Muchas empresas compran un pentest cuando necesitaban un escaneo, o contratan un red team sin haber corregido lo que un escaneo básico habría encontrado. Las tres pruebas se ofrecen a menudo como si fueran lo mismo, pero responden a preguntas distintas y cuestan muy diferente.

La decisión tiene hoy más urgencia. El Data Breach Investigations Report 2026 de Verizon situó la explotación de vulnerabilidades como principal vía de entrada en las brechas, con el 31%, por primera vez en 19 años. El M-Trends 2026 de Mandiant calculó un tiempo medio de explotación de menos siete días: el ataque suele llegar antes de que exista un parche.

Qué pregunta responde cada prueba

	Análisis de vulnerabilidades	Pentest	Red team
Pregunta	¿Qué fallos conocidos tenemos?	¿Hasta dónde llega un atacante por esos fallos?	¿Detectaríamos y frenaríamos un ataque real?
Método	Escaneo con validación manual	Explotación controlada, manual	Emulación de un adversario con objetivo definido
Alcance	Amplio	Acotado y pactado	Toda la organización, con personas y procesos
Quién lo sabe	Todo el equipo	Normalmente, el equipo técnico	Muy pocas personas
Resultado	Lista priorizada	Rutas de ataque con evidencia	Evaluación de detección y respuesta

El análisis de vulnerabilidades identifica y prioriza sin explotar. El pentest explota de forma controlada para demostrar impacto. El ethical hacking es la disciplina que engloba estas prácticas bajo autorización expresa.

Cómo elegir según la madurez

Si la empresa no tiene un inventario claro de activos expuestos, conviene empezar por el análisis de vulnerabilidades. Sale más barato, cubre más superficie y deja una lista de tareas. Un pentest en este punto gasta presupuesto para encontrar lo que un escáner habría señalado.

Si la empresa ya parchea con regularidad, el pentest aporta lo que el escáner no ve: errores de lógica en una aplicación, permisos excesivos o la combinación de tres fallos menores que juntos abren una base de datos. También sirve antes de lanzar un sistema crítico o después de una migración.

Si la empresa tiene un equipo o servicio de monitoreo 24 horas, el red team mide si esa inversión funciona. Su valor está en comprobar cuánto tarda el equipo defensor en notar la intrusión y qué hace después. Sin un equipo que defienda, el ejercicio se limita a confirmar lo que ya se sabía.

Estas etapas se acumulan: el red team se suma al análisis periódico y al pentest, sin reemplazarlos.

Con qué frecuencia

Una prueba puntual envejece rápido. El DBIR 2026 midió una mediana de 43 días para corregir las vulnerabilidades que se sabe que están siendo explotadas, y solo el 26% quedó corregido por completo. Una pauta razonable combina el análisis continuo o mensual del perímetro, un pentest al año y tras cada cambio importante, y un red team cuando la madurez lo justifique.

Algunos sectores tienen la frecuencia marcada por norma. PCI DSS v4.0.1 pide escaneos trimestrales y pruebas de penetración anuales y tras cambios significativos para quien procesa tarjetas. La ISO/IEC 27001:2022 exige gestionar las vulnerabilidades técnicas y deja la periodicidad a cada organización.

Lo que pide la regulación en América Latina

La región ofrece un buen ejemplo de cómo las normas evolucionan hacia pruebas concretas, con exigencias distintas por país:

• Chile. Para bancos y emisores de tarjetas, entre otros, la Recopilación Actualizada de Normas 20-10 de la Comisión para el Mercado Financiero nombra expresamente el pentesting y el ethical hacking, y pide comunicar los resultados al directorio al menos cada semestre. La Ley 21.663 no nombra estas pruebas, pero su artículo 8 exige a los Operadores de Importancia Vital realizar de forma continua revisiones, ejercicios, simulacros y análisis de sus sistemas. Un pentest periódico es una forma directa de evidenciarlo.
• Perú. La Resolución SBS 504-2021 pide análisis de vulnerabilidades y pruebas de penetración para servicios vía API. En su régimen simplificado, incluye la gestión de vulnerabilidades entre las actividades con periodicidad mínima anual.
• Colombia. La Circular Externa 007 de 2018 de la Superintendencia Financiera exige gestionar las vulnerabilidades de las plataformas críticas expuestas, sin usar la palabra penetración.

Qué debe traer el informe

El informe separa una buena prueba de un trámite. Conviene exigir un resumen ejecutivo que un gerente entienda, evidencia reproducible de cada hallazgo, severidad con criterio explícito, un plan de corrección y un nuevo chequeo incluido para confirmar que los fallos se cerraron.

Antes de empezar, las partes deben firmar las reglas de la prueba: alcance, horarios, sistemas excluidos y a quién avisar si algo se interrumpe.

Para ver cómo se organiza este tipo de trabajo en la práctica, con sus modalidades y entregables, se puede consultar el servicio de ethical hacking de Netprovider, empresa de ciberseguridad que opera en Chile, Perú y Colombia.