Aprenderlo o contratarlo
Pentest externalizado o interno: crear el equipo propio o comprar el servicio
Elegir entre un pentest externalizado y un equipo interno es la misma decisión en torno a la que gira este sitio. Puede aprenderlo y formar su propio equipo, o puede contratarlo. Sin embargo, casi todas las organizaciones acaban con una combinación, así que la verdadera pregunta es qué partes mantener dentro.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
Qué compara de verdad el pentest externalizado frente al interno
Un equipo interno conoce sus sistemas y puede probar a menudo. Un pentest externalizado aporta independencia y una mirada nueva. Cada opción tiene costos fáciles de pasar por alto.
Por eso conviene comparar el cuadro completo: personas, formación, herramientas, tiempo de gestión y la evidencia que produce cada opción.
Los costos de cada opción
Un equipo interno supone salarios, formación continua, herramientas y alguien que gestione el trabajo. También supone cubrir vacaciones y rotación. En cambio, una empresa externa supone una tarifa fija por proyecto y tiempo de compras.
Como los costos internos se reparten a lo largo del año, pueden parecer menores de lo que son. Súmelos con honestidad antes de decidir.
| Factor | Interno | Externalizado |
|---|---|---|
| Conocimiento de sus sistemas | Profundo | Se construye al definir el alcance |
| Independencia | Limitada | Fuerte |
| Frecuencia | Tan a menudo como haga falta | Por proyecto |
| Evidencia para auditores | A veces cuestionada | Normalmente aceptada |
| Esfuerzo de gestión | Continuo | Por proyecto |
Preguntas que conviene resolver antes de elegir un modelo
Marque lo que ya puede responder sobre un pentest externalizado.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Evidencia: donde más se diferencia el pentest externalizado
Muchos clientes y auditores piden una prueba independiente. Un equipo interno puede ser muy capaz, pero rinde cuentas a las personas que prueba. Por eso su informe puede no convencer a un revisor externo.
Así, incluso organizaciones con equipos internos sólidos suelen comprar un pentest externalizado al año como evidencia.
Cuándo funciona mejor una combinación
Un patrón habitual es probar internamente durante el desarrollo y encargar una prueba externa antes de grandes lanzamientos o auditorías. Así cada parte hace lo que mejor sabe hacer.
Además, la empresa externa puede revisar cómo trabaja el equipo interno. Como existen ambos informes, las carencias se hacen visibles.
Decidir si conviene un pentest externalizado
Parta de tres preguntas. ¿Con qué frecuencia necesita probar? ¿Quién tiene que ver la evidencia? ¿Y puede contratar y retener a las personas adecuadas?
Si la evidencia es la necesidad principal y la prueba es anual, un pentest externalizado suele ser más sencillo. Si el cambio es constante, una capacidad interna empieza a compensar.
Contratarlo con nosotros
Aceptamos un número limitado de proyectos, con profesionales sénior con nombre y autorización firmada antes de cualquier prueba. El método sigue el Penetration Testing Execution Standard.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar.
Preguntas frecuentes sobre el pentest externalizado
¿El pentest externalizado excluye al equipo interno?
No. Muchas organizaciones prueban internamente en el día a día y recurren a una empresa externa para la evidencia.
¿Los auditores aceptan un pentest interno en lugar de un pentest externalizado?
A veces, pero muchos prefieren una parte independiente.
¿Qué opción cuesta menos?
Depende de la frecuencia. Cuente todos los costos internos antes de comparar.
¿Un pentest externalizado puede ayudar a decidir el modelo interno?
La empresa externa puede revisar cómo trabaja el equipo interno, además de hacer su propia prueba.
Guías relacionadas
Valore qué parte conviene externalizar
Díganos con qué frecuencia prueba y quién necesita la evidencia. Respondemos por escrito con un alcance y una tarifa fija para la parte externa.
Pregunte por pruebas autorizadas