Evaluación de vulnerabilidades · Colombia
El análisis de vulnerabilidades identifica de forma sistemática los fallos de seguridad presentes en tus sistemas: versiones sin parchear, configuraciones débiles, dependencias con fallos conocidos y servicios expuestos. A diferencia del pentesting, no explota los fallos: los inventaría y los ordena por riesgo real para tu negocio.
La pregunta que siempre me hacen
No compiten: se complementan y tienen momentos distintos. El error habitual es contratar el segundo sin haber hecho el primero.
| Análisis de vulnerabilidades | Pentesting | |
|---|---|---|
| Cobertura | Amplia: toda la superficie expuesta | Profunda: unos pocos vectores hasta el final |
| Método | Automatizado con verificación manual | Manual, con explotación real |
| Qué responde | «¿Qué podría fallar?» | «¿Qué falla de verdad y hasta dónde llega?» |
| Frecuencia | Periódico: trimestral o mensual | Puntual: anual o ante cambios grandes |
| Coste | Menor | Mayor |
| Cuándo va primero | ✔ Siempre | Después, sobre lo que el análisis priorizó |
Si solo puedes hacer uno, haz el análisis. Te da el mapa completo. El pentest sin mapa previo es caro y parcial.
Cómo se hace
El valor no está en correr la herramienta. Está en separar las 200 alertas automáticas de los 6 problemas que de verdad importan.
Qué hay realmente expuesto: dominios, subdominios olvidados, paneles de administración, APIs y servicios. Casi siempre aparece algo que nadie recordaba tener publicado.
Detección de versiones, servicios, puertos abiertos, certificados y configuración. Se contrasta contra bases de vulnerabilidades conocidas.
La fase que casi nadie hace. Se descartan los falsos positivos y se confirma cuáles son reales en tu contexto concreto, porque una alerta crítica en un servicio interno puede no serlo.
No por la severidad teórica de la herramienta, sino por impacto en tu negocio: qué dato quedaría expuesto y qué se detendría si eso falla.
Ordenado por relación impacto/esfuerzo, con instrucciones concretas. Lo que se puede arreglar hoy en diez minutos va primero.
Precio
Un informe que se puede ejecutar, no un PDF de 80 páginas con alertas sin filtrar.
$850.000 COP proyecto
Precio final, antes de IVA. Sin sorpresas al firmar.
Preguntas frecuentes
Tomadas literalmente de la SERP colombiana.
Es el proceso de identificar, clasificar y priorizar los fallos de seguridad de un sistema. Combina herramientas automatizadas que detectan versiones y configuraciones vulnerables con verificación manual que descarta falsos positivos y evalúa el riesgo real en el contexto de la empresa.
El análisis es amplio y no explota los fallos: los identifica en toda la superficie expuesta. El pentesting es profundo y sí los explota, para confirmar cuáles son realmente peligrosos y hasta dónde permitirían llegar. El análisis responde «qué podría fallar»; el pentest, «qué falla de verdad».
Como mínimo cada trimestre, y siempre después de un cambio relevante: una migración, un despliegue grande o la incorporación de un servicio nuevo. Las vulnerabilidades no aparecen porque cambies tú, sino porque se publican fallos nuevos en software que ya tenías.
Escáneres de infraestructura y de aplicación web, analizadores de dependencias y revisión de configuración. Pero la herramienta es lo de menos: dos analistas con el mismo escáner entregan informes de calidad muy distinta según cómo filtren y prioricen los resultados.
El análisis es mucho menos invasivo que un pentest porque no explota los fallos. Aun así, el escaneo genera tráfico, así que se coordina la ventana horaria y se ajusta la intensidad cuando se trabaja sobre producción.
Es lo normal en un primer análisis, y no es mala noticia: significa que ahora sabes dónde estás. Por eso el entregable clave no es la lista, sino el orden. Lo que se corrige la primera semana suele eliminar la mayor parte del riesgo real.
Empecemos por el inventario. Diagnóstico inicial sin costo.