Un hospital privado de Barcelona sufrió un ataque de ransomware que cifró los sistemas de historial clínico, paralizando la actividad durante 5 días y afectando datos de 120.000 pacientes. La aseguradora (póliza de ciberseguro) denegó la cobertura alegando incumplimiento de los requisitos de seguridad de la póliza, que incluían “penetration testing anual”.

Investigación forense:

1. Revisión del pentesting: El hospital había contratado un pentesting 8 meses antes del ataque. El informe identificaba 3 vulnerabilidades críticas: RDP expuesto a internet sin MFA, controlador de dominio sin parchear (EternalBlue), y contraseñas débiles en cuentas de administración
2. Estado de remediación: El perito forense verificó que NINGUNA de las 3 vulnerabilidades críticas había sido remediada en los 8 meses transcurridos. Los parches pendientes se documentaron en los logs de Windows Update
3. Vector de ataque: El ransomware entró por el RDP expuesto (exactamente la vulnerabilidad documentada en el pentesting), utilizó EternalBlue para movimiento lateral, y las contraseñas débiles facilitaron el acceso al Domain Admin
4. Cadena de responsabilidad: El perito documentó que las tres vulnerabilidades identificadas en el pentesting fueron las tres explotadas en el ataque, demostrando negligencia en la remediación

Resultado: El informe pericial determinó que el hospital tenía conocimiento documentado de las vulnerabilidades (informe de pentesting) y no actuó para remediarlas. La AEPD impuso sanción de 500.000 EUR por infracción grave del RGPD (datos de salud desprotegidos). La aseguradora fue respaldada judicialmente en la denegación de cobertura por incumplimiento de requisitos de la póliza.

Marco legal en España

Autorización obligatoria:

• Art. 197 bis CP: Realizar un pentesting SIN autorización escrita del titular del sistema constituye delito de acceso ilícito a sistemas informáticos, con penas de 6 meses a 2 años de prisión. La autorización debe ser explícita, por escrito, con alcance definido
• Consentimiento informado: La organización que autoriza el pentesting debe tener competencia legal para hacerlo (propiedad o gestión de los sistemas). Un pentesting contra infraestructura de terceros (hosting, cloud) requiere autorización del proveedor

Obligación regulatoria de testing:

• Art. 32 RGPD: “un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento”. El pentesting es la forma más directa de cumplir este requisito
• Directiva NIS2 (transpuesta como RDL 7/2025): Art. 21 exige “políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad”, incluyendo pentesting
• DORA (Reglamento UE 2022/2554): Obliga a entidades financieras a realizar “testing de penetración guiado por amenazas” (TLPT) periódicamente
• ENS (RD 311/2022): El Esquema Nacional de Seguridad exige auditorías de seguridad que incluyen pruebas de intrusión para sistemas de nivel alto

Estándares profesionales:

• PTES (Penetration Testing Execution Standard): Estándar metodológico de referencia
• OWASP Testing Guide: Guía específica para pentesting de aplicaciones web
• OSSTMM (Open Source Security Testing Methodology Manual): Metodología integral de testing de seguridad
• CREST: Certificación profesional de pentesters reconocida internacionalmente

Conceptos relacionados

• WAF (Web Application Firewall) - Los pentesting web evalúan la eficacia del WAF
• Inyección SQL - Una de las vulnerabilidades más buscadas en pentesting web
• XSS (Cross-Site Scripting) - Otra vulnerabilidad prioritaria en pentesting de aplicaciones
• Escalada de privilegios - Técnica de post-explotación evaluada en pentesting
• Brecha de datos - El pentesting previene brechas; su ausencia agrava la responsabilidad
• OSINT - Fase de reconocimiento en todo pentesting

Preguntas frecuentes

¿Cada cuánto tiempo hay que hacer un pentesting?

No existe una frecuencia universal obligatoria por ley, pero el Art. 32 del RGPD exige evaluaciones “regulares”. Las mejores prácticas recomiendan: pentesting completo al menos una vez al año, pentesting adicional tras cambios significativos en la infraestructura (migración cloud, nueva aplicación, cambio de proveedor), y testing continuo (PTaaS) para aplicaciones web críticas. Las entidades financieras bajo DORA deben realizar TLPT cada 3 años como mínimo.

¿Cuánto cuesta un pentesting?

En España, los precios varían según el alcance. Un pentesting web básico de una aplicación puede costar 2.000-5.000 EUR. Un pentesting de infraestructura de red de tamaño medio oscila entre 5.000-15.000 EUR. Un Red Team completo (simulación de APT durante semanas) puede alcanzar 30.000-80.000 EUR. Los precios del mercado español están por debajo de la media europea (44,29 millones USD de mercado total en 2025).

¿Puede un perito informático hacer pentesting?

Si, si tiene las competencias técnicas necesarias y la autorización escrita del titular. Sin embargo, pentesting y peritaje son funciones distintas. El pentester evalúa la seguridad antes de un incidente; el perito investiga después. Si un perito realizó el pentesting previo, podría argumentarse conflicto de intereses si luego debe peritar un incidente en la misma organización. Es recomendable separar ambas funciones.

¿Qué ocurre si el pentesting causa daños en los sistemas?

El contrato de pentesting debe incluir una cláusula de limitación de responsabilidad y un protocolo para incidentes accidentales. El pentester profesional toma precauciones: trabajar en horarios de bajo tráfico, tener backup antes de tests destructivos, y mantener comunicación con el equipo de IT del cliente. Si se causa un daño por negligencia, la responsabilidad contractual recae en el pentester (o su empresa). Por eso es fundamental que los pentesters tengan seguro de responsabilidad civil profesional.

Herramientas habituales de pentesting

El ecosistema de herramientas de pentesting combina soluciones open-source y comerciales:

Herramientas de reconocimiento y escaneo:

Herramientas de explotación:

Herramientas de post-explotación:

Entregables de un pentesting profesional

Un informe de pentesting de calidad debe incluir los siguientes componentes:

Estructura del informe:

1. Resumen ejecutivo: Visión de alto nivel para dirección y consejo, sin jerga técnica. Nivel de riesgo global, hallazgos críticos, y recomendaciones prioritarias
2. Alcance y metodología: Sistemas evaluados, tipo de test (black/grey/white box), período de ejecución, estándares seguidos (PTES, OWASP), y herramientas utilizadas
3. Hallazgos clasificados por severidad: Cada vulnerabilidad documentada con:
   • Identificador único y título descriptivo
   • Severidad (Crítica/Alta/Media/Baja/Informativa) según CVSS v3.1
   • Descripción técnica detallada
   • Evidencia de explotación (capturas de pantalla, logs)
   • Impacto de negocio
   • Recomendación de remediación con prioridad
   • Referencia a CWE/CVE cuando aplique
4. Matriz de riesgos: Visualización de vulnerabilidades por probabilidad e impacto
5. Plan de remediación priorizado: Acciones ordenadas por criticidad con tiempos estimados
6. Anexos técnicos: Logs completos, código de exploits personalizados, configuraciones analizadas

Certificaciones profesionales de pentesting

Certificaciones más reconocidas:

Relevancia en el mercado español:

En España, las certificaciones más valoradas para pentesters son OSCP (considerada la más práctica y exigente), CREST (reconocida en el ámbito europeo y requerida por algunos contratos gubernamentales), y GPEN (asociada a la formación SANS, de prestigio académico). Para informes periciales, las certificaciones del pentester que realizó el test refuerzan la credibilidad del informe.

Pentesting continuo vs puntual

Evolución del modelo de servicio:

El modelo tradicional de pentesting puntual (una vez al año) está siendo reemplazado por enfoques de testing continuo:

Recomendación para el mercado español: Las PYMEs españolas (que representan el 99,8% del tejido empresarial) suelen beneficiarse más de un pentesting web anual (2.000-5.000 EUR) complementado con escaneo automatizado de vulnerabilidades mensual, que de un Red Team completo fuera de su presupuesto.

Referencias y fuentes

1. Fortune Business Insights - “Penetration Testing Market Size: USD 2.74 billion in 2025, projected USD 7.41 billion by 2034”. fortunebusinessinsights.com

2. Cognitive Market Research - “Spain Penetration Testing market: USD 44.29 million in 2025, CAGR 15.6%”. cognitivemarketresearch.com

3. Cyphere - “Penetration Testing Statistics, Trends and Facts 2026: 70%+ firms using PTaaS”. thecyphere.com

4. RGPD - Reglamento (UE) 2016/679, Art. 32 sobre seguridad del tratamiento. eur-lex.europa.eu

5. Directiva NIS2 - Directiva (UE) 2022/2555, Art. 21 sobre medidas de gestión de riesgos. eur-lex.europa.eu

6. DORA - Reglamento (UE) 2022/2554 sobre resiliencia operativa digital, Art. 26-27. eur-lex.europa.eu

7. OWASP - “Web Security Testing Guide”, guía completa de pentesting web. owasp.org

8. PTES - “Penetration Testing Execution Standard”. pentest-standard.org

9. Código Penal - Art. 197 bis sobre acceso ilícito a sistemas informáticos. boe.es

10. DeepStrike - “Top Penetration Testing Companies in Spain 2025”. deepstrike.io