Test de penetració vs. Escaneig de vulnerabilitats: quina avaluació de seguretat necessita realment la teva petita empresa

El ransomware apareix en el 88 per cent de les bretxes de seguretat a petites empreses, i la bretxa mitjana en una empresa de menys de 500 empleats costa uns 3,31 milions de dòlars. El quaranta per cent dels propietaris de petites empreses diuen que un sol atac que costi 100.000 dòlars o menys els faria tancar. No cal ser un objectiu per convertir-te en una víctima: els bots automatitzats sondegen cada servidor connectat a internet que tens, cada dia, tant si algú ha sentit a parlar de la teva empresa com si no.

La bona notícia és que les dues avaluacions de seguretat estàndard responen a preguntes diferents, i la majoria de petites empreses necessiten totes dues — en l'ordre correcte, amb la freqüència correcta. Un escaneig de vulnerabilitats ofereix un inventari automatitzat de debilitats conegudes. Un test de penetració contracta un humà per intentar trencar els sistemes tal com ho faria un atacant. Confondre'ls és car en totes dues direccions: o pagues cinc xifres per un atac simulat que redescobreix pedaços que mai no vas aplicar, o mostres un informe d'escaneig net a un auditor que va demanar específicament un test de penetració.

Aquesta guia explica què fa cada avaluació, quant costa cadascuna el 2026, amb quina freqüència cal executar-les, quines normes de compliment obliguen a triar, i la seqüència de decisió que dona a una petita empresa la màxima protecció per dòlar.

La resposta en 60 segons​

Si només has de recordar un paràgraf, que sigui aquest: executa escanejos de vulnerabilitats automatitzats de manera contínua, arregla el que trobin, i encarrega un test de penetració liderat per humans un cop l'any o després de qualsevol canvi important. L'escaneig és el teu detector de fum — barat, sempre encès, i propens a falses alarmes. El test de penetració és la inspecció del cos de bombers — car, en un moment concret, i allò que la teva asseguradora i els teus clients empresarials demanen realment.

Què fa realment un escaneig de vulnerabilitats​

Un escanejador de vulnerabilitats és un programari que inventaria els teus sistemes i compara el que troba amb bases de dades de debilitats conegudes — CVE publicats, pedaços que falten, configuracions errònies, certificats caducats, ports oberts que haurien d'estar tancats. Apunta'l a un rang d'IP, un domini o un compte al núvol, i unes hores després obtindràs un informe que agrupa les troballes per severitat amb les correccions proposades, normalment ordenades per puntuació CVSS.

Dues distincions importen quan defineixes l'abast i interpretes els escanejos:

Escanejos no autenticats vs. autenticats. Un escaneig no autenticat només veu el que veu un extern: ports oberts, bàners de serveis, configuració TLS. Un escaneig autenticat inicia sessió amb credencials i pot comprovar nivells de pedaços, configuració local i programari instal·lat — una cobertura molt més profunda. L'escaneig intern autenticat es va convertir en explícitament obligatori sota PCI DSS el 2025, i és el mode que troba el servidor sense pedaçar darrere del teu tallafocs que un escaneig extern mai no veurà.

Escanejos externs vs. interns. Els escanejos externs sondegen la teva petjada a internet: el lloc web, el servidor de correu, la passarel·la VPN, el port d'escriptori remot que algú va obrir durant la pandèmia i va oblidar. Els escanejos interns s'executen dins de la xarxa i veuen estacions de treball, impressores, carpetes compartides i el servidor de comptabilitat. Tots dos importen perquè els atacants entren des de fora i després es mouen lateralment per dins.

Els escanejos tenen tres límits estructurals que hauries d'entendre abans de confiar-hi. Primer, només coneixen debilitats conegudes — un escanejador no pot trobar una falla lògica única de la teva aplicació web, perquè aquesta falla no existeix a cap base de dades. Segon, informen de possibilitats, no de proves: una troballa "crítica" pot resultar inabastable en la teva configuració, i per això els informes d'escaneig tenen fama de falsos positius. Tercer, un escaneig mai no encadena troballes com ho fa un atacant. Tres problemes "mitjans" — una pàgina d'inici de sessió exposada, reutilització de contrasenyes i un compte de còpia de seguretat amb permisos excessius — poden combinar-se en una presa de control total que cap troballa individual prediu. Trobar aquestes cadenes és feina dels humans.

Què fa realment un test de penetració​

Un test de penetració és un atac controlat i autoritzat contra els teus sistemes, dut a terme per professionals de seguretat que combinen eines automatitzades amb tècniques manuals. Mentre que un escaneig pregunta "quines debilitats existeixen?", un test de penetració pregunta "quines d'aquestes es poden explotar realment, fins on pot arribar un atacant, i quin és el dany empresarial?" Cada troballa en un bon informe de test de penetració ve amb proves — captures de pantalla, dades capturades o una shell — més una anàlisi d'impacte i passos de remediació prioritzats escrits per a les persones que els han d'aplicar.

La majoria d'encàrrecs segueixen un procés estàndard de quatre fases modelat sobre NIST SP 800-115: planificació i reconeixement, escaneig de descobriment, execució de l'atac i elaboració de l'informe. La metodologia que s'hi afegeix depèn de l'objectiu — la guia de proves OWASP per a aplicacions web, PTES per a encàrrecs generals — però la forma és la mateixa: reunir informació, trobar debilitats, intentar explotar-les dins de les regles d'engagement acordades, i documentar-ho tot.

També triaràs quant saben els provadors per endavant, cosa que determina tant el realisme com el preu:

• Proves de caixa negra no donen cap informació interna a l'equip, simulant un atacant extern. Les més realistes i les més lentes, perquè els provadors passen dies facturables en reconeixement que els podries haver lliurat gratis.
• Proves de caixa blanca lliuren diagrames d'arquitectura, codi font i credencials, maximitzant la cobertura per dia de prova. Troba el màxim de problemes però s'assembla més a un insider que a un desconegut d'internet.
• Proves de caixa grisa reparteixen la diferència — normalment un compte d'usuari estàndard i documentació bàsica. Per a la majoria de petites empreses aquesta és la millor relació qualitat-preu: prou realista per importar, prou eficient per ser assequible.

Un test de penetració acaba amb dues coses que un escaneig mai no produeix: la confirmació del que és genuïnament explotable (cosa que et permet ignorar amb confiança les altres 200 troballes de l'escanejador), i l'informe narratiu que el teu auditor, la teva asseguradora de ciberrisc i el qüestionari de proveïdors del teu client més gran volen veure.

Cara a cara: mètode, profunditat, durada i lliurable​

Les dues avaluacions difereixen en totes les dimensions que importen per al pressupost i la planificació:

• Mètode. Els escanejos són totalment automatitzats i s'executen sense supervisió segons una programació. Els tests de penetració són en part manuals per definició — les eines fan el descobriment, els humans fan l'explotació i l'anàlisi.
• Amplada vs. profunditat. Un escaneig cobreix un ventall ampli d'actius de manera barata però superficial. Un test de penetració aprofundeix en un abast definit: una aplicació, un segment de xarxa, un compte al núvol.
• Durada. Un escaneig triga d'hores a un dia. Un test de penetració per a una petita empresa normalment dura una o dues setmanes, incloent-hi l'informe.
• Lliurable. Un escaneig produeix una llista generada per eina ordenada per severitat. Un test de penetració produeix un informe escrit per un consultor amb proves, valoracions d'impacte empresarial i un resum executiu que pots lliurar a un consell o a una asseguradora.
• Habilitats que et calen. Gairebé qualsevol pot programar un escaneig. Un test de penetració requereix que defineixis l'abast, gestionis els accessos, assignis responsables de les troballes i programis el retest que confirmi que les correccions han funcionat.

D'això se segueix una regla d'ordenació: primer escaneja, arregla, després fes el test de penetració. Pagar provadors perquè redescobreixin pedaços que falten que un escanejador hauria llistat per cèntims és la manera més comuna com les petites empreses malgasten un pressupost de seguretat.

Quant costa cada cosa el 2026​

L'escaneig de vulnerabilitats és una subscripció o una eina gratuïta. Tenable Nessus Professional, l'escanejador per a petites empreses més comú, té un preu de llista d'uns 4.800 dòlars l'any per IPs il·limitades des d'un sol escanejador; Nessus Essentials és gratuït per a ús limitat. L'escaneig al núvol de Qualys comença més amunt, en els milers baixos per any per a petjades petites. OpenVAS de Greenbone continua sent gratuït i capaç però exigeix temps real de manteniment de Linux, que per a la majoria de petites empreses costa més que una llicència comercial un cop comptades les hores de personal. L'escaneig totalment gestionat — un proveïdor executa els escanejos, tria els falsos positius i et lliura una llista d'accions — normalment costa entre 5.000 i 10.000 dòlars l'any. Moltes empreses acaben en uns quants cents de dòlars al mes, tot inclòs.

El test de penetració es cobra per encàrrec. Per a una petita empresa amb un abast definit — una aplicació web, una petita xarxa d'oficina, una API senzilla — un test professional costa entre 5.000 i 15.000 dòlars. La majoria d'encàrrecs enfocats per a petites i mitjanes empreses se situen entre 10.000 i 20.000 dòlars, amb una mitjana del sector per a tots els tipus propera als 18.000 dòlars. Els tests de xarxa se situen a l'extrem inferior del rang; els tests d'aplicacions web i API amb múltiples rols d'usuari costen més; qualsevol cosa amb informes de nivell de compliment (PCI DSS, SOC 2) factura hores extres pel que fa a la paperassa, independentment de la mida de l'entorn.

Quatre coses fan pujar o baixar un pressupost de test de penetració: la mida de l'abast (hosts, aplicacions, endpoints d'API), la complexitat de l'aplicació (rols d'usuari, multi-tenant, integracions de tercers), el model de coneixement dels provadors (el reconeixement de caixa negra factura dies abans que comenci el test) i els requisits d'informes (una carta per a la teva asseguradora és barata; un paquet de proves llest per a PCI no ho és). El millor control de costos és una declaració d'abast clara: anomena els objectius, anomena què queda fora de límits, i adjunta el diagrama d'arquitectura en lloc de pagar desconeguts perquè el facin enginyeria inversa.

Per planificar el pressupost, un punt de partida raonable per a una petita empresa és l'escaneig continu per uns quants milers de dòlars l'any més un test de penetració anual de caixa grisa del teu sistema de més risc. Compara-ho amb l'alternativa que el sector mesura constantment: un any sencer de proves per a una empresa mitjana costa aproximadament l'1 per cent de la bretxa mitjana.

Amb quina freqüència executar cada cosa​

Escanejos: contínuament, o com a mínim mensualment. Com que els escanejos són barats i automatitzats, la freqüència és gairebé gratis — moltes empreses escanegen setmanalment o a cada desplegament. Com a mínim, escaneja mensualment, escaneja després de qualsevol canvi significatiu (servidor nou, canvi de regla de tallafocs, actualització important de programari), i assegura't que els teus escanejos PCI trimestrals es fan realment si les dades de targeta et posen dins de l'abast. Els resultats d'escaneig obsolets són poc millors que cap resultat: es publiquen CVE nous cada dia, i la finestra entre la divulgació i l'explotació massiva no para d'encongir-se.

Tests de penetració: anualment, més després de canvis importants. Les proves anuals són la norma del sector i el mínim de compliment explícit sota PCI DSS i la majoria de requisits d'assegurances i proveïdors empresarials. Re-testa abans si la superfície d'atac canvia significativament: una aplicació nova orientada al client, una migració al núvol, una fusió que uneix dues xarxes, o una bretxa important en un altre punt de la teva cadena de subministrament de programari que afecti la teva pila. I sempre contracta el retest per endavant — un encàrrec de seguiment curt, sovint inclòs o amb descompte, en què els provadors verifiquen les teves correccions en lloc de deixar-te a tu afirmar que han funcionat.

La seqüència que malgasta menys diners és aquesta: escaneja, remedia les troballes crítiques i altes, verifica amb un re-escaneig, després fes el test de penetració. Així els provadors passen els seus dies en els problemes encadenats, de nivell lògic i de configuració que cap escanejador podria trobar, en lloc de facturar-te per confirmar que el servidor d'impressió encara executa un firmware del 2019.

Les normes de compliment que obliguen a triar​

Per a moltes petites empreses, el debat escaneig-vs-test el decideix qui processa els seus pagaments o qui subscriu el seu risc. Les normes que es troben més sovint:

El requisit 11 de PCI DSS és el gros per a qualsevol que manipuli dades de targeta. La majoria de comerciants petits necessiten escanejos externs trimestrals per part d'un Approved Scanning Vendor inclòs a la llista de PCI, escanejos interns de vulnerabilitats com a mínim anualment i després de canvis significatius, i — per als comerciants SAQ D i qualsevol que utilitzi segmentació de xarxa per reduir l'abast — proves de penetració anuals de l'entorn de dades del titular de la targeta i de qualsevol control de segmentació. Fixa't en la trajectòria: la versió 4 de PCI DSS va passar diversos elements de prova de guia a mandat, incloent-hi l'escaneig intern autenticat. Si acceptes targetes i no has mapat el teu tipus de SAQ a les seves obligacions de prova, fes-ho abans de comprar res.

SOC 2, HIPAA i assegurances de ciberrisc són menys prescriptius quant al mètode però cada cop més específics a la pràctica. Els auditors de SOC 2 esperen proves de gestió contínua de vulnerabilitats més proves de penetració periòdiques; l'anàlisi de riscos requerida per HIPAA se satisfà habitualment amb la mateixa parella; i les sol·licituds d'assegurança de ciberrisc ara pregunten habitualment quan va ser el teu darrer test de penetració, amb algunes asseguradores que fixen el preu o deneguen la cobertura segons la resposta. El qüestionari de seguretat de proveïdors d'un client empresarial demanarà tant la cadència d'escaneig com el resum executiu més recent del test de penetració — tenir-los a punt escurça els cicles de venda.

La conclusió pràctica: si una norma o un contracte anomena una avaluació específica, aquesta avaluació no és opcional i l'altra no la substitueix. Una pila d'informes d'escaneig nets no satisfarà un auditor que va demanar un test de penetració, i un test de penetració no satisfà un requisit d'escaneig trimestral durant els altres onze mesos de l'any.

Errors comuns que malgasten el pressupost​

• Fer el test de penetració abans de pedaçar. Encarregar un encàrrec de 12.000 dòlars contra sistemes amb 300 troballes d'escaneig sense pedaçar et compra una llista de pedaços meravellosament escrita. Escaneja i remedia primer.
• Tractar un escaneig net com a prova de seguretat. Un escanejador informa de l'absència de problemes coneguts a la seva base de dades, no de la presència de seguretat. El codi personalitzat, les falles de lògica de negoci i els problemes mitjans encadenats s'hi amaguen tots.
• Definir l'abast del test lluny del risc real. Excloure el portal de facturació antic "perquè es substituirà l'any vinent" només garanteix que el substitut hereti una integració no provada. Els atacants no respecten les teves exclusions d'abast.
• Arxivar l'informe en lloc d'arreglar-lo. Les troballes sense responsables ni terminis són paper mort. Assigna cada troballa alta i crítica abans que acabi la reunió de conclusions, i posa les dates de retest al calendari mentre els provadors encara estan contractats.
• Saltar-se el retest. Les remediacions sovint resulten incompletes al retest — el pedaç es va aplicar a un servidor però no al seu bessó. El retest és la part més barata de l'encàrrec i la part que demostra que la resta va valer la pena.
• Oblidar la paperassa. Les asseguradores i els auditors demanen informes mesos després. Guarda l'informe, la carta d'abast i la confirmació del retest amb els teus registres financers.

Un marc de decisió pràctic​

Respon tres preguntes en ordre:

1. Una norma ja decideix per tu? Acceptes targetes, emmagatzemes informació de salut, tens un informe SOC 2, o portes una assegurança de ciberrisc amb garanties de proves? Mapa cada obligació a la seva avaluació i freqüència requerides primer. Els elements de compliment són el mínim, no el màxim.

2. Has escanejat i pedaçat? Si no — o no en el darrer trimestre — aquest és el pas u independentment de què més compris. Munta escaneig autenticat dins de la xarxa i escaneig no autenticat fora, treballa les cues crítiques i altes fins a zero, i converteix la cadència en hàbit abans de gastar diners en tests de penetració.

3. Què ha canviat des de la teva darrera mirada profunda? Una aplicació pública nova, una migració al núvol, un trasllat d'oficina, una fusió, o simplement "mai n'hem tingut cap" apunten tots a un test de penetració de caixa grisa del sistema de més risc, amb un retest contractat. Cap canvi important i un test recent net? Continua escanejant, continua pedaçant, i reserva el proper test per al cicle anual.

Per a una petita empresa típica que madura el seu programa, les etapes són així. Etapa u: escaneig mensual més pedaçat ràpid — uns quants milers de dòlars l'any i la protecció per dòlar més alta disponible. Etapa dos: afegeix un test de penetració anual de caixa grisa del sistema més arriscat amb un retest, i arxiva els informes on les assegurances i els qüestionaris de proveïdors els puguin trobar. Etapa tres: escaneig continu lligat als desplegaments, tests de penetració anuals rotant entre sistemes, i tests específics després de cada canvi important. La majoria de lectors d'aquest blog haurien d'estar fermament a l'etapa dos; l'etapa u és on comences aquest trimestre si comences de zero.

Una connexió més que pertany a un blog de finances: cada dòlar aquí és despesa empresarial ordinària, i es mereix els mateixos llibres que qualsevol altra despesa operativa. Les tarifes d'avaluació, les hores de contractistes de remediació, les subscripcions d'escanejadors i les primes d'assegurança de ciberrisc haurien d'anar cadascuna a comptes diferents perquè puguis veure el cost total del programa a l'hora de renovar — i perquè el qüestionari post-incident de l'asseguradora obtingui respostes del llibre major en lloc de la memòria. Un apunt en text pla és tot el que cal:

2026-10-14 * "Security vendor" "Annual grey-box pen test plus retest"
  Expenses:Professional-Services:Security  12000.00 USD
  Assets:Checking

Arxiva la carta d'encàrrec i l'informe final al costat del registre de la transacció. Quan un client potencial demani el teu darrer resum de test de penetració o la teva asseguradora demani proves d'escaneig continu, l'evidència queda a una cerca del pagament que demostra que ho vas comprar.

Mantén la teva despesa en seguretat organitzada des del primer dia​

A mesura que construeixes escaneig, proves i remediació, mantenir registres financers clars del programa és el que converteix la despesa en seguretat en renovacions, qüestionaris resposts i una resposta a incidents més ràpida. Beancount.io ofereix comptabilitat en text pla que et dona transparència i control complets sobre les teves dades financeres — sense caixes negres, sense dependència de proveïdor. Comença gratis i descobreix per què els desenvolupadors i els professionals de les finances es passen a la comptabilitat en text pla.