Cuánto cuesta un pentesting para una empresa en Perú

Depende del alcance: número de sistemas, tipo de prueba (web, red, app, ingeniería social), profundidad y si incluye retest. Por eso un precio cerrado sin alcance definido es una señal de alerta. Pide propuestas con alcance por escrito y compara qué incluye cada una, no solo el monto.

Cada cuánto debe hacerse un pentesting

Según Cibersafety, al menos una vez al año para la mayoría de empresas y cada seis meses si la exposición es alta. Conviene además hacerlo después de cambios grandes, antes de lanzar sistemas con datos sensibles y después de un incidente.

Un pentesting puede dañar mis sistemas

Puede afectar el rendimiento o generar datos de prueba, por eso el alcance define qué está permitido, en qué horario y con qué avisos. Los ataques de denegación de servicio en producción suelen excluirse. Un contrato claro y un canal de comunicación durante la prueba reducen el riesgo.

Pentesting para empresas: cuándo hacerlo y qué pedir

Síguenos en:

Guía de pentesting para empresas en Perú: qué es, tipos (externo, interno, web, ingeniería social), fases, frecuencia, qué debe traer el informe y errores.

Qué es y por qué se contrata

Diario Gestión (artículo del 1 de mayo de 2025, consultado el 08/09/2026) describe el pentesting como poner a prueba los sistemas mediante simulaciones de ataques realizadas por hackers éticos, con el objetivo de identificar vulnerabilidades antes de que los cibercriminales las exploten. El mismo artículo recoge que empresas como Yape y Lima Airport Partners contratan este servicio en Perú, y que la demanda se concentra en el sector financiero, tecnología y salud, según el proveedor entrevistado.

Para una empresa mediana la lógica es la misma que para un banco, con menos presupuesto: si tu web recibe pagos, tu app guarda datos de clientes o tu sistema interno controla inventario y facturación, alguien puede intentar entrar. Descubrir el hueco con un pentesting cuesta mucho menos que descubrirlo con un incidente. El contexto general del riesgo lo desarrollamos en ciberseguridad en la empresa.

Tipos de pentesting

Cibersafety (artículo consultado el 08/09/2026) describe las modalidades más comunes:

De red externo: simula el ataque de un actor externo que intenta penetrar en la red desde internet. Cubre servidores expuestos, VPN, correo, dominios.
De red interno: simula a un atacante que ya consiguió acceso a la red interna (un empleado malicioso o un equipo infectado) y busca hasta dónde llega.
De aplicaciones web: revisa la web o el sistema web siguiendo, entre otras referencias, el OWASP Top 10 de vulnerabilidades más críticas: inyecciones, fallos de autenticación, exposición de datos, configuraciones inseguras.
De aplicaciones móviles y APIs: la app y los servicios con los que conversa.
De ingeniería social: evalúa la resistencia de los empleados frente a ataques de phishing y suplantación.
Red Team: el nivel más avanzado; un equipo de atacantes trabaja durante semanas o meses combinando todas las anteriores con objetivos concretos.

Además se distingue por la información que se entrega al equipo: de caja negra (sin información previa, como un atacante externo), de caja gris (con un usuario y documentación parcial) y de caja blanca (con acceso al código y la arquitectura). Para una web o app propia, el enfoque de caja gris suele dar la mejor relación entre costo y hallazgos.

Pentesting no es lo mismo que escaneo de vulnerabilidades

Un escaneo de vulnerabilidades es una herramienta automática que compara tus sistemas con una base de fallos conocidos y devuelve una lista. Es barato, rápido y conviene ejecutarlo con frecuencia, pero no encadena fallos, no entiende la lógica de tu negocio y produce falsos positivos. El pentesting parte de esa lista y va más allá: intenta explotar los fallos, combinarlos y llegar a datos o funciones críticas. Un proveedor que entrega solo el reporte de una herramienta no hizo un pentesting.

Las fases de un pentesting

Cibersafety describe cinco fases: reconocimiento, escaneo y enumeración, explotación de vulnerabilidades, postexplotación y escalada de privilegios, e informe y recomendaciones. En la práctica, antes de todo hay una fase cero que define el éxito del proyecto: el alcance. Qué sistemas entran, qué está prohibido (por ejemplo, ataques de denegación de servicio en producción), en qué horario, con qué credenciales y a quién se avisa si algo se rompe. Todo por escrito y firmado por ambas partes.

Ese documento importa también legalmente: en Perú, la Ley 30096, Ley de Delitos Informáticos, sanciona el acceso ilícito a sistemas; la autorización expresa de la empresa es lo que convierte un ataque en una prueba. Y si los sistemas tratan datos personales, la Ley 29733 y su reglamento, el Decreto Supremo 016-2024-JUS, exigen medidas de seguridad; un pentesting periódico es una de las formas de demostrar que existen. Estas menciones son orientativas y no reemplazan asesoría legal.

Cada cuánto hacerlo

Cibersafety señala como práctica recomendada al menos una vez al año para la mayoría de empresas, y cada seis meses para empresas con alta exposición al riesgo. A ese calendario conviene sumar tres disparadores: después de un cambio grande (nueva app, migración de servidor, integración con una pasarela de pagos), antes de un lanzamiento con datos sensibles y después de un incidente. Entre pentestings, el escaneo automático y las actualizaciones de seguridad cubren el día a día; ese mantenimiento continuo lo describimos en mantenimiento web: seguridad y rendimiento.

Qué debe traer el informe

Resumen ejecutivo en lenguaje de negocio: qué se probó, qué se encontró, qué riesgo representa.
Hallazgos clasificados por severidad (crítica, alta, media, baja) con evidencia reproducible: pasos, capturas, solicitudes.
Impacto de negocio de cada hallazgo: a qué datos o funciones se llegó.
Recomendaciones concretas de corrección, priorizadas.
Alcance y metodología, con lo que no se probó.
Retest: una segunda verificación, incluida o cotizada, para confirmar que las correcciones funcionan.

Sin retest, el pentesting termina en un PDF y las vulnerabilidades siguen ahí. Exígelo en la propuesta.

Cómo elegir al proveedor

Pide referencias de proyectos parecidos al tuyo, certificaciones del equipo, un modelo de informe anonimizado y un contrato de confidencialidad. Desconfía de precios cerrados sin haber definido el alcance y de promesas de dejar el sistema cien por ciento seguro: ningún pentesting lo garantiza. Es también un buen filtro para tus proveedores de desarrollo: una agencia seria acepta que un tercero pruebe lo que construyó y corrige los hallazgos dentro de la garantía; ese criterio se suma a los de qué evaluar al elegir tu agencia web y a las condiciones de outsourcing de desarrollo de software.

Recuerda que parte de tu superficie de ataque está en terceros: hosting, DNS, CDN, pasarelas. Los pentestings no suelen cubrir la infraestructura del proveedor, así que revisa sus certificaciones y su plan ante caídas; hay una lección reciente en la caída de Cloudflare y recomendaciones básicas en hosting y dominio.

Errores frecuentes

Hacer el pentesting y no corregir: el informe vence en semanas.
Probar solo la web y olvidar la API, la app móvil y el panel administrativo.
No incluir ingeniería social cuando el mayor riesgo son las credenciales de los empleados.
No avisar al equipo de operaciones y confundir la prueba con un ataque real.
Contratar por precio sin definir alcance ni retest.

Las prácticas que reducen hallazgos antes de la prueba (contraseñas, doble factor, actualizaciones, copias de seguridad) están en mejores prácticas de ciberseguridad empresarial.

Qué hacer ahora

Haz una lista de tus activos expuestos: web, app, API, panel administrativo, correo, VPN, servidores. Marca cuáles tratan pagos o datos personales y cuándo fue la última prueba de seguridad de cada uno. Con esa lista podrás pedir una propuesta con alcance y retest. Si quieres que revisemos tu arquitectura, coordinemos un pentesting con un proveedor especializado y corrijamos los hallazgos en tu web o tu sistema, escríbenos por WhatsApp.