Prueba de penetración vs. escaneo de vulnerabilidades: qué evaluación de seguridad necesita realmente tu pequeña empresa

El ransomware aparece en el 88 por ciento de las brechas de seguridad en pequeñas empresas, y la brecha promedio en una compañía con menos de 500 empleados cuesta alrededor de $3,31 millones. El cuarenta por ciento de los propietarios de pequeñas empresas afirma que un solo ataque con un costo de $100.000 o menos los sacaría del negocio. No necesitas ser un objetivo para convertirte en víctima: los bots automatizados sondean cada servidor conectado a internet que posees, todos los días, sin importar si alguien ha oído hablar de tu empresa.

La buena noticia es que las dos evaluaciones de seguridad estándar responden preguntas diferentes, y la mayoría de las pequeñas empresas necesita ambas — en el orden correcto y con la frecuencia correcta. Un escaneo de vulnerabilidades te ofrece un inventario automatizado de debilidades conocidas. Una prueba de penetración contrata a un humano para intentar entrar tal como lo haría un atacante. Confundir ambas es costoso en ambas direcciones: o pagas cinco cifras por un ataque simulado que redescubre parches que nunca aplicaste, o agitas un informe de escaneo limpio ante un auditor que pidió específicamente una prueba de penetración.

Esta guía explica qué hace cada evaluación, cuánto cuesta cada una en 2026, con qué frecuencia ejecutar cada una, qué reglas de cumplimiento fuerzan la elección y la secuencia de decisión que le brinda a una pequeña empresa la mayor protección por dólar.

La respuesta en 60 segundos​

Si solo recuerdas un párrafo, que sea este: ejecuta escaneos automatizados de vulnerabilidades de forma continua, corrige lo que encuentren y encarga una prueba de penetración liderada por humanos una vez al año o después de cualquier cambio importante. El escaneo es tu detector de humo — barato, siempre activo y propenso a falsas alarmas. La prueba de penetración es la inspección del departamento de bomberos — costosa, puntual y lo que tu aseguradora y tus clientes empresariales realmente solicitan.

Qué hace realmente un escaneo de vulnerabilidades​

Un escáner de vulnerabilidades es un software que inventaría tus sistemas y compara lo que encuentra contra bases de datos de debilidades conocidas — CVE publicados, parches faltantes, configuraciones erróneas, certificados expirados, puertos abiertos que deberían estar cerrados. Apúntalo a un rango de IP, un dominio o una cuenta en la nube, y unas horas después obtienes un informe que agrupa los hallazgos por severidad con las correcciones propuestas, generalmente ordenadas por puntuación CVSS.

Dos distinciones importan cuando defines el alcance e interpretas los escaneos:

Escaneos no autenticados vs. autenticados. Un escaneo no autenticado ve solamente lo que ve un externo: puertos abiertos, banners de servicios, configuración TLS. Un escaneo autenticado inicia sesión con credenciales y puede verificar niveles de parches, configuración local y software instalado — una cobertura mucho más profunda. El escaneo interno autenticado se volvió explícitamente obligatorio bajo PCI DSS en 2025, y es el modo que encuentra el servidor sin parchear detrás de tu firewall que un escaneo externo nunca verá.

Escaneos externos vs. internos. Los escaneos externos sondean tu huella expuesta a internet: el sitio web, el servidor de correo, la puerta de enlace VPN, el puerto de escritorio remoto que alguien abrió durante la pandemia y olvidó. Los escaneos internos se ejecutan dentro de la red y ven estaciones de trabajo, impresoras, recursos compartidos de archivos y el servidor de contabilidad. Ambos importan porque los atacantes entran desde afuera y luego se mueven lateralmente por dentro.

Los escaneos tienen tres límites estructurales que debes entender antes de confiar en uno. Primero, solo conocen debilidades conocidas — un escáner no puede encontrar un fallo lógico único de tu aplicación web, porque ese fallo no existe en ninguna base de datos. Segundo, reportan posibilidades, no pruebas: un hallazgo "crítico" puede resultar inalcanzable en tu configuración, por lo que los informes de escaneo tienen fama de contener falsos positivos. Tercero, un escaneo nunca encadena hallazgos como lo hace un atacante. Tres problemas "medios" — una página de inicio de sesión expuesta, reutilización de contraseñas y una cuenta de respaldo con permisos excesivos — pueden combinarse en una toma de control total que ningún hallazgo individual predice. Encontrar esas cadenas es para lo que sirven los humanos.

Qué hace realmente una prueba de penetración​

Una prueba de penetración es un ataque controlado y autorizado contra tus sistemas, llevado a cabo por profesionales de seguridad que combinan herramientas automatizadas con técnicas manuales. Donde un escaneo pregunta "¿qué debilidades existen?", una prueba de penetración pregunta "¿cuáles de estas se pueden explotar realmente, hasta dónde puede llegar un atacante y cuál es el daño empresarial?". Cada hallazgo en un buen informe de prueba de penetración viene con pruebas — capturas de pantalla, datos capturados o un shell — más un análisis de impacto y pasos de remediación priorizados, escritos para las personas que tienen que corregirlos.

La mayoría de los compromisos siguen un proceso estándar de cuatro fases modelado sobre NIST SP 800-115: planificación y reconocimiento, escaneo de descubrimiento, ejecución del ataque y presentación de informes. La metodología que se superpone depende del objetivo — la guía de pruebas de OWASP para aplicaciones web, PTES para compromisos generales — pero la forma es la misma: reunir información, encontrar debilidades, intentar explotarlas dentro de las reglas de enfrentamiento acordadas y luego documentarlo todo.

También elegirás cuánto saben los evaluadores de antemano, lo que determina tanto el realismo como el precio:

• Pruebas black-box no dan al equipo ninguna información interna, simulando a un atacante externo. Las más realistas y las más lentas, porque los evaluadores dedican días facturables al reconocimiento que podrías haberles entregado gratis.
• Pruebas white-box entregan diagramas de arquitectura, código fuente y credenciales, maximizando la cobertura por día de prueba. Encuentran la mayor cantidad de problemas, pero se parecen más a un insider que a un desconocido en internet.
• Pruebas grey-box dividen la diferencia — normalmente una cuenta de usuario estándar y documentación básica. Para la mayoría de las pequeñas empresas esta es la mejor relación calidad-precio: lo suficientemente realista para importar, lo suficientemente eficiente para costearla.

Una prueba de penetración termina con dos cosas que un escaneo nunca produce: la confirmación de lo que es genuinamente explotable (lo que te permite ignorar con confianza los otros 200 hallazgos del escáner), y el informe narrativo que tu auditor, tu aseguradora de ciberseguridad y el cuestionario de proveedores de tu mayor cliente potencial quieren ver.

Frente a frente: método, profundidad, duración y entregable​

Las dos evaluaciones difieren en cada dimensión que importa para presupuestar y programar:

• Método. Los escaneos son totalmente automatizados y se ejecutan sin supervisión según un calendario. Las pruebas de penetración son parcialmente manuales por definición — las herramientas hacen el descubrimiento, los humanos hacen la explotación y el análisis.
• Amplitud vs. profundidad. Un escaneo cubre un amplio rango de activos de forma barata pero superficial. Una prueba de penetración profundiza en un alcance definido: una aplicación, un segmento de red, una cuenta en la nube.
• Duración. Un escaneo toma de horas a un día. Una prueba de penetración para pequeña empresa normalmente dura de una a dos semanas, incluyendo el informe.
• Entregable. Un escaneo produce una lista generada por la herramienta ordenada por severidad. Una prueba de penetración produce un informe escrito por un consultor con pruebas, calificaciones de impacto empresarial y un resumen ejecutivo que puedes entregar a un consejo o a una aseguradora.
• Habilidad que se te exige. Casi cualquiera puede programar un escaneo. Una prueba de penetración requiere que definas el alcance, gestiones los accesos, asignes responsables de los hallazgos y programes la re-prueba que confirme que las correcciones funcionaron.

De todo esto se desprende una regla de orden: escanea primero, corrige y luego haz la prueba de penetración. Pagarles a los evaluadores para que redescubran parches faltantes que un escáner habría listado por centavos es la forma más común en que las pequeñas empresas desperdician un presupuesto de seguridad.

Cuánto cuesta cada uno en 2026​

El escaneo de vulnerabilidades es una suscripción o una herramienta gratuita. Tenable Nessus Professional, el escáner de pequeña empresa más común, se lista en aproximadamente $4.800 al año para IPs ilimitadas desde un solo escáner; Nessus Essentials es gratuito para uso limitado. El escaneo en la nube de Qualys empieza más alto, en los miles bajos al año para huellas pequeñas. OpenVAS de Greenbone sigue siendo gratuito y capaz, pero exige tiempo real de mantenimiento en Linux, lo que para la mayoría de las pequeñas empresas cuesta más que una licencia comercial una vez contabilizadas las horas del personal. El escaneo totalmente gestionado — un proveedor ejecuta los escaneos, clasifica los falsos positivos y te entrega una lista de acciones — normalmente cuesta entre $5.000 y $10.000 al año. Muchas empresas terminan pagando unos cientos de dólares al mes en total.

Las pruebas de penetración se cobran por compromiso. Para una pequeña empresa con un alcance definido — una aplicación web, una pequeña red de oficina, una API sencilla — una prueba profesional cuesta entre $5.000 y $15.000. La mayoría de los compromisos enfocados de pequeña y mediana empresa se sitúan entre $10.000 y $20.000, con un promedio sectorial de todos los tipos cercano a $18.000. Las pruebas de red se sitúan en el extremo inferior del rango; las pruebas de aplicaciones web y APIs con múltiples roles de usuario cuestan más; cualquier cosa con informes de nivel de cumplimiento (PCI DSS, SOC 2) factura horas adicionales por el papeleo, independientemente del tamaño del entorno.

Cuatro cosas suben o bajan el presupuesto de una prueba de penetración: el tamaño del alcance (hosts, aplicaciones, endpoints de API), la complejidad de la aplicación (roles de usuario, multi-tenencia, integraciones de terceros), el modelo de conocimiento del evaluador (el reconocimiento black-box factura días antes de que empiece la prueba) y los requisitos de informe (una carta para tu aseguradora es barata; un paquete de evidencias listo para PCI no lo es). El mejor control de costos individual es una declaración de alcance precisa: nombra los objetivos, nombra lo que queda fuera de límites y adjunta el diagrama de arquitectura en lugar de pagarles a desconocidos por hacer ingeniería inversa.

Para la planificación presupuestaria, un punto de partida razonable para una pequeña empresa es el escaneo continuo por unos pocos miles de dólares al año más una prueba de penetración grey-box anual de tu sistema de mayor riesgo. Compáralo con la alternativa que el sector sigue midiendo: un año completo de pruebas para una empresa mediana cuesta aproximadamente el 1 por ciento del promedio de una brecha.

Con qué frecuencia ejecutar cada uno​

Escaneos: continuamente, o al menos mensualmente. Como los escaneos son baratos y automatizados, la frecuencia es casi gratuita — muchas empresas escanean semanalmente o en cada despliegue. Como mínimo, escanea mensualmente, escanea después de cualquier cambio significativo (nuevo servidor, cambio de reglas de firewall, actualización importante de software) y asegúrate de que tus escaneos PCI trimestrales realmente ocurran si los datos de tarjetas te ponen en alcance. Los resultados de escaneo obsoletos apenas son mejores que no tener resultados: se publican nuevos CVE a diario, y la ventana entre la divulgación y la explotación masiva no deja de encogerse.

Pruebas de penetración: anualmente, más después de cambios importantes. Las pruebas anuales son la norma del sector y el piso de cumplimiento explícito bajo PCI DSS y la mayoría de los requisitos de seguros y de proveedores empresariales. Vuelve a probar antes cuando la superficie de ataque cambie de forma significativa: una nueva aplicación de cara al cliente, una migración a la nube, una fusión que une dos redes o una brecha importante en otra parte de tu cadena de suministro de software que afecte a tu stack. Y siempre contrata la re-prueba por adelantado — un compromiso breve de seguimiento, a menudo incluido o con descuento, en el que los evaluadores verifican tus correcciones en lugar de dejarte afirmar que funcionaron.

La secuencia que desperdicia menos dinero es así: escanear, remediar los hallazgos críticos y altos, verificar con un nuevo escaneo y luego hacer la prueba de penetración. Los evaluadores dedican entonces sus días a los problemas encadenados, de nivel lógico y de configuración que ningún escáner podría encontrar, en lugar de facturarte por confirmar que el servidor de impresión sigue ejecutando un firmware de 2019.

Las reglas de cumplimiento que fuerzan la elección​

Para muchas pequeñas empresas, el debate escaneo-vs-prueba lo resuelve quien procesa sus pagos o asegura su riesgo. Las reglas que se encuentran con más frecuencia:

El Requisito 11 de PCI DSS es el grande para cualquiera que maneje datos de tarjetas. La mayoría de los pequeños comerciantes necesitan escaneos externos trimestrales realizados por un Proveedor de Escaneo Aprobado listado por PCI, escaneos internos de vulnerabilidades al menos anualmente y después de cambios significativos, y — para comerciantes con SAQ D y cualquiera que use segmentación de red para reducir el alcance — pruebas de penetración anuales del entorno de datos del titular de la tarjeta y de cualquier control de segmentación. Nótese la trayectoria: la versión 4 de PCI DSS trasladó varios elementos de prueba de la guía al mandato, incluyendo el escaneo interno autenticado. Si aceptas tarjetas y no has mapeado tu tipo de SAQ a sus obligaciones de prueba, hazlo antes de comprar cualquier cosa.

SOC 2, HIPAA y el seguro cibernético son menos prescriptivos sobre el método, pero cada vez más específicos en la práctica. Los auditores de SOC 2 esperan evidencia de gestión continua de vulnerabilidades más pruebas de penetración periódicas; el análisis de riesgos requerido por HIPAA se satisface rutinariamente con ese mismo par; y las solicitudes de seguro cibernético ahora preguntan comúnmente cuándo fue tu última prueba de penetración, y algunas aseguradoras fijan el precio o rechazan la cobertura según la respuesta. El cuestionario de seguridad de proveedores de un cliente empresarial preguntará tanto la cadencia de escaneo como el resumen ejecutivo de la prueba de penetración más reciente — tenerlos listos acorta los ciclos de venta.

La conclusión práctica: si una regla o un contrato nombra una evaluación específica, esa evaluación no es opcional y la otra no la sustituye. Una pila de informes de escaneo limpios no satisfará a un auditor que pidió una prueba de penetración, y una prueba de penetración no satisface un requisito de escaneo trimestral durante los otros once meses del año.

Errores comunes que desperdician el presupuesto​

• Hacer la prueba de penetración antes de aplicar parches. Encargar un compromiso de $12.000 contra sistemas con 300 hallazgos de escáner sin parchear te compra una lista de parches bellamente escrita. Escanea y remedia primero.
• Tratar un escaneo limpio como prueba de seguridad. Un escáner informa la ausencia de problemas conocidos en su base de datos, no la presencia de seguridad. El código personalizado, los fallos de lógica de negocio y los medios encadenados se le ocultan.
• Definir el alcance de la prueba lejos del riesgo real. Excluir el portal de facturación heredado "porque será reemplazado el año que viene" solo garantiza que el reemplazo herede una integración no probada. Los atacantes no respetan tus exclusiones de alcance.
• Archivar el informe en lugar de corregirlo. Los hallazgos sin responsables ni plazos son material de estantería. Asigna cada hallazgo alto y crítico antes de que termine la llamada de conclusiones y pon las fechas de re-prueba en el calendario mientras los evaluadores siguen contratados.
• Omitir la re-prueba. Las remediaciones rutinariamente resultan incompletas en la re-prueba — el parche se aplicó a un servidor pero no a su gemelo. La re-prueba es la parte más barata del compromiso y la que demuestra que el resto valió la pena.
• Olvidar el papeleo. Las aseguradoras y los auditores piden informes meses después. Guarda el informe, la carta de alcance y la confirmación de la re-prueba junto a tus registros financieros.

Un marco de decisión práctico​

Responde tres preguntas en orden:

1. ¿Ya hay una regla que decide por ti? ¿Aceptas tarjetas, almacenas información de salud, tienes un informe SOC 2 o cuentas con un seguro cibernético con garantías de pruebas? Mapea cada obligación a su evaluación y frecuencia requeridas primero. Los elementos de cumplimiento son el piso, no el techo.

2. ¿Has escaneado y aplicado parches? Si no — o no en el último trimestre — ese es el paso uno, independientemente de lo demás que compres. Monta escaneo autenticado dentro de la red y no autenticado fuera de ella, trabaja las colas de críticos y altos hasta cero y haz que la cadencia se vuelva un hábito antes de gastar dinero en pruebas de penetración.

3. ¿Qué cambió desde tu última revisión profunda? Una nueva aplicación pública, una migración a la nube, una mudanza de oficina, una fusión o simplemente "nunca hemos tenido una" apuntan todos a una prueba de penetración grey-box del sistema de mayor riesgo, con una re-prueba contratada. ¿Sin cambios importantes y con una prueba reciente limpia? Sigue escaneando, sigue aplicando parches y reserva la próxima prueba para el ciclo anual.

Para una pequeña empresa típica que madura su programa, las etapas se ven así. Etapa uno: escaneo mensual más aplicación de parches puntual — unos pocos miles de dólares al año y la mayor protección por dólar disponible. Etapa dos: añade una prueba de penetración grey-box anual del sistema más riesgoso con una re-prueba, y archiva los informes donde las aseguradoras y los cuestionarios de proveedores puedan encontrarlos. Etapa tres: escaneo continuo vinculado a los despliegues, pruebas de penetración anuales rotando entre sistemas y pruebas específicas después de cada cambio importante. La mayoría de los lectores de este blog deberían estar firmemente en la etapa dos; la etapa uno es donde empiezas este trimestre si partes de cero.

Una conexión más que pertenece a un blog de finanzas: cada dólar aquí es gasto empresarial ordinario, y merece los mismos libros que cualquier otro gasto operativo. Las tarifas de evaluación, las horas de contratistas de remediación, las suscripciones a escáneres y las primas de seguro cibernético deberían ir cada una a cuentas distintas para que puedas ver el costo total del programa en el momento de la renovación — y para que el cuestionario posterior al incidente de la aseguradora obtenga respuestas del libro mayor en lugar de la memoria. Un asiento en texto plano es todo lo que se necesita:

2026-10-14 * "Security vendor" "Annual grey-box pen test plus retest"
  Expenses:Professional-Services:Security  12000.00 USD
  Assets:Checking

Archiva la carta de compromiso y el informe final junto al registro de la transacción. Cuando un cliente potencial pida tu último resumen de prueba de penetración o tu aseguradora pida prueba de escaneo continuo, la evidencia está a una búsqueda del pago que demuestra que lo compraste.

Mantén organizado tu gasto en seguridad desde el primer día​

A medida que desarrollas el escaneo, las pruebas y la remediación, mantener registros financieros claros del programa es lo que convierte el gasto en seguridad en renovaciones, cuestionarios respondidos y una respuesta a incidentes más rápida. Beancount.io ofrece contabilidad en texto plano que te da total transparencia y control sobre tus datos financieros — sin cajas negras, sin dependencia de proveedores. Empieza gratis y descubre por qué los desarrolladores y los profesionales de finanzas se están pasando a la contabilidad en texto plano.