Pentest vs. escaneo de vulnerabilidades: en qué se diferencian (y cuál pide tu auditor)
"Ya corremos un escáner de vulnerabilidades, ¿para qué un pentest?" Es una de las preguntas que más recibimos, y es razonable: ambos entregan una lista de hallazgos y hablan de CVSS. Pero resuelven problemas distintos, y confundirlos es lo que hace que un informe termine devuelto por el auditor.
Qué hace un escáner de vulnerabilidades
Un escáner automático —Nessus, OpenVAS, Qualys— compara lo que encuentra contra una base de vulnerabilidades conocidas por patrón: versiones desactualizadas, configuraciones inseguras, CVEs públicos. Es rápido, barato y repetible, y tiene su lugar: higiene continua, detección de componentes sin parchar, cumplimiento de líneas base.
Su límite es estructural: sólo ve lo que alguien ya catalogó. No entiende tu negocio. No sabe que un usuario del rol "vendedor" no debería poder aprobar su propio descuento, ni que cambiar un número en una URL lo lleva a los datos de otra cuenta. Esas fallas no tienen una firma que detectar.
Qué hace un pentest (ethical hacking)
Una prueba de penetración la ejecuta una persona que piensa como un atacante. Parte donde el escáner se queda: encadena hallazgos pequeños en un ataque real, explota la lógica de negocio, escala privilegios entre roles y prueba el aislamiento entre cuentas o tenants. El entregable no es una lista de 300 páginas: es un conjunto acotado de hallazgos demostrados, cada uno con una prueba de concepto y pasos de reproducción.
Un escáner responde "¿tengo vulnerabilidades conocidas?". Un pentest responde "¿puede alguien entrar, y hasta dónde llega?".
Por qué tu auditor espera un pentest
Si estás certificando o recertificando ISO 27001, el control A.8.29 pide pruebas de seguridad en desarrollo y aceptación, y el A.8.8, gestión de vulnerabilidades técnicas. Un auditor quiere ver verificación independiente de que tus aplicaciones resisten ataques reales, no sólo la salida de una herramienta. Lo mismo ocurre con la mayoría de los clientes corporativos que piden tu último pentest en una due diligence: buscan el criterio humano, no el reporte automático.
Entonces, ¿cuál necesito?
- Los dos, en capas. El escáner es higiene continua; el pentest es la evaluación profunda y periódica.
- Para una auditoría ISO 27001 o SOC 2, o para responder el cuestionario de seguridad de un cliente: un pentest por personas, con mapeo a controles y carta de atestación.
- Para monitoreo del día a día de parches y configuración: un escáner, idealmente automatizado.
En StrixHack usamos escáneres como una herramienta dentro del ejercicio —aceleran el reconocimiento— pero cada hallazgo lo valida y lo explota una persona. La IA y las herramientas no firman el informe.