Guía
Auditoría, escaneo de vulnerabilidades o prueba de intrusión: qué contratar
Un escaneo automatizado enumera vulnerabilidades probables, una auditoría las clasifica y dice qué corregir, una prueba de intrusión demuestra lo que un atacante podría hacer con ellas. Estas son las definiciones de la ANSSI, lo que debe contener un informe y lo que el RGPD y la ISO 27001 imponen realmente.
Actualizado el 18 de octubre de 2026 · Las cifras tienen su fuente al pie de página; las valoraciones son de IT CyberWall.
Tres servicios que se confunden
| Servicio | Lo que hace | Lo que usted recibe |
|---|---|---|
| Escaneo de vulnerabilidades | Una herramienta consulta automáticamente sus máquinas y compara lo que ve con una base de vulnerabilidades conocidas. | Una lista de vulnerabilidades probables, a menudo larga, que hay que filtrar. |
| Auditoría de seguridad | Unos auditores examinan su arquitectura, sus configuraciones, su código o su organización. | Un informe que clasifica las vulnerabilidades y dice qué corregir primero. |
| Prueba de intrusión | Unos auditores se ponen en la piel de un atacante y comprueban que una vulnerabilidad es realmente explotable, y con qué impacto[1]. | La prueba de lo que un atacante podría hacer, paso a paso. |
Los cinco tipos de auditoría según la ANSSI
El referencial de los proveedores de auditoría cualificados (PASSI) distingue cinco actividades[1]:
- Auditoría de arquitectura: la elección y la ubicación de los equipos, las conexiones con internet y con las redes de terceros.
- Auditoría de configuración: los ajustes de los equipos de red, los sistemas, las aplicaciones y los productos de seguridad.
- Auditoría de código fuente: las vulnerabilidades en el código de una aplicación.
- Prueba de intrusión: la explotación de las vulnerabilidades en condiciones reales de ataque.
- Auditoría organizativa y física: la gobernanza, los procedimientos, la seguridad de las instalaciones.
Lo que debe contener el informe
El referencial PASSI fija el contenido de un informe de auditoría[1]. Es una buena referencia para valorar cualquier informe:
- un resumen comprensible para no expertos: contexto, alcance, vulnerabilidades críticas y valoración del nivel de seguridad;
- una tabla de vulnerabilidades clasificadas según su impacto y su facilidad de explotación;
- unas recomendaciones vinculadas a cada vulnerabilidad, clasificadas por criticidad y por coste;
- para una prueba de intrusión, el desarrollo de la prueba y el método empleado;
- los límites: lo que no se ha podido cubrir y las fases realizadas con herramientas automáticas.
Un informe que no es más que la salida de una herramienta, sin resumen ni prioridades, no le ayudará a decidir.
Lo que la ley impone y lo que no impone
- El RGPD exige, para los tratamientos de datos personales, «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas» de seguridad (artículo 32), con un nivel adaptado al riesgo[2]. No impone expresamente una auditoría ni una prueba de intrusión: le corresponde a usted elegir un procedimiento proporcionado.
- La norma ISO/IEC 27001 es una norma voluntaria: una empresa decide por sí misma certificarse[3]. No es una obligación legal, aunque un cliente puede exigirla por contrato.
- Una cualificación PASSI solo es obligatoria cuando un texto o un contrato la exige. Puede comprobarse en el sitio web de la ANSSI.
Siempre una autorización por escrito
Una prueba de intrusión consiste en atacar sistemas: solo se realiza con el consentimiento por escrito de su propietario. El referencial PASSI prevé un convenio firmado antes de la auditoría y, para una prueba de intrusión, una ficha de autorización firmada por quien la encarga, el auditado y los terceros afectados (su proveedor de alojamiento, por ejemplo), que enumera los objetivos, las fechas y las horas[1].
¿Qué contratar?
| Su situación | Lo que conviene |
|---|---|
| No sabe en qué punto está | Una auditoría de arquitectura y de configuración, con un resumen para la dirección. |
| Quiere seguir la evolución a lo largo del tiempo | Un escaneo periódico, como complemento de una auditoría, nunca en su lugar. |
| Un sitio web o una aplicación expuestos en internet | Una prueba de intrusión sobre ese alcance. |
| Un cliente o una licitación exige una prueba | Lea el requisito: cualificación PASSI, certificación ISO 27001 o simple informe de auditoría no son lo mismo. |
Nuestras auditorías se describen en la página Auditoría de seguridad.
¿No sabe qué contratar?
Describa su contexto y lo que le piden: le diremos qué tipo de auditoría conviene.
Fuentes
Fuentes consultadas el 18 de octubre de 2026. Las tarifas de los proveedores se indican sin impuestos, en la divisa y la región de la tarifa publicada, y pueden cambiar: compruebe siempre la página oficial antes de decidir.
- ANSSI – Prestataires d’audit de la sécurité des systèmes d’information (PASSI), référentiel d’exigences v2.1-a (1 de septiembre de 2023) — cyber.gouv.fr/sites/default/files/document/R%C3%A9f%C3%A9rentiel%20PASSI%20%E2%80%93%20version%202.1-a%20%E2%80%93%20sans%20marque%20de%20r%C3%A9vision.pdf
- CNIL – Règlement européen sur la protection des données, capítulo 4 (artículo 32) — www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- ISO – ISO/IEC 27001, Information security management systems — www.iso.org/isoiec-27001-information-security.html