*Actualizado el 10 de diciembre de 2026
Las cinco fases de las pruebas de penetración que se tratan en esta guía son: reconocimiento, escaneo, evaluación de vulnerabilidades, explotación y elaboración de informes. En conjunto, ayudan a las organizaciones a identificar los puntos débiles de seguridad, comprender cómo los atacantes podrían aprovecharlos y priorizar las medidas correctivas.
Las pruebas de penetración, también conocidas como «pen testing», son una evaluación de seguridad autorizada que combina los conocimientos de especialistas con herramientas automatizadas para investigar vulnerabilidades y demostrar su impacto potencial.
En 2026, el alcance de tus pruebas debe reflejar el funcionamiento de tu empresa. Esto podría incluir redes internas, aplicaciones conectadas a Internet, entornos en la nube, API y sistemas de identidad. El objetivo es responder a una pregunta práctica: ¿por dónde podría acceder un atacante y qué podría hacer a continuación?
Aunque este artículo agrupa el proceso técnico en cinco etapas, las metodologías utilizan diferentes nombres y estructuras para las fases. La planificación y la autorización deben preceder a las pruebas.
Tu organización y el proveedor de pruebas deben acordar qué sistemas entran dentro del alcance, los objetivos, las técnicas permitidas, los periodos de pruebas y cualquier exclusión. También deben establecer contactos de emergencia, requisitos de tratamiento de datos y condiciones para interrumpir la prueba.
Estas reglas de actuación proporcionan a los evaluadores unos límites claros y ayudan a gestionar el riesgo operativo. El NIST las identifica como directrices y restricciones establecidas antes de que comience una prueba de seguridad.
El reconocimiento es la fase de recopilación de información de las pruebas de penetración. Ayuda a los evaluadores a comprender el entorno e identificar posibles puntos de entrada dentro del alcance acordado.
Esto puede implicar revisar nombres de dominio, direcciones IP, servicios de acceso público, información sobre aplicaciones y datos facilitados por sus equipos técnicos.
La información disponible depende del encargo. Algunas pruebas comienzan con un conocimiento limitado del entorno, mientras que otras incluyen documentación sobre la arquitectura, cuentas de prueba y acceso a las configuraciones pertinentes.
El resultado es una visión más clara de los sistemas que se están evaluando y de dónde es necesario investigar más a fondo.
El escaneo utiliza herramientas técnicas para detectar sistemas activos, puertos abiertos, servicios y posibles vulnerabilidades.
Puede ayudar a identificar software obsoleto, interfaces administrativas expuestas y problemas de configuración. En el caso de las aplicaciones, el descubrimiento también puede implicar el mapeo de páginas accesibles, puntos finales y funcionalidades.
Sin embargo, un hallazgo del escáner no supone automáticamente un riesgo de seguridad confirmado. Los resultados deben revisarse en su contexto: ¿es accesible el servicio afectado?, ¿existen controles de mitigación? y ¿se aplica el hallazgo a la configuración real?
El escaneo proporciona a los evaluadores un punto de partida para una investigación más profunda.
Durante la evaluación de vulnerabilidades, los evaluadores examinan los posibles puntos débiles para determinar cuáles son relevantes y cómo podrían afectar a la organización.
Esto combina resultados automatizados con análisis manuales. En el caso de las aplicaciones web, las pruebas pueden abarcar la autenticación, la autorización, la gestión de sesiones, la validación de entradas y la lógica de negocio. Estas son algunas de las áreas que aborda la Guía de pruebas de seguridad web de OWASP.
La investigación manual es especialmente importante cuando un punto débil depende del funcionamiento de una aplicación. Por ejemplo, un usuario podría acceder a la información de otro cliente a pesar de tener una cuenta válida y de haberse autenticado correctamente.
Los evaluadores también tienen en cuenta cómo interactúan las vulnerabilidades. Un servicio expuesto y unos permisos de cuenta excesivos pueden suponer, en conjunto, un riesgo más grave de lo que sugeriría cada hallazgo por separado.
Esta etapa ayuda a determinar qué problemas justifican una explotación controlada y una evaluación más detallada del impacto.
La explotación implica intentos controlados de utilizar las vulnerabilidades identificadas dentro de las reglas de actuación acordadas.
El objetivo es determinar si una vulnerabilidad puede explotarse y qué tipo de acceso podría proporcionar. Dependiendo del alcance, los evaluadores pueden valorar si pueden eludir los controles de acceso, obtener privilegios adicionales o acceder a otros sistemas.
Por ejemplo, una prueba podría demostrar que una cuenta con privilegios reducidos puede acceder a funcionalidades restringidas. Esto proporciona a la organización pruebas de la vulnerabilidad y de sus consecuencias.
El objetivo es demostrar el impacto utilizando la actividad mínima necesaria. Provocar interrupciones o extraer grandes volúmenes de datos sensibles no es un requisito habitual. Cualquier técnica potencialmente disruptiva requiere una consideración específica y un acuerdo previo a su uso.
Los evaluadores deben registrar las pruebas y comunicar sin demora los hallazgos significativos para que la organización pueda tomar medidas.
El informe de la prueba de penetración explica qué se ha probado, qué se ha descubierto y qué debe hacer la organización a continuación.
Un informe útil debe incluir:
Los equipos técnicos necesitan suficiente detalle para comprender y abordar cada problema. Las partes interesadas de la empresa deben comprender las posibles consecuencias y qué mejoras merecen prioridad. Las directrices del NCSC hacen hincapié, de manera similar, en la notificación de los problemas de seguridad, su riesgo y los métodos de resolución.
La notificación debe dar lugar a medidas concretas. Asigne responsables, acuerde plazos de corrección y organice nuevas pruebas para comprobar si las soluciones resuelven los hallazgos originales.
Empiece por los sistemas, los datos y los servicios de los que depende su organización. Un programa de pruebas debe reflejar los cambios en ese entorno, incluidas las nuevas aplicaciones, las implementaciones en la nube, las integraciones y las modalidades de acceso.
Pregunta si el alcance abarca las conexiones entre sistemas, además de los componentes individuales. Una aplicación puede parecer segura, mientras que las vulnerabilidades en su API o en los permisos exponen información confidencial.
Cuando se trate de aplicaciones basadas en IA, analice su funcionalidad específica y sus riesgos durante la definición del alcance. No dé por sentado que una prueba convencional de infraestructura o de aplicaciones evalúa automáticamente todos los comportamientos relacionados con la IA.
Las pruebas también deben ir de la mano de una gestión continua de las vulnerabilidades. Una prueba de penetración proporciona evidencia sobre el alcance acordado en un momento determinado; los cambios posteriores pueden introducir nuevas vulnerabilidades.
Los servicios de pruebas de penetración de Integrity360, acreditados por CREST, evalúan redes, aplicaciones, entornos en la nube, identidades y dispositivos conectados. Nuestros especialistas combinan herramientas automatizadas con pruebas manuales para investigar las vías de ataque y explicar su posible impacto en el negocio.
Adaptamos los proyectos a su entorno, sus objetivos y su perfil de riesgo, proporcionando conclusiones claras y orientación práctica para la corrección de vulnerabilidades, con el fin de ayudar a sus equipos a priorizar las mejoras.
Descubre los servicios de pruebas de penetración de Integrity360 y habla con nuestro equipo sobre tus necesidades en materia de pruebas.
Las pruebas de penetración son una evaluación autorizada en la que especialistas en seguridad identifican puntos débiles e intentan explotarlos de forma controlada. Ayudan a las organizaciones a comprender cómo podrían utilizarse las vulnerabilidades y qué impacto podría tener un ataque exitoso.
Esta guía describe cinco etapas: reconocimiento, escaneo, evaluación de vulnerabilidades, explotación y elaboración de informes. Las diferentes metodologías agrupan estas actividades de forma distinta. La definición del alcance y la autorización preceden a las pruebas, mientras que la corrección y la repetición de las pruebas se llevan a cabo tras los resultados.
El escaneo de vulnerabilidades utiliza herramientas automatizadas para identificar posibles puntos débiles, en particular vulnerabilidades conocidas. Las pruebas de penetración añaden una investigación especializada y una explotación controlada para evaluar si los puntos débiles pueden ser aprovechados y cuáles podrían ser las consecuencias.
La frecuencia de las pruebas debe reflejar el riesgo de su organización, la importancia de los sistemas implicados y los requisitos contractuales o de cumplimiento aplicables. Los cambios significativos en las aplicaciones, la infraestructura o las modalidades de acceso también deben dar lugar a una revisión de las necesidades de pruebas.
Las pruebas pueden conllevar un riesgo operativo, especialmente cuando intervienen sistemas de producción. Un alcance claro, técnicas acordadas, ventanas de pruebas adecuadas y una buena comunicación ayudan a gestionar ese riesgo. Un proveedor responsable debería explicar los posibles impactos en lugar de prometer que no habrá interrupciones.
Sus equipos deben revisar los resultados, priorizar las medidas correctivas y asignar la responsabilidad de las soluciones. A continuación, se realizan nuevas pruebas para comprobar si esos cambios han resuelto las debilidades identificadas. Los resultados también pueden servir de base para mejorar los procesos de desarrollo, configuración y gestión de vulnerabilidades.
No. Una prueba de penetración evalúa un alcance definido dentro de un plazo acordado. No puede identificar todas las debilidades posibles ni garantizar la protección frente a futuros ataques. Debe formar parte de un programa de seguridad continuo.