Pentest vs. Escaneo de Vulnerabilidades: Diferencias y Cuál Necesitas

Cuando una empresa pide «una prueba de seguridad», rara vez queda claro qué está comprando. Algunos proveedores entregan un informe de un escáner automático y lo llaman pentest; otros hacen un pentest manual y lo venden como si reemplazara el monitoreo continuo. Son dos servicios distintos que responden preguntas distintas, y confundirlos significa pagar por lo que no necesitas o quedarte sin lo que sí. Este artículo explica la diferencia con un criterio simple para decidir cuál toca ahora.

La diferencia en una línea

• El escaneo de vulnerabilidades responde: «¿qué debilidades conocidas tengo expuestas hoy?» Es una herramienta automatizada que compara tus sistemas con una base de fallos conocidos y configuraciones inseguras.
• La prueba de penetración (pentest) responde: «¿qué podría lograr un atacante real contra mí, y hasta dónde llegaría?» La hace una persona que combina debilidades, las explota con control y demuestra el impacto.

Comparación lado a lado

Cuál necesitas ahora

No es una elección entre uno u otro, sino de orden. Esta lógica suele funcionar:

1. No tienes ningún proceso de revisión técnica. Empieza con gestión de vulnerabilidades. Un pentest sobre un entorno con parches de hace dos años solo confirmará lo que un escáner ya habría encontrado, a un precio mayor.
2. Ya escaneas y corriges, y quieres saber si resistirías un ataque real. Es el momento del pentest: busca lo que el escáner no ve.
3. Vas a lanzar una aplicación, abrir un servicio a internet o cambiar de proveedor de nube. Un pentest enfocado en ese cambio antes de salir en vivo es la inversión más rentable.
4. Un cliente, una aseguradora o una norma te lo exige. Revisa qué piden exactamente: a menudo piden ambos, con frecuencias distintas.

Lo que piden las normas

Muchos marcos de cumplimiento tratan los dos servicios como complementarios y no intercambiables. El estándar PCI DSS, por ejemplo, exige escaneos de vulnerabilidades recurrentes (trimestrales como mínimo) y, por separado, pruebas de penetración al menos una vez al año y tras cambios significativos. Si tu empresa procesa pagos con tarjeta, esa diferencia importa para la auditoría.

Cómo reconocer un «pentest» que en realidad es un escaneo

• El informe es una exportación de herramienta, con cientos de hallazgos sin contexto ni priorización y sin una sola explicación de cómo se encadenarían.
• No hubo reunión de alcance ni reglas de compromiso: qué sistemas, qué horarios, qué está prohibido tocar.
• Nadie intentó explotar nada, ni demostró acceso a un dato o sistema concreto.
• No hay recomendaciones por impacto, solo la gravedad que asigna la herramienta.
• El plazo es de un par de horas para un entorno que tiene decenas de sistemas.

Preguntas para cualquier proveedor

• ¿Qué parte del trabajo es manual y qué parte automatizada?
• ¿Cómo validan los hallazgos antes de reportarlos?
• ¿Qué reglas de compromiso firmamos antes de empezar?
• ¿Qué recibiré: una lista, o una explicación de cómo se llegaría a datos críticos?
• ¿Incluyen una nueva prueba para confirmar que lo corregido quedó cerrado?

Esa última pregunta separa un informe que se archiva de un proyecto que reduce el riesgo: un hallazgo no está resuelto hasta que alguien comprueba que ya no se puede reproducir.

Cómo lo combinamos

En la práctica, lo que mejor funciona es un ciclo: escaneo recurrente para mantener la superficie limpia, y un pentest anual o ante cambios importantes para probar lo que el escáner no puede. Si quieres entender qué esperar de un pentest, lee nuestra guía de pentesting para PYMEs; para montar el proceso recurrente, la guía de gestión de vulnerabilidades en ecosistemas mixtos es el punto de partida. Puedes ver el alcance de cada servicio en pentesting empresarial y, si todavía no sabes por dónde empezar, una auditoría de seguridad informática ordena las prioridades antes de comprometer presupuesto.