¿Cuánto cuesta un Pentest en México? Es una pregunta habitual cuando una empresa comienza a evaluar proveedores de ciberseguridad. Sin embargo, no existe una tarifa única que pueda aplicarse a todas las organizaciones.
El precio depende de factores como el tipo de activos que serán evaluados, el alcance, la complejidad del entorno, la profundidad de las pruebas y los entregables solicitados. La guía NIST SP 800-115 contempla precisamente la planeación y definición del alcance como elementos relevantes de una evaluación de seguridad.
Por ello, dos empresas pueden recibir cotizaciones diferentes aunque ambas estén solicitando un servicio denominado “Pentest”.
Antes de comparar precios, conviene entender qué determina el costo y, sobre todo, qué incluye realmente cada propuesta.
¿Existe un precio promedio para un Pentest en México?
En el mercado pueden encontrarse precios y rangos muy diferentes. Sin embargo, utilizarlos como referencia sin conocer el alcance puede generar una comparación incorrecta.
Un Pentest no funciona como un producto estandarizado cuyo precio sea igual para todas las empresas.
Por ejemplo, evaluar una aplicación web con pocos componentes no requiere necesariamente el mismo esfuerzo que analizar una plataforma con múltiples usuarios, APIs, sistemas relacionados y diferentes niveles de acceso.
Lo mismo ocurre con una infraestructura que incorpora numerosos servidores, servicios, direcciones IP o componentes internos y externos.
Por esta razón, una cotización debería partir primero de la definición del alcance.
1. El alcance determina buena parte del costo de un Pentest
Una de las primeras variables es qué se va a evaluar.
El alcance puede incluir, dependiendo de las necesidades de la organización:
- Aplicaciones web.
- Aplicaciones móviles.
- APIs.
- Servidores.
- Infraestructura interna o externa.
- Redes y dispositivos.
- Diferentes perfiles de usuario.
- Otros activos previamente autorizados.
Mientras mayor sea el número de activos y componentes incluidos, mayor puede ser el esfuerzo necesario para realizar las pruebas.
Sin embargo, cantidad no significa necesariamente complejidad. Un único sistema con múltiples funcionalidades, integraciones o controles de acceso puede requerir una evaluación profunda.
Por ello, una cotización adecuada necesita comprender primero el entorno que será analizado. La guía de pruebas y evaluaciones de seguridad de NIST contempla la definición del alcance y los sistemas que serán evaluados dentro de la planeación de una evaluación técnica.
2. El tipo de Pentest también influye en el precio
No todas las pruebas de penetración persiguen exactamente el mismo objetivo.
Un Pentest puede realizarse desde diferentes perspectivas. Por ejemplo, puede evaluar la exposición externa de una organización o analizar qué podría ocurrir desde determinados accesos internos.
También existen modalidades como:
Caja negra: el equipo evaluador dispone de información limitada sobre el objetivo.
Caja gris: se proporciona determinada información o accesos para realizar las pruebas.
Caja blanca: existe un nivel mayor de conocimiento o acceso al entorno evaluado.
La modalidad adecuada depende del objetivo del ejercicio.
Por tanto, no debería elegirse simplemente en función de cuál resulte más económica, sino de qué escenario necesita evaluar la organización.
3. La complejidad tecnológica cambia el esfuerzo necesario
Dos aplicaciones pueden parecer similares desde fuera y, sin embargo, requerir esfuerzos completamente diferentes durante un Pentest.
Una aplicación puede incorporar autenticación, distintos perfiles de usuario, APIs, servicios externos, bases de datos o múltiples flujos de negocio.
Asimismo, una infraestructura puede incluir diferentes segmentos de red, servicios, sistemas operativos y mecanismos de acceso.
Cada componente adicional puede introducir escenarios que necesitan ser analizados.
Por esta razón, conocer únicamente el número de activos no siempre es suficiente para determinar el precio.
También debe considerarse su complejidad y la forma en que interactúan entre sí.
4. El tipo y profundidad del análisis también influyen en el precio
No todas las evaluaciones de seguridad tienen el mismo alcance. Por ello, al comparar propuestas es importante comprender qué actividades forman parte del servicio contratado.
En SecurED MX, el Análisis de Vulnerabilidades puede contratarse como un servicio independiente. Por otro lado, cuando una empresa contrata un Pentest, el Análisis de Vulnerabilidades ya forma parte de la evaluación.
En ambos servicios se utilizan herramientas automatizadas para apoyar la identificación de posibles vulnerabilidades. Sin embargo, el trabajo no termina con los resultados generados por estas herramientas.
Una parte importante del proceso consiste en analizar los hallazgos para identificar falsos positivos y determinar cuáles representan una vulnerabilidad relevante dentro del entorno evaluado.
Además, SecurED MX busca traducir los resultados técnicos al contexto del negocio. Esto permite analizar el impacto real que una vulnerabilidad podría representar para la organización, incluida la posible repercusión económica asociada con los escenarios de riesgo identificados.
Por ello, al solicitar una cotización conviene preguntar:
¿Estamos contratando únicamente un Análisis de Vulnerabilidades o un Pentest que ya incorpora dicho análisis?
También es importante conocer qué tratamiento recibirán los resultados obtenidos mediante herramientas automatizadas y qué análisis adicional realizará el equipo especializado.
De esta manera, la comparación no se limita al número de vulnerabilidades detectadas. También considera cómo se validan los hallazgos, cómo se descartan falsos positivos y cómo se contextualiza su impacto para la empresa.
5. El entorno donde se realizarán las pruebas también importa
Otro elemento que puede modificar el esfuerzo es el ambiente en el que se ejecutará el Pentest.
Las pruebas pueden realizarse, dependiendo del proyecto, sobre ambientes de desarrollo, pruebas, preproducción o producción.
Cuando existe impacto potencial sobre sistemas operativos, es necesario establecer restricciones y condiciones de ejecución.
Antes de comenzar deberían definirse aspectos como:
- Horarios o ventanas autorizadas.
- Actividades permitidas.
- Acciones que no deben ejecutarse.
- Responsables de contacto.
- Condiciones para detener una prueba.
- Procedimientos ante alguna afectación inesperada.
Estas condiciones se relacionan con las Rules of Engagement (ROE). NIST define las Rules of Engagement como las directrices y restricciones detalladas establecidas antes de una prueba de seguridad para autorizar las actividades correspondientes.
6. Los entregables forman parte del servicio que estás pagando
El valor de un Pentest no termina cuando concluyen las pruebas.
Después viene una etapa fundamental: convertir los hallazgos en información útil para la organización.
Por ello, al comparar precios también deben revisarse los entregables.
Dependiendo del alcance contratado, estos pueden contemplar:
- Resumen ejecutivo.
- Reporte técnico.
- Descripción de los hallazgos.
- Evidencias.
- Clasificación o priorización.
- Recomendaciones de corrección.
- Sesiones de presentación de resultados.
- Plan de mitigación.
- Verificación posterior.
La NIST SP 800-115 contempla el análisis de las vulnerabilidades identificadas, las recomendaciones de mitigación y la elaboración de reportes como parte del proceso de evaluación.
Además, los resultados obtenidos mediante herramientas automatizadas adquieren mayor utilidad cuando son revisados y contextualizados. El análisis de falsos positivos, la valoración de los hallazgos y su relación con el contexto de la empresa permiten convertir los resultados técnicos en información útil para la toma de decisiones.
7. La remediación y el acompañamiento pueden cambiar el valor de la propuesta
Después de recibir un reporte aparece una pregunta que muchas organizaciones pasan por alto al solicitar una cotización:
¿Qué sucede con las vulnerabilidades encontradas?
Identificar una debilidad no significa que haya sido corregida.
La guía NIST SP 800-115 contempla que los hallazgos de una evaluación sirvan como base para desarrollar recomendaciones y estrategias de mitigación.
Por ello, es importante conocer si el proveedor ofrece orientación para la remediación, acompañamiento durante las correcciones o algún mecanismo de verificación posterior.
Estas actividades pueden estar incluidas dentro del servicio o contratarse por separado. Lo importante es que la propuesta lo establezca claramente.
Así, la empresa puede conocer desde el principio hasta dónde llegará el acompañamiento.
8. Entonces, ¿por qué los precios de un Pentest pueden ser tan diferentes?
Porque dos propuestas llamadas “Pentest” pueden estar ofreciendo servicios considerablemente distintos.
Una puede contemplar un número reducido de activos y una profundidad determinada. Otra puede incorporar múltiples sistemas, diferentes perfiles de usuario, análisis y validación de hallazgos, identificación de falsos positivos, documentación detallada y acompañamiento posterior.
Por eso, comparar únicamente el precio final puede llevar a una conclusión equivocada.
Una comparación más útil considera:
- Alcance.
- Activos incluidos.
- Tipo y profundidad de las pruebas.
- Metodología.
- Restricciones operativas.
- Experiencia del equipo.
- Análisis y validación de hallazgos.
- Entregables.
- Acompañamiento.
- Remediación y verificaciones posteriores cuando correspondan.
De esta manera, la organización puede evaluar qué recibirá por la inversión, no solamente cuánto tendrá que pagar.
Las diferencias de precio entre propuestas pueden responder a variaciones en el alcance, profundidad, actividades incluidas y tratamiento de los hallazgos.
9. ¿Qué información necesita un proveedor para cotizar un Pentest?
Mientras más claro sea el alcance inicial, más precisa podrá ser la propuesta.
Antes de solicitar una cotización, resulta útil contar con información sobre:
- Objetivo de la evaluación.
- Tipo de activos.
- Número aproximado de sistemas o componentes.
- Aplicaciones y APIs involucradas.
- Ambiente donde se realizarán las pruebas.
- Perfiles o accesos que podrían utilizarse.
- Restricciones operativas.
- Fechas o ventanas disponibles.
- Entregables esperados.
- Necesidad de acompañamiento posterior.
No toda esta información estará disponible desde el primer contacto. Sin embargo, puede definirse durante una etapa inicial de levantamiento.
La importancia de esta planeación coincide con el enfoque de NIST SP 800-115, que aborda objetivos, alcance, requisitos, roles, limitaciones, recursos, tiempos y entregables antes de ejecutar una evaluación.
10. ¿Cómo comparar dos cotizaciones de Pentest?
Si recibes dos propuestas con precios muy diferentes, evita preguntar únicamente:
“¿Cuál es más barata?”
En cambio, compara si ambas están ofreciendo realmente lo mismo.
Puedes revisar:
¿Evalúan los mismos activos?
¿Tienen el mismo alcance?
¿Cómo se analizan y validan los resultados obtenidos mediante herramientas automatizadas?
¿Se identifican falsos positivos?
¿Los hallazgos se contextualizan para determinar su posible impacto en el negocio?
¿Qué entregables proporcionan?
¿Incluyen recomendaciones para corregir las vulnerabilidades?
¿Existe acompañamiento después del reporte?
¿Contemplan una verificación posterior?
Si las respuestas son diferentes, probablemente no estás comparando servicios equivalentes.
¿Un Pentest más caro significa que es mejor?
No necesariamente.
El precio por sí mismo no permite determinar la calidad de una prueba de penetración.
Una propuesta de mayor costo puede responder a un alcance más amplio, mayor complejidad o servicios adicionales. Sin embargo, esto debe estar claramente explicado.
De la misma manera, una propuesta económica no tiene que ser automáticamente inadecuada si el alcance es pequeño y está bien definido.
La clave está en comprender qué se evaluará, cómo se realizará el trabajo y qué recibirá la organización al finalizar.
Pentesting en SecurED MX: del hallazgo al impacto y la remediación
En SecurED MX consideramos que identificar vulnerabilidades es sólo una parte del proceso.
En nuestros servicios se utilizan herramientas automatizadas como parte de las actividades de identificación de vulnerabilidades. Sin embargo, los resultados obtenidos requieren análisis para determinar cuáles representan hallazgos relevantes dentro del entorno evaluado y cuáles pueden corresponder a falsos positivos.
En el caso del Pentest, el Análisis de Vulnerabilidades ya forma parte del servicio. Además, los hallazgos se analizan considerando su contexto y el impacto que podrían representar para la organización.
Este enfoque permite traducir resultados técnicos a escenarios comprensibles para el negocio, incluida, cuando corresponda, una estimación de su posible impacto económico.
A partir de los resultados, SecurED MX desarrolla un plan de mitigación con prioridades para la corrección y responsables de las actividades. Asimismo, proporciona seguimiento y acompañamiento de acuerdo con el alcance establecido. La oferta pública de Análisis de Vulnerabilidades y Pruebas de Penetración de SecurED MX describe precisamente el plan de mitigación y el acompañamiento como componentes del servicio.
El objetivo es que los hallazgos no permanezcan únicamente en un reporte, sino que puedan transformarse en acciones para fortalecer la seguridad de la organización.
Otro de los diferenciadores de SecurED MX es que contamos con personal especializado y certificado en ciberseguridad, con credenciales internacionales que respaldan sus conocimientos en pruebas de penetración, seguridad ofensiva y gestión de la seguridad de la información.
Nuestro equipo cuenta con certificaciones técnicas como OSCP, OSWP, CEH, OSWA, CompTIA Security+ y PCNSE, además de credenciales de gestión como CISM, ITIL 4 Foundation e ISO/IEC 27001. Esta combinación de conocimientos técnicos y de gestión fortalece nuestro enfoque para evaluar vulnerabilidades, contextualizar los riesgos y acompañar a las organizaciones en su remediación.
¿Cuánto costaría un Pentest para tu empresa?
La respuesta dependerá del entorno que necesites evaluar.
En lugar de partir de una tarifa genérica, el primer paso es identificar el objetivo de la prueba y delimitar los activos, profundidad y entregables requeridos.
De esta forma, la cotización puede corresponder al trabajo que realmente necesita tu organización.
Si quieres conocer qué alcance de Pentesting necesita tu empresa y solicitar una cotización, contacta a SecurED MX. Nuestro equipo puede ayudarte a definir el punto de partida y las características de la evaluación.