Pentesting (Test de Penetración)

Pentesting (test de penetración)

Las estimaciones de tamaño del mercado global de pentesting rondan los 2.700 millones de dólares en 2025, con proyecciones al alza para la próxima década, si bien proceden de consultoras de mercado comerciales y varían notablemente entre proveedores (Fortune Business Insights). Para España se publican estimaciones del orden de 44 millones de dólares en 2025 —de la misma clase de fuente comercial y de pago, con el mismo descargo—, impulsado por el RGPD (art. 32) y por la Directiva NIS2, pendiente aún de transposición en España. La tendencia del sector apunta hacia modelos de evaluación continua (Penetration Testing as a Service) frente al pentesting puntual, aunque no hay una medición independiente de cuántas empresas lo han adoptado: las cifras que circulan proceden de proveedores del propio servicio.

Definición técnica

El pentesting (penetration testing o test de penetración) es una evaluación de seguridad técnica en la que profesionales autorizados simulan ataques cibernéticos reales contra la infraestructura, aplicaciones o sistemas de una organización para identificar vulnerabilidades explotables. A diferencia del análisis de vulnerabilidades (que solo identifica debilidades potenciales), el pentesting demuestra activamente que las vulnerabilidades son explotables y documenta el impacto real de su explotación.

Tipos de pentesting por conocimiento previo:

Tipos de pentesting por objetivo:

Metodología de un pentesting profesional

Pentesting y peritaje forense: la conexión clave

Para un perito informático forense, el pentesting es relevante en varios escenarios:

Escenarios donde pentesting y forense se encuentran:

Valor probatorio del informe de pentesting:

• Un informe de pentesting realizado antes de una brecha que documentó la vulnerabilidad explotada es evidencia de conocimiento previo y posible negligencia si no se remedió
• La ausencia de pentesting puede considerarse incumplimiento del Art. 32 RGPD (“evaluaciones regulares de la eficacia de las medidas técnicas”)
• Un informe de pentesting puede aportarse como prueba pericial. Documentarlo bien no compra su admisión ni su valor: el tribunal lo pondera por sana crítica (art. 348 LEC). Lo que la documentación compra es poder responder a lo que pregunte la otra parte

Caso práctico: pentesting como prueba de negligencia tras ransomware

Nota: El siguiente caso es un ejemplo compuesto y anonimizado basado en tipologías reales de peritaje informático. No representa un caso específico real.

Contexto: Un hospital privado de Barcelona sufrió un ataque de ransomware que cifró los sistemas de historial clínico, paralizando la actividad durante 5 días y afectando datos de 120.000 pacientes. La aseguradora (póliza de ciberseguro) denegó la cobertura alegando incumplimiento de los requisitos de seguridad de la póliza, que incluían “penetration testing anual”.

Investigación forense:

1. Revisión del pentesting: El hospital había contratado un pentesting 8 meses antes del ataque. El informe identificaba 3 vulnerabilidades críticas: RDP expuesto a internet sin MFA, controlador de dominio sin parchear (EternalBlue), y contraseñas débiles en cuentas de administración
2. Estado de remediación: El perito forense verificó que NINGUNA de las 3 vulnerabilidades críticas había sido remediada en los 8 meses transcurridos. Los parches pendientes se documentaron en los logs de Windows Update
3. Vector de ataque: El ransomware entró por el RDP expuesto (exactamente la vulnerabilidad documentada en el pentesting), utilizó EternalBlue para movimiento lateral, y las contraseñas débiles facilitaron el acceso al Domain Admin
4. Cadena de responsabilidad: El perito documentó que las tres vulnerabilidades identificadas en el pentesting fueron las tres explotadas en el ataque, demostrando negligencia en la remediación

Resultado: El informe pericial determinó que el hospital tenía conocimiento documentado de las vulnerabilidades (informe de pentesting) y no actuó para remediarlas. Ese es el punto que interesa: el conocimiento documentado de una vulnerabilidad no remediada convierte una brecha en negligencia acreditable, y es lo que pondera la autoridad al graduar una sanción conforme al art. 83 del RGPD. Lo que el escenario no dice, y a propósito, es cómo terminó: ni la cuantía de una eventual sanción ni si la denegación de cobertura prosperó. Eso depende de la póliza concreta y de lo que decida un tribunal, y afirmarlo sería convertir un ejemplo en una afirmación sobre cómo resuelven los tribunales españoles.

Marco legal en España

Autorización obligatoria:

• Art. 197 bis CP: Realizar un pentesting SIN autorización escrita del titular del sistema constituye delito de acceso ilícito a sistemas informáticos, con penas de 6 meses a 2 años de prisión. La autorización debe ser explícita, por escrito, con alcance definido
• Consentimiento informado: La organización que autoriza el pentesting debe tener competencia legal para hacerlo (propiedad o gestión de los sistemas). Un pentesting contra infraestructura de terceros (hosting, cloud) requiere autorización del proveedor

Obligación regulatoria de testing:

• Art. 32 RGPD: “un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento”. El pentesting es la forma más directa de cumplir este requisito
• la Directiva NIS2 —todavía sin transponer en España: el plazo venció el 17 de octubre de 2024 y a día de hoy no hay ley de transposición publicada en el BOE—: su art. 21 exige “políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad”, incluyendo pentesting
• DORA (Reglamento UE 2022/2554): su art. 26.1 impone el testing avanzado guiado por amenazas (TLPT) solo a las entidades identificadas por la autoridad competente, excluidas las microempresas y las del art. 16.1. El resto queda en el programa ordinario de pruebas del art. 24, que no exige TLPT
• ENS (RD 311/2022): exige auditoría bienal de los sistemas de categoría MEDIA y ALTA. Cuidado con la escala: los niveles BAJO/MEDIO/ALTO califican cada dimensión de seguridad, y las categorías BÁSICA/MEDIA/ALTA califican el sistema

Estándares profesionales:

• PTES (Penetration Testing Execution Standard): metodología de referencia por su estructura de fases, aunque su documentación lleva sin actualizarse desde 2014
• OWASP Testing Guide: Guía específica para pentesting de aplicaciones web
• OSSTMM (Open Source Security Testing Methodology Manual): metodología integral, cuya última versión publicada es la 3.02, de 2010
• CREST: Certificación profesional de pentesters reconocida internacionalmente

Conceptos relacionados

• WAF (Web Application Firewall) - Los pentesting web evalúan la eficacia del WAF
• Inyección SQL - Una de las vulnerabilidades más buscadas en pentesting web
• XSS (Cross-Site Scripting) - Otra vulnerabilidad prioritaria en pentesting de aplicaciones
• Escalada de privilegios - Técnica de post-explotación evaluada en pentesting
• Brecha de datos - El pentesting previene brechas; su ausencia agrava la responsabilidad
• OSINT - Fase de reconocimiento en todo pentesting

Preguntas frecuentes

¿Cada cuánto tiempo hay que hacer un pentesting?

No existe una frecuencia universal obligatoria por ley, pero el Art. 32 del RGPD exige evaluaciones “regulares”. Las mejores prácticas recomiendan: pentesting completo al menos una vez al año, pentesting adicional tras cambios significativos en la infraestructura (migración cloud, nueva aplicación, cambio de proveedor), y testing continuo (PTaaS) para aplicaciones web críticas. Las entidades financieras bajo DORA deben realizar TLPT cada 3 años como mínimo.

¿Cuánto cuesta un pentesting?

En España, los precios varían según el alcance. Un pentesting web básico de una aplicación puede costar 2.000-5.000 EUR. Un pentesting de infraestructura de red de tamaño medio oscila entre 5.000-15.000 EUR. Un Red Team completo (simulación de APT durante semanas) puede alcanzar 30.000-80.000 EUR. Estas horquillas dependen sobre todo del alcance acordado y del tiempo de equipo, no de una tarifa estándar del sector: no existe un baremo publicado para pentesting en España.

¿Puede un perito informático hacer pentesting?

Sí, si tiene las competencias técnicas necesarias y la autorización escrita del titular. Sin embargo, pentesting y peritaje son funciones distintas. El pentester evalúa la seguridad antes de un incidente; el perito investiga después. Si un perito realizó el pentesting previo, podría argumentarse conflicto de intereses si luego debe peritar un incidente en la misma organización. Es recomendable separar ambas funciones.

¿Qué ocurre si el pentesting causa daños en los sistemas?

El contrato de pentesting debe incluir una cláusula de limitación de responsabilidad y un protocolo para incidentes accidentales. El pentester profesional toma precauciones: trabajar en horarios de bajo tráfico, tener backup antes de tests destructivos, y mantener comunicación con el equipo de IT del cliente. Si se causa un daño por negligencia, la responsabilidad contractual recae en el pentester (o su empresa). Por eso es fundamental que los pentesters tengan seguro de responsabilidad civil profesional.

Herramientas habituales de pentesting

El ecosistema de herramientas de pentesting combina soluciones open-source y comerciales:

Herramientas de reconocimiento y escaneo:

Herramientas de explotación:

Herramientas de post-explotación:

Entregables de un pentesting profesional

Un informe de pentesting de calidad debe incluir los siguientes componentes:

Estructura del informe:

1. Resumen ejecutivo: Visión de alto nivel para dirección y consejo, sin jerga técnica. Nivel de riesgo global, hallazgos críticos, y recomendaciones prioritarias
2. Alcance y metodología: Sistemas evaluados, tipo de test (black/grey/white box), período de ejecución, estándares seguidos (PTES, OWASP), y herramientas utilizadas
3. Hallazgos clasificados por severidad: Cada vulnerabilidad documentada con:
   • Identificador único y título descriptivo
   • Severidad (Crítica/Alta/Media/Baja/Informativa) según CVSS v3.1
   • Descripción técnica detallada
   • Evidencia de explotación (capturas de pantalla, logs)
   • Impacto de negocio
   • Recomendación de remediación con prioridad
   • Referencia a CWE/CVE cuando aplique
4. Matriz de riesgos: Visualización de vulnerabilidades por probabilidad e impacto
5. Plan de remediación priorizado: Acciones ordenadas por criticidad con tiempos estimados
6. Anexos técnicos: Logs completos, código de exploits personalizados, configuraciones analizadas

Certificaciones profesionales de pentesting

Certificaciones más reconocidas:

Relevancia en el mercado español:

En España, las certificaciones más valoradas para pentesters son OSCP (considerada la más práctica y exigente), CREST (reconocida en el ámbito europeo y requerida por algunos contratos gubernamentales), y GPEN (asociada a la formación SANS, de prestigio académico). Para informes periciales, las certificaciones del pentester que realizó el test refuerzan la credibilidad del informe.

Pentesting continuo vs puntual

Evolución del modelo de servicio:

El modelo tradicional de pentesting puntual (una vez al año) está siendo reemplazado por enfoques de testing continuo:

Recomendación para el mercado español: Las PYMEs españolas (que representan el 99,8% del tejido empresarial) suelen beneficiarse más de un pentesting web anual (2.000-5.000 EUR) complementado con escaneo automatizado de vulnerabilidades mensual, que de un Red Team completo fuera de su presupuesto.

Referencias y fuentes

1. Fortune Business Insights — estimación comercial de tamaño de mercado. Informe de pago; las cifras de este tipo de consultoras difieren entre sí y no son datos oficiales. fortunebusinessinsights.com

2. Cognitive Market Research — estimación comercial del mercado español. Mismo criterio: fuente de pago, no independiente. cognitivemarketresearch.com

3. RGPD - Reglamento (UE) 2016/679, Art. 32 sobre seguridad del tratamiento. eur-lex.europa.eu

4. Directiva NIS2 - Directiva (UE) 2022/2555, Art. 21 sobre medidas de gestión de riesgos. eur-lex.europa.eu

5. DORA — Reglamento (UE) 2022/2554 sobre resiliencia operativa digital, arts. 26-27. eur-lex.europa.eu

6. OWASP - “Web Security Testing Guide”, guía completa de pentesting web. owasp.org

7. PTES - “Penetration Testing Execution Standard”. pentest-standard.org

8. Código Penal - Art. 197 bis sobre acceso ilícito a sistemas informáticos. boe.es