Cuándo hacer el pentest para tu recertificación ISO 27001 (planifica hacia atrás)

La pregunta no es sólo "¿hago el pentest?", sino cuándo. Es la variable que más veces aprieta el calendario de una recertificación, y la que menos se planifica. La regla es simple: se trabaja hacia atrás desde la fecha de tu auditoría.

Por qué un informe con hallazgos abiertos vale menos

Un auditor de recertificación no sólo quiere ver que hiciste el ejercicio: quiere ver que actuaste sobre los hallazgos. Un informe que llega con las vulnerabilidades ya remediadas y verificadas es evidencia sólida de que tu ciclo de mejora continua (Cl. 10.1) funciona. Uno con todo abierto es, en el mejor de los casos, una lista de pendientes.

Lo que cierra el hallazgo ante el auditor no es el pentest: es el re-test que demuestra la remediación.

El calendario de 8 semanas

Recomendamos cerrar el alcance con al menos ocho semanas de margen respecto de la auditoría:

• Semana 0: formulario de alcance (10 minutos) y llamada para calzar fechas.
• Semana 1: NDA, autorización de pruebas (Rules of Engagement), credenciales por rol y kick-off.
• Semanas 2–3: ejecución. Los hallazgos críticos se avisan de inmediato, no al final.
• Semana 4: informe ejecutivo, informe técnico, carta de atestación y reunión de resultados.
• Semanas 5–8: tu equipo remedia; nosotros hacemos el re-test y actualizamos el estado de cada hallazgo.

Las primeras cuatro semanas son para ejecutar y entregar; el resto, para remediar y verificar. Si el pentest arranca a tres semanas de la auditoría, llegarás con hallazgos abiertos — y ese es justo el escenario que conviene evitar.

Qué apura y qué no

Lo que define el plazo no es el tamaño de tu empresa, sino el alcance real: cuántas aplicaciones, APIs, IPs y hosts hay que evaluar. Por eso el valor y el calendario se fijan con un formulario corto y no con un supuesto. Si tu auditoría es en menos de ocho semanas, no está perdido —se prioriza y se acota— pero conviene empezar la conversación hoy.