Guía de contratación
Cómo comparar proveedores de pentest antes de firmar
Casi todos los proveedores de pentest se describen con las mismas palabras. Por eso la comparación útil no está en la página de ventas, sino en cinco datos que puede comprobar por escrito antes de que nadie empiece.
- Alcance firmado antes de las pruebas
- Precio fijo acordado por escrito
- Métodos de OWASP y PTES
Cinco preguntas para proveedores de pentest
Envíe las mismas preguntas a cada firma preseleccionada. Después compare las respuestas escritas una al lado de otra.
- ¿Quién hará la prueba, y esa persona escribirá el informe?
- ¿La tarifa es fija, o se cobra por hora o por día?
- ¿Qué método sigue, por ejemplo el Penetration Testing Execution Standard?
- ¿Cada hallazgo se valida a mano?
- ¿Incluye una nueva prueba después de corregir los problemas?
Cómo fijan el precio los proveedores de pentest
El modelo de precio también marca la conducta. Por ejemplo, una tarifa por hora premia un proyecto más largo, mientras que una tarifa fija premia un alcance claro. Por eso conviene saber cómo cobra cada proveedor, no solo cuánto.
| Modelo | Qué premia | Riesgo para usted |
|---|---|---|
| Por hora o por día | Más tiempo facturado. | El total cambia durante el proyecto. |
| Tarifa fija | Un alcance preciso desde el inicio. | Bajo, si el alcance está bien escrito. |
| Suscripción | Volumen antes que profundidad. | Las pruebas pueden quedarse en la superficie. |
Puntúe a sus proveedores de pentest
Marque cada punto que un proveedor confirmó por escrito y compare los totales entre proveedores de pentest.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Señales de alerta entre proveedores de pentest
Algunas señales son fáciles de ver cuando ya las conoce. Además, cualquiera de ellas justifica una pregunta de seguimiento.
- Un precio muy por debajo de $4,000, que suele indicar un escaneo con portada
- Ningún evaluador con nombre antes del contrato
- Nadie pide una autorización escrita
- Un informe de muestra con salida de herramientas y sin rutas de ataque
Qué debe demostrar el informe
Un informe solo justifica su tarifa si sus ingenieros pueden actuar con él. Por eso debe esperar cadenas de ataque reproducibles, un plan de remediación con prioridades y una sesión de cierre escrita por quien hizo la prueba. Además, la nueva prueba debe mostrar qué correcciones funcionaron.
Dónde encaja Apex Offensive
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La Focused Exposure Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Confirmamos una sola cifra fija tras el resumen de alcance, y las pruebas suelen empezar en 48 horas tras la autorización firmada.
Dudas sobre proveedores de pentest
¿Cuántos proveedores de pentest conviene comparar?
Tres suelen bastar, siempre que cada uno responda las mismas preguntas por escrito.
¿Los proveedores de pentest más grandes son más seguros?
No necesariamente. Conviene saber quién hace la prueba, porque las firmas grandes a menudo asignan perfiles júnior.
¿Debe ganar el proveedor más económico?
Solo si el alcance y la profundidad coinciden. Si no, la oferta más baja suele cubrir menos trabajo.
¿Los proveedores de pentest necesitan nuestra autorización?
Sí. Un proveedor serio se negará a empezar sin ella.
Guías relacionadas
Reciba una cifra fija para comparar
Envíe una breve descripción de lo que necesita probar. Respondemos con un alcance por escrito y una sola tarifa fija, para que pueda compararnos con otros proveedores de pentest en igualdad de condiciones.
Pedir un precio fijo