Cómo contratar un servicio de pentesting en Honduras: guía práctica

Cómo contratar un servicio de pentesting en Honduras: guía práctica

Respuesta directa: Contratar un pentesting profesional en Honduras requiere verificar tres cosas antes de firmar cualquier contrato: que los consultores tengan certificaciones ofensivas verificables (OSCP, OSWE), que el alcance esté documentado con precisión, y que el contrato incluya retests de verificación. Sin estos tres elementos, el riesgo de recibir un reporte de poco valor es alto — y el de repetir el proceso con otro proveedor, mayor.

Esta guía está escrita para directores de TI, CISOs, gerentes de riesgo y responsables de compras en empresas hondureñas que necesitan contratar un pentesting por primera vez, o que han tenido experiencias insatisfactorias con proveedores anteriores.

---

Por qué el pentesting mal contratado es un gasto, no una inversión

Existe una diferencia fundamental entre un scan automatizado de vulnerabilidades y un test de penetración profesional. La confusión entre ambos es uno de los errores más comunes en el mercado hondureño, y uno de los más costosos.

Un scan automatizado:

• Ejecuta herramientas como Nessus, OpenVAS o Qualys contra su infraestructura
• Genera una lista de vulnerabilidades conocidas por la herramienta
• No confirma si esas vulnerabilidades son explotables en su configuración específica
• No encadena vulnerabilidades para demostrar un ataque real
• Costo: bajo. Valor: limitado. Muchas empresas que lo compran creen que compraron un pentesting.

Un pentesting profesional:

• Es ejecutado por un consultor humano con criterio técnico
• Incluye explotación real (o controlada) de vulnerabilidades para demostrar el impacto
• Encadena múltiples vulnerabilidades para simular la ruta de ataque completa de un adversario real
• Identifica vulnerabilidades de lógica de negocio que ninguna herramienta automatizada puede encontrar
• Costo: más alto. Valor: proporcional al riesgo que mitiga.

Cuando una empresa hondureña contrata un "pentesting" y recibe solo un reporte de scan automatizado, está pagando por algo que no le da protección real. Este error se repite porque los compradores no saben qué preguntar.

Esta guía les da las preguntas correctas.

---

Paso 1: Defina el alcance antes de pedir cotizaciones

El alcance es la variable más importante de un pentesting. Sin un alcance bien definido, no puede comparar cotizaciones ni asegurarse de que está comprando lo que necesita.

Tipos de pentesting según el objetivo:

Tipo	Qué cubre	Cuándo contratarlo
Pentesting de aplicaciones web	Portales, e-commerce, sistemas internos web	Antes de lanzar una app o tras cambios mayores
Pentesting de APIs	REST APIs, GraphQL, integraciones con terceros	Si su empresa expone APIs a socios o clientes
Pentesting de infraestructura interna	Red LAN, servidores, Active Directory	Anual, o tras cambios de infraestructura
Pentesting de infraestructura externa	Servidores expuestos a internet, VPNs, firewalls	Semestral para empresas con exposición perimetral
Pentesting de aplicaciones móviles	Apps iOS y Android	Antes de lanzar o tras actualizaciones mayores
Red team / simulación de adversario	Toda la organización, incluyendo el factor humano	Para empresas con madurez de seguridad avanzada

Preguntas para definir su alcance:

• ¿Qué sistemas son más críticos para su operación? (los que detienen el negocio si fallan)
• ¿Cuáles de esos sistemas están expuestos a internet?
• ¿Tiene aplicaciones web o móviles que procesen datos de clientes o transacciones financieras?
• ¿Su empresa ha sufrido incidentes de seguridad en los últimos 24 meses?
• ¿Existe un requerimiento regulatorio que motive el pentesting? (CNBS, cliente corporativo, auditoría externa)

Las regulaciones de protección de datos en Honduras explican el marco normativo vigente y los requisitos de seguridad que aplican a las empresas hondureñas bajo la supervisión del CNBS y otras autoridades.

---

Paso 2: Las preguntas obligatorias a todo proveedor

Antes de recibir una propuesta de cualquier empresa de pentesting en Honduras, haga estas preguntas. Las respuestas le dirán más que cualquier material de marketing. Para identificar qué proveedores tienen experiencia comprobable en el mercado hondureño y centroamericano, el análisis de las mejores empresas de pentesting en Honduras compara las opciones disponibles con criterios verificables.

Sobre el equipo

"¿Qué certificaciones tienen sus consultores y cómo las verifico?"

La respuesta correcta incluye OSCP (Offensive Security Certified Professional) u otras certificaciones de Offensive Security, con el Credential ID para verificación pública en el sitio de la certificadora. Si el proveedor menciona solo certificaciones de fabricante (CISSP, CEH, CompTIA Security+) sin certificaciones ofensivas, su equipo puede conocer teoría de seguridad pero no necesariamente tiene práctica de explotación real.

"¿Quiénes son los consultores asignados a mi proyecto?"

Muchas empresas venden el pentesting con los perfiles de sus mejores consultores y lo ejecutan con otros. Exija saber quiénes harán el trabajo, no solo quiénes están en la empresa.

Sobre la metodología

"¿Qué metodología siguen y pueden mostrármela en la propuesta?"

La respuesta correcta incluye referencias a marcos formales: OWASP Top 10 para aplicaciones web, PTES (Penetration Testing Execution Standard) para el alcance general, OWASP WSTG (Web Security Testing Guide), o MITRE ATT&CK para simulación de adversarios. El checklist de evaluación de proveedores ayuda a sistematizar la comparación de propuestas con estos y otros criterios objetivos. Si la respuesta es vaga ("seguimos las mejores prácticas de la industria"), presione para obtener especificidad.

"¿El pentesting incluye explotación real o solo identificación de vulnerabilidades?"

Un pentesting que solo identifica vulnerabilidades sin explotarlas es, en la práctica, un scan avanzado. El valor real viene de la explotación controlada que demuestra el impacto real en su entorno específico.

Sobre los entregables

"¿Cómo y cuándo recibiré los hallazgos? ¿Tienen plataforma en tiempo real o solo reporte al final?"

Los proveedores con plataforma SaaS le permiten ver hallazgos durante la prueba. Esto es valioso porque su equipo puede empezar a remediar mientras el pentesting continúa. Los que solo entregan un reporte PDF al final son menos eficientes operativamente.

"¿El reporte incluye un apartado ejecutivo separado del técnico?"

Un buen reporte tiene dos audiencias: los técnicos que van a remediar las vulnerabilidades necesitan detalles de explotación, pasos de reproducción y referencias. La dirección y la junta necesitan entender el impacto en negocio, el nivel de riesgo global y las prioridades. Si el proveedor entrega un solo reporte técnico de 80 páginas, su CISO o director de TI tendrá dificultades para justificar el gasto ante la dirección.

Sobre los retests

"¿Los retests de verificación están incluidos o tienen costo adicional?"

Este punto tiene impacto directo en el costo total del proyecto. Si su equipo remedia 15 vulnerabilidades y el proveedor cobra un retest por cada una, el costo del proyecto puede duplicarse. Los proveedores que incluyen retests ilimitados en el precio base hacen que el proceso de remediación sea predecible y sin sorpresas presupuestarias.

Sobre el contrato y SLA

"¿El contrato especifica fechas de inicio, duración del engagement y fecha de entrega del reporte?"

Un contrato sin SLA de entrega pone al proveedor en posición de extender el proyecto indefinidamente. Si usted tiene una fecha límite regulatoria (presentación ante la CNBS, auditoría externa) o un ciclo de lanzamiento de producto, los compromisos de tiempo deben ser contractuales, no verbales.

---

Paso 3: Entienda lo que incluye el precio

El precio de un pentesting en Honduras varía significativamente según el alcance, la duración y el nivel de sofisticación del proveedor. Una cotización baja no es necesariamente mejor valor — puede significar un alcance recortado, un equipo menos calificado, o la ausencia de entregables clave.

Preguntas para clarificar el precio:

• ¿El precio incluye retests ilimitados o son adicionales?
• ¿El precio incluye el reporte técnico y ejecutivo o solo uno de los dos?
• ¿Cuántas horas de consultor están incluidas?
• Si el proyecto se extiende por hallazgos de mayor complejidad, ¿hay costo adicional?
• ¿El soporte para interpretar el reporte con el equipo técnico está incluido?

Rangos de referencia para el mercado centroamericano:

Los precios varían ampliamente. Una evaluación básica de aplicación web puede estar en el rango de USD 3,000-8,000. Un pentesting de infraestructura completo puede estar entre USD 8,000-25,000. Un red team de varios días para una organización grande puede superar USD 40,000. Desconfíe de cotizaciones muy por debajo de estos rangos — usualmente indican que algo del alcance no está incluido.

---

Paso 4: Prepare su organización antes del pentesting

Muchas empresas hondureñas contratan un pentesting sin preparar a su organización, lo que resulta en fricciones durante la ejecución y hallazgos que no se pueden remediar eficientemente.

Antes de iniciar el pentesting:

• Obtenga autorización formal por escrito de la dirección. El equipo de pentesting necesita una carta de autorización firmada por alguien con autoridad para autorizar las pruebas en los sistemas de la empresa. Sin esta carta, un pentesting puede ser indistinguible de un ataque real y puede tener consecuencias legales.

• Notifique a su proveedor de nube o datacenter. Si tiene sistemas en AWS, Azure, GCP, o en un datacenter con IDS/IPS, notifique a esos proveedores que habrá tráfico de prueba. Algunos proveedores cloud requieren notificación previa antes de permitir pruebas de penetración en sus entornos.

• Identifique a los contactos técnicos. El equipo de pentesting necesita acceso rápido al administrador de sistemas, al DBA o al desarrollador líder cuando tienen preguntas o cuando necesitan excluir algo del alcance. Tener un solo punto de contacto técnico disponible durante el engagement evita demoras.

• Defina las ventanas de prueba. Si sus sistemas tienen ventanas de mantenimiento, horarios de mayor tráfico que deben evitarse, o períodos sensibles (cierre de mes, campaña comercial), comuníqueselos al proveedor antes de comenzar.

• Asegure que el equipo de desarrollo esté disponible para revisar hallazgos. Si el pentesting identifica vulnerabilidades críticas en una aplicación web, alguien de desarrollo necesita entender el hallazgo y comenzar a trabajar en la remediación. Que ese recurso esté disponible durante el engagement hace que el proceso sea más eficiente.

---

Paso 5: Aproveche los resultados

Un pentesting entrega su mayor valor cuando la organización actúa sobre los hallazgos. Esto parece obvio, pero es sorprendentemente común que las empresas reciban un reporte, lo guarden, y no hagan nada hasta el siguiente ciclo de auditoría.

Plan de acción tras recibir el reporte:

1. Priorice por riesgo, no por facilidad de remediación. Los hallazgos críticos y altos van primero, independientemente de cuánto tiempo tarden en remediar. Una vulnerabilidad crítica fácil de explotar es más urgente que diez hallazgos bajos fáciles de corregir.

2. Asigne responsables y fechas. Cada hallazgo debe tener un dueño (persona) y una fecha comprometida de remediación.

3. Solicite los retests. Una vez que un hallazgo esté corregido, solicite al proveedor que verifique la corrección. Que el mismo equipo que encontró la vulnerabilidad verifique que fue corregida elimina la posibilidad de error en la remediación.

4. Documente el proceso. Si debe presentar evidencia de cumplimiento ante la CNBS, ante un auditor externo, o ante un cliente corporativo, la cadena de documentación (reporte original + evidencia de remediación + reporte de retests) es lo que demuestra diligencia.

5. Use los hallazgos para mejorar los procesos. Las vulnerabilidades repetidas (por ejemplo, SQL injection en múltiples puntos de la aplicación) señalan un problema de proceso de desarrollo, no solo de código. Use el reporte para identificar dónde necesita entrenamiento de seguridad en el equipo de desarrollo.

---

Errores comunes al contratar pentesting en Honduras

Error 1: Comprar precio en lugar de valor La cotización más baja puede implicar un alcance reducido o un equipo sin certificaciones relevantes. Evalúe el valor en función de lo que realmente entrega.

Error 2: No verificar las certificaciones del equipo Las certificaciones de papel se falsifican. Las certificaciones de Offensive Security tienen IDs públicos verificables. Verifíquelos antes de firmar.

Error 3: No definir el alcance con precisión Un alcance vago da al proveedor discreción para hacer menos de lo que usted esperaba. El alcance debe especificar exactamente qué sistemas, qué URLs, qué rangos de IP están incluidos.

Error 4: Tratar el pentesting como un ejercicio de cumplimiento de papel El valor real del pentesting es la mejora de la seguridad real, no el certificado. Las empresas que contratan pentesting solo para "tener el papel" para la CNBS y no actúan sobre los hallazgos están gastando el presupuesto sin reducir el riesgo.

Error 5: No planificar la remediación Sin un plan y recursos asignados para remediar los hallazgos, el pentesting identifica riesgos que quedan sin resolver. Planifique la remediación antes de iniciar el engagement.

---

Preguntas frecuentes sobre el pentesting en Honduras

¿Cuánto cuesta un pentest en Honduras?

El costo de un pentesting en Honduras varía según el alcance: para una aplicación web de tamaño medio, el rango orientativo está entre USD $3,000 y $8,000. Para un test de infraestructura completo de una empresa mediana, puede ubicarse entre $6,000 y $15,000. Los proveedores regionales como WhiteJaguars trabajan con empresas centroamericanas y ajustan el alcance al presupuesto disponible sin sacrificar la profundidad técnica.

¿Cuánto tiempo dura un engagement de pentesting en Honduras?

Un engagement estándar para una aplicación web o sistema de tamaño medio dura entre 1 y 2 semanas de trabajo activo. El tiempo total del proyecto, incluyendo reunión de alcance, ejecución, entrega de reporte y primera ronda de retests, suele ser de 3 a 5 semanas. Alcances más grandes (infraestructura compleja, múltiples aplicaciones) pueden extenderse a 4-8 semanas.

¿Qué marco regulatorio hondureño exige o recomienda el pentesting?

La Comisión Nacional de Bancos y Seguros (CNBS) es la entidad más relevante para ciberseguridad en Honduras. Sus normas de riesgo operacional para entidades financieras incluyen la evaluación periódica de sistemas de información. Honduras no tiene, a 2026, una ley general de protección de datos, pero las empresas con presencia internacional o que procesan tarjetas de crédito están sujetas a PCI-DSS v4.0, que exige pentesting anual.

Qué debe ofrecer un proveedor de pentesting para empresas hondureñas

Al evaluar proveedores para el mercado hondureño, conviene priorizar los que documentan hallazgos accionables e incluyen retests ilimitados sin costo adicional. También importa que entreguen reporte técnico y reporte ejecutivo por separado, con soporte durante el proceso de remediación. WhiteJaguars, según información publicada por la firma, ofrece retests ilimitados incluidos en el servicio. Antes de contratar, cualquier lector debería pedir a su proveedor certificaciones verificables, muestras de informe y referencias de clientes en la región centroamericana.