Ciberseguridad

No hay un precio de lista porque el costo lo define el alcance, no el tamaño de la empresa. Lo que lo mueve es cuántos activos entran (aplicaciones, rangos de IP, sedes), si se prueba desde afuera o también desde adentro, si hay que cubrir red industrial además de la de oficina, y si se incluye retest después de las correcciones. Contanos qué te están pidiendo y te devolvemos el alcance escrito con su presupuesto.

Pentesting es una prueba acotada: se busca la mayor cantidad de vulnerabilidades posible en un alcance definido y en un plazo cerrado. Ethical hacking es el término general de la práctica. Red team es otra cosa: simula un adversario real con un objetivo concreto —llegar a un dato, a un sistema— sin avisarle al equipo de seguridad, y mide la capacidad de detección y respuesta más que la cantidad de fallas. Una empresa que nunca se auditó necesita pentesting; el red team tiene sentido cuando ya hay defensas que valga la pena poner a prueba.

Sí, si se ordena en capas. La mayor parte del trabajo no toca el proceso: captura pasiva del tráfico, revisión de arquitectura y de reglas de firewall, análisis de configuraciones y de cuentas. En una red industrial las pruebas activas sobre PLC o SCADA se acuerdan por escrito y se acotan a una ventana de parada o a un banco de pruebas, con personal de planta presente. En redes de oficina esa restricción no existe y se prueba con libertad.

Sí, ese es el trabajo de GRC: gobierno, riesgo y cumplimiento. Se releva dónde está hoy la organización frente al marco elegido, se arma la matriz de brechas y se ordena un plan por prioridad y esfuerzo, con las políticas y los registros que cada control pide. La alineación con el marco es una cosa y la certificación es otra: la certificación la emite un organismo certificador independiente, y nuestro trabajo es dejar a la organización en condiciones de afrontar esa instancia o de responder el cuestionario de un cliente.

La auditoría técnica mira los equipos: busca vulnerabilidades concretas en aplicaciones, redes y servidores, y entrega hallazgos reproducibles. El trabajo de GRC mira la organización: qué controles existen, quién los ejecuta, cómo se evidencian y qué riesgos quedan sin cubrir. Son complementarios y se potencian: el pentest muestra qué está roto hoy, y el GRC define el proceso para que no se vuelva a romper y para poder demostrarlo por escrito.

Un informe con los hallazgos ordenados por riesgo real —no por el puntaje automático de una herramienta—, con la evidencia de cada uno y el paso a paso para reproducirlo. Y algo que importa más: el orden en que conviene resolverlos, porque casi nunca hay presupuesto para todo junto. Si el objetivo era responder el cuestionario de un cliente o de casa matriz, se entrega también en ese formato.