Seguridad ofensiva · precio
La mayoría de los pentest que contrata una pyme en España cuestan entre 2.000 y 12.000 euros más IVA. Si venías buscando una cifra, ya la tienes. Ahora, lo que de verdad importa: en qué punto de esa horquilla deberías estar tú y cómo leer un presupuesto para no pagar de más ni, peor, pagar dos veces.
La diferencia entre un extremo y otro de esa horquilla no es que uno sea un timo y otro no. Es que dentro de la palabra "pentest" caben trabajos muy distintos, como ya conté al explicar la diferencia entre un pentest y un análisis de vulnerabilidades.
Un apunte antes de empezar: además de ejecutar este tipo de proyectos, audito sistemas de gestión ISO 27001 y ENS. Veo las dos caras, lo que se vende y lo que después sirve o no sirve como evidencia ante un auditor. De esa doble silla sale todo lo que viene a continuación.
Horquillas habituales del mercado español, sin IVA, contrastadas con lo que vemos en nuestros propios proyectos:
| Servicio | Horquilla habitual | Trabajo que hay detrás |
|---|---|---|
| Análisis de vulnerabilidades puntual | desde unos cientos de euros | horas, automatizado con revisión |
| Pentest externo (lo expuesto a internet) | 2.000 a 6.000 € | 3 a 5 jornadas |
| Pentest de aplicación web o SaaS | 3.000 a 12.000 € | 5 a 10 jornadas |
| Pentest interno (desde dentro de la red) | 4.000 a 10.000 € | 5 a 8 jornadas |
| Ejercicio de Red Team | desde 20.000 € | varias semanas |
Dos avisos sobre esta tabla. El primero: si te han ofrecido un "pentest completo" por 500 euros, vuelve al artículo anterior, porque eso tiene otro nombre. El segundo: el Red Team está ahí para que veas la escala, pero a la mayoría de pymes no les toca todavía. Le dedicaré un artículo propio, que hay mucho vendido en ese terreno.
El precio de un pentest se construye igual en todas partes: jornadas de trabajo por tarifa diaria. La jornada de un pentester profesional en España se mueve entre 700 y 1.500 euros según la experiencia del perfil. Todo lo demás son variaciones sobre esa cuenta.
Lo que mueve las jornadas es el alcance y la profundidad. Cuántas direcciones IP, cuántas aplicaciones, cuántos roles de usuario distintos hay que probar. Si la prueba es de caja negra (el pentester parte de cero, como un atacante externo), de caja gris (le das un usuario y algo de contexto) o de caja blanca (acceso a documentación y código). Aquí va un consejo contraintuitivo que damos siempre: para una pyme, la caja gris suele rendir más que la negra. Pagar jornadas para que alguien adivine lo que le podías haber contado en una reunión es tirar dinero.
Lo que mueve la tarifa es quién ejecuta. No el logo de la consultora: la persona. Pregunta qué certificaciones tiene el equipo que va a tocar tus sistemas y si el trabajo se subcontrata. Es una pregunta incómoda y perfectamente legítima.
Y luego están las dos partidas que separan una oferta seria de una cifra al aire: si el informe incluye una presentación de resultados a dirección en lenguaje de negocio, y si el precio incluye el retest, es decir, repetir las pruebas sobre lo corregido para confirmar que el arreglo funciona. Un pentest sin retest te deja con una lista de deberes y ninguna nota final.
La regla práctica que resume esta sección: un presupuesto que no dice cuántas jornadas incluye y quién las ejecuta no es un precio. Es una cifra.
Por abajo, las de siempre: precio cerrado sin que nadie te haya hecho una sola pregunta sobre tu entorno, plazo de 48 horas para "auditarlo todo", informe de ejemplo que es el volcado de una herramienta, retest que ni aparece. Cada una por separado es sospechosa. Dos juntas son diagnóstico.
Y no es una impresión: en lo que va de año hemos revisado alrededor de veinte presupuestos de pentest que nos pasaron clientes para una segunda opinión, y doce de ellos eran, en realidad, escaneos automatizados presentados como test de intrusión. Más de la mitad. No es una excepción, es lo normal del mercado.
Por arriba también se falla, y de esto se habla menos. Un ejercicio de Red Team de cinco cifras para una empresa de veinte empleados con un servidor y un ERP en la nube. Alcances inflados con activos que no importan a nadie. Jornadas de perfil senior facturadas para lanzar una herramienta que un junior maneja igual. Pagar de más no te hace más seguro: te hace tener menos presupuesto para corregir lo que aparezca.
El pentest encuentra problemas; no los arregla. La corrección va aparte, con tu equipo o tu proveedor de informática, y según lo que aparezca puede costar tanto como la prueba o más. Si tu presupuesto total se agota en el informe, has comprado la mitad del proyecto. Reserva desde el principio una partida para remediar, y apóyate en un proceso de gestión de vulnerabilidades y parches para que lo corregido no vuelva a abrirse.
Y está el coste de comprar mal. Cuando audito, un escaneo de 600 euros presentado como test de intrusión no pasa como evidencia. El resultado es conocido: se paga el barato, luego el bueno, y encima con las prisas del plazo de auditoría. El pentest barato es el único que se paga dos veces.
Un caso que lo resume. Hace poco un cliente nos pasó tres ofertas para "auditar su plataforma web" antes de decidir, y nos pidió una lectura. La primera, 600 euros: al pedir el desglose, era un escaneo automático con el informe de la herramienta y el logo cambiado, sin una sola jornada de trabajo manual ni retest. La segunda, 14.000 euros: alcance inflado con toda la infraestructura corporativa y un conato de Red Team que nadie había pedido, con jornadas de perfil senior para lanzar herramientas automáticas. La tercera, 6.500 euros: cinco jornadas de caja gris sobre la aplicación y sus roles, metodología OWASP, presentación a dirección y retest incluido a 60 días. La barata no le habría valido como evidencia para su ISO 27001; la cara se comía el presupuesto de corregir; la del medio era, con diferencia, la única que respondía a lo que de verdad necesitaba. La trampa no estaba en el precio: estaba en el alcance.
No siempre hay que asumir el coste completo. La Comisión Europea financia, a través del programa Europa Digital, la ejecución de pruebas de penetración y evaluaciones de vulnerabilidad en organizaciones afectadas por NIS2 y por el Reglamento de Ciberresiliencia (CRA). El vehículo se llama CYSSDE y funciona seleccionando a un grupo reducido de proveedores europeos que ejecutan esas pruebas con respaldo de fondos comunitarios.
En Meta-Data hemos sido seleccionados en su tercera convocatoria, la Open Call 3. Eso no hace que el pentest sea gratis, pero sí nos permite trasladar el apoyo europeo al cliente en forma de un descuento importante sobre el precio de mercado, para un número limitado de organizaciones elegibles. Si tu empresa entra en el ámbito de NIS2 o fabrica producto conectado bajo el CRA, pregunta por esta vía antes de pedir presupuestos por la habitual: las plazas son limitadas.
Lo que les decimos a nuestros clientes cuando van a pedir ofertas:
Cuéntanos qué te han ofrecido y qué quieres proteger, y te decimos qué alcance necesitas de verdad y cómo pedirlo para que las ofertas te lleguen comparables. Sin compromiso.
Solicitar una propuestaO escríbenos a [email protected].
Casi siempre por una de tres razones: cada proveedor ha entendido un alcance distinto, alguno está cotizando un escaneo con nombre de pentest, o hay diferencias reales de profundidad y perfil. Pide el desglose de jornadas y las tres razones afloran solas.
Debería, y muchas veces no lo está. Pregúntalo antes de firmar, no después. Un retest dentro de los 60 o 90 días siguientes es lo razonable; así hay tiempo de corregir.
Un pentest externo de pyme suele resolverse en una o dos semanas naturales incluyendo el informe. Una aplicación web con varios roles, entre dos y tres. Desconfía del "mañana empiezo y el viernes tienes informe" tanto como del proveedor sin hueco hasta dentro de cuatro meses.
El precio cerrado está bien y es lo habitual, con una condición: que detrás traiga el desglose de alcance y jornadas que lo justifica. Cerrado sin desglose es una cifra al aire con la que no puedes comparar nada.
Las hay, pero van por convocatorias y se agotan. La vía más directa ahora mismo es CYSSDE, el programa europeo del que hablo más arriba y en el que participamos como proveedor seleccionado. Fuera de ahí, merece la pena vigilar las convocatorias autonómicas de digitalización: en Navarra hemos visto financiar con ellas proyectos de ciberseguridad de clientes nuestros.
