Descubre exactamente por dónde podrían entrar los atacantes

No. Usamos métodos de prueba controlados con reglas de compromiso definidas. Antes de empezar, acordamos los límites de las pruebas, ventanas de tiempo y contactos de emergencia. Nuestros testers saben cómo probar agresivamente sin causar interrupciones. Nunca hemos interrumpido los sistemas de producción de un cliente.

Un escaneo de vulnerabilidades (como SeguriScan) comprueba automáticamente problemas conocidos — es rápido, se ejecuta semanalmente y cubre una superficie amplia. Una prueba de penetración va más allá: expertos humanos intentan explotar las vulnerabilidades, encadenarlas, probar la lógica de negocio y encontrar problemas que las herramientas automatizadas no detectan. Piensa en el escaneo como un dispositivo de monitoreo de salud; un pentest es un examen médico completo.

Nuestro equipo tiene OSCP (Offensive Security Certified Professional), CEH (Certified Ethical Hacker) y sigue la metodología OWASP Testing Guide. Operamos bajo el Penetration Testing Execution Standard (PTES) y alineamos los hallazgos con el framework MITRE ATT&CK.

Sí. Cada compromiso incluye una carta de atestación confirmando que la prueba de penetración fue realizada por profesionales cualificados. Nuestros informes proporcionan evidencia técnica para los requisitos de pruebas de seguridad de NIS2, GDPR Artículo 32, SOC 2 CC7.1, PCI DSS Requisito 11.3 e ISO 27001 Anexo A.

Típicamente podemos comenzar dentro de las 48 horas posteriores a la llamada de alcance. La mayoría de los pentests externos se completan en 1–2 semanas. Las pruebas de aplicaciones web toman 1–2 semanas según la complejidad. Las evaluaciones de red team duran 2–4 semanas. Los compromisos urgentes están disponibles.

Para pentests externos — no. Probamos desde afuera, como un atacante real. Para pruebas de aplicaciones web, normalmente necesitamos cuentas de prueba en diferentes niveles de permisos. Para red teaming — comenzamos sin acceso y vemos hasta dónde llegamos. Discutimos los requisitos exactos durante la llamada de alcance.

NIS2, GDPR, SOC 2 y PCI DSS requieren pruebas de seguridad regulares — y los auditores distinguen entre escaneo automatizado y pruebas de penetración dirigidas por expertos. Un escáner encuentra vulnerabilidades conocidas; un pentest prueba si esas vulnerabilidades (y las que los escáneres no detectan) pueden ser realmente explotadas. La mayoría de los frameworks de cumplimiento requieren ambos.

Sí, y se está convirtiendo en el estándar. Los clientes empresariales cada vez más requieren informes de pentest de terceros de sus proveedores antes de firmar contratos. Tener un informe reciente y profesional listo acelera tu ciclo de ventas y demuestra que tomas la seguridad tan en serio como tu cliente.

Firmamos un NDA antes de cada compromiso. Todos los hallazgos, credenciales y datos accedidos durante las pruebas están cifrados en tránsito y en reposo. Dentro de los 30 días posteriores a la entrega del informe, todos los datos de prueba se destruyen de forma segura. Podemos proporcionar un certificado de destrucción de datos si lo solicitas. Nuestro proceso cumple con los requisitos de manejo de datos del GDPR.