Qué incluye una prueba de penetración y cómo prepararla

Una prueba de penetración (pentest) simula el ataque de un tercero, de forma controlada, para encontrar vulnerabilidades antes de que lo haga un atacante real.

Qué incluye

• Definición del alcance: qué sistemas se prueban (aplicaciones web, APIs, aplicaciones móviles, infraestructura) y qué queda fuera.
• Reglas de participación: fechas, horarios, técnicas permitidas y contactos de emergencia.
• Pruebas: reconocimiento, búsqueda de vulnerabilidades y verificación de su explotabilidad.
• Informe: hallazgos priorizados por riesgo, evidencia y recomendaciones claras.
• Plan de remediación: acciones concretas y, si se acuerda, una nueva verificación tras las correcciones.

La autorización escrita es indispensable

Toda prueba debe contar con autorización escrita del dueño de los sistemas. Acceder a sistemas sin permiso puede constituir un delito; en Colombia, por ejemplo, la Ley 1273 de 2009 tipifica el acceso abusivo a sistemas informáticos.

Cómo prepararse

1. Inventarie los sistemas y quién es responsable de cada uno.
2. Defina el alcance y los objetivos: ¿cumplimiento, validación previa a un lanzamiento, revisión anual?
3. Avise a los equipos internos y a los proveedores que alojan los sistemas, si aplica.
4. Haga copias de seguridad y defina un plan de comunicación ante incidentes.
5. Designe a una persona responsable de recibir el informe y coordinar la remediación.

Pruebas de seguridad para aplicaciones de IA

Las aplicaciones con IA suman riesgos propios, como instrucciones maliciosas que manipulan al modelo, fugas de datos o agentes con permisos excesivos. Conviene incluirlas en el alcance cuando su organización usa agentes o asistentes de IA.