Guía de contratación
Cómo leer y comparar una propuesta de pentest
Una propuesta de pentest es la respuesta escrita de la firma a su resumen. Debe decir qué se probará, cómo, quién, cuándo y por cuánto. Si falta algo de eso, la propuesta no está terminada.
- Alcance firmado antes de las pruebas
- Precio fijo acordado por escrito
- Métodos de OWASP y PTES
Qué debe incluir una propuesta de pentest
Seis partes, todas por escrito: alcance, método, personas, entregables, fechas y precio. Las exclusiones van en el alcance, y la nueva prueba va en los entregables.
Además, la propuesta debe repetir el motivo de la prueba. Si no lo hace, quizá la firma no leyó el resumen con atención.
Comparar cada propuesta de pentest
Ponga las propuestas en una sola tabla. Así los huecos saltan a la vista. Una propuesta que deja una fila vacía le está diciendo algo.
Compare también los alcances antes que los precios. Como una cifra menor a menudo cubre menos, el precio por sí solo engaña.
| Parte | Qué comparar |
|---|---|
| Alcance | Mismos sistemas, mismas exclusiones |
| Método | Un estándar publicado con nombre |
| Personas | Un evaluador con nombre, no un cargo |
| Entregables | Informe, resumen, sesión de cierre y nueva prueba |
| Fechas | Inicio tras la autorización, día del informe |
| Precio | Una sola cifra fija, sin extras por horas |
Comparativa de cada propuesta de pentest
Marque lo que cada propuesta de pentest indica por escrito.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Señales de alerta en una propuesta de pentest
Un precio sin alcance es una suposición. Un método descrito solo como «buenas prácticas del sector» es vago. Un equipo descrito solo por cargos puede cambiar tras la firma.
Del mismo modo, una larga lista de extras opcionales puede convertir un precio inicial bajo en una factura final alta.
Qué preguntar de vuelta
Consulte quién hará exactamente la prueba, y qué pasa si esa persona deja de estar disponible. Averigüe qué se excluye y por qué. Confirme si la cifra puede cambiar durante el proyecto.
Después compare las respuestas escritas. Así la elección se basa en evidencia, no en impresiones.
De la propuesta al alcance firmado
Una vez elegida, la propuesta es la base del alcance. Confirme que nada cambia entre ambos. Después, los propietarios de los sistemas firman la autorización.
Por último, archive la propuesta ganadora con el alcance. Muestra lo que se prometió.
Lo que muestran nuestras propuestas
Un alcance por escrito, los métodos que seguimos, los entregables, las fechas y una sola cifra fija. Las pruebas empiezan en 48 horas tras la autorización.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La Focused Exposure Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. El método sigue el Penetration Testing Execution Standard y la OWASP Web Security Testing Guide.
Dudas sobre la propuesta de pentest
¿Qué debe incluir una propuesta de pentest?
Alcance, método, personas, entregables, fechas y precio.
¿Cómo comparo dos ofertas de pentest?
Compare primero los alcances, después todo lo demás y el precio al final.
¿La propuesta de pentest más baja es un riesgo?
Puede serlo, si cubre menos. Revise primero la fila del alcance.
¿La propuesta de pentest autoriza las pruebas?
No. El propietario del sistema sigue firmando un alcance por escrito.
Guías relacionadas
Solicite una propuesta de pentest
Díganos qué necesita probar y por qué. Respondemos con un alcance por escrito y una sola cifra fija.
Pedir un precio fijo