Pentesting y auditoría de seguridad exprés: qué se puede acelerar (y qué no)

Por el equipo de QuantumSec

El inversor cierra en dos semanas. El comprador quiere evidencia de seguridad la semana que viene. La licitación con requisito de ENS o ISO 27001 tiene fecha límite y no queda margen. En los tres casos la pregunta es la misma: ¿se puede hacer un pentesting o una auditoría de seguridad rápido, de verdad, sin que sea un escaneo automático disfrazado de análisis serio? La respuesta honesta es que parte del proceso sí se puede comprimir de forma significativa, y otra parte no debería tocarse si el informe tiene que servir como evidencia real ante un inversor, un comprador o un auditor.

Lo que sí se puede acelerar

Arranque inmediato: la mayor parte del tiempo perdido en un pentesting "normal" no es la ejecución, es la cola de espera hasta que el proveedor tiene hueco. Un proyecto con fecha límite conocida se puede priorizar y arrancar en días, no en semanas. Alcance acotado a lo crítico: en vez de auditar todo el perímetro, se identifica primero el activo que realmente importa para el inversor, el comprador o el auditor —el producto que genera los ingresos, el sistema en el alcance del ENS— y se ataca ese primero, ampliando después si hace falta. Equipo dedicado: un solo consultor compartido entre cinco proyectos tarda más que dos personas centradas solo en el tuyo durante la ventana acordada. Entrega progresiva: los hallazgos críticos se comunican en cuanto aparecen, no se guardan hasta el informe final —lo que te da margen para empezar a remediar mientras el pentest sigue en marcha.

Lo que no se puede acelerar sin perder valor real

El tiempo mínimo de prueba manual: identificar y explotar de forma controlada una vulnerabilidad real lleva las horas que lleva; comprimirlo por debajo de cierto umbral significa dejar de hacer pentesting y volver a un escaneo automático, que es exactamente lo que un inversor, un comprador o un auditor experimentado sabe distinguir de un informe real. El re-test de lo remediado: si el informe tiene que demostrar que los hallazgos críticos ya están corregidos —el caso típico en due diligence—, saltarse la verificación posterior invalida esa evidencia. La revisión de calidad del informe: un informe con errores o hallazgos mal documentados genera más preguntas de las que responde durante una negociación o una auditoría.

Cómo funciona un proceso exprés en la práctica

Llamada de alcance el mismo día o al siguiente. Propuesta con fechas concretas en menos de 24 horas. Inicio de la fase técnica acotada al activo crítico en cuestión de días, no semanas. Comunicación de hallazgos críticos en tiempo real durante la ejecución, no al final. Informe ejecutivo preliminar disponible antes de cerrar el informe técnico completo, para que puedas empezar a mostrar avance a quien te lo está pidiendo mientras se termina de rematar el detalle.

Según el disparador, el foco cambia

Si el motivo es una ronda de inversión, el foco es el pentest de producto: es la pieza que más pesa en el due diligence y la que más tarda en programarse si no se prioriza. Si el motivo es una venta o adquisición (M&A), el foco es demostrar que no hay vulnerabilidades activas ni cuentas de acceso sin controlar en los sistemas que sostienen el valor del negocio. Si el motivo es un plazo normativo (ENS, ISO 27001) o un cliente enterprise con fecha límite, el foco es tener evidencia técnica —no solo documental— de que los controles críticos funcionan, aunque la certificación formal en sí no se pueda comprimir de la misma manera porque depende de una entidad externa.

FAQ

¿Podéis empezar esta misma semana?

Depende de la disponibilidad del equipo en ese momento, pero priorizamos proyectos con fecha límite de negocio conocida (cierre de ronda, firma de operación, plazo de licitación) frente a proyectos sin urgencia. La llamada de alcance inicial se puede hacer en 24-48 horas en la mayoría de los casos.

¿Un pentesting exprés es menos fiable que uno normal?

No si se hace acotando el alcance en vez de acortando el rigor. La diferencia entre un pentesting exprés serio y uno de baja calidad no es la velocidad, es si se sigue comprobando manualmente la explotabilidad real de cada hallazgo o se sustituye por un escaneo automático. Nosotros aceleramos reduciendo el alcance a lo crítico y dedicando más equipo, no saltándonos pasos.

¿Cuánto se puede comprimir realmente el plazo?

Para un alcance acotado a un activo crítico concreto (una aplicación, un sistema), es habitual reducir a la mitad el tiempo de un proyecto estándar priorizando arranque y dedicación de equipo. Lo que no se comprime es el tiempo mínimo de prueba manual y el re-test posterior a la remediación, porque ahí está el valor real del informe.

¿Y si el plazo es para una certificación formal (ENS, ISO 27001), no solo para un informe técnico?

Ahí el margen de aceleración es menor: la auditoría de certificación la ejecuta una entidad acreditada externa con sus propios plazos. Lo que sí podemos comprimir es la fase de preparación previa —gap analysis, implementación de controles críticos, documentación— para llegar a esa auditoría lo antes posible con garantías de aprobarla a la primera.