MagnoSec Blog
Cómo elegir proveedor de pentesting en una licitación pública
Leer el pliego con criterio técnico
La contratación de servicios de seguridad ofensiva mediante licitación pública exige leer el pliego con criterio técnico y no solo administrativo. Un pliego de pentesting mal definido permite que concurran ofertas que no cubren el alcance real ni el esfuerzo necesario. Antes de publicar o de presentarse, conviene revisar si el objeto del contrato describe pruebas concretas y medibles.
Definir el alcance real del pentesting
El primer punto que debe quedar claro es el alcance técnico. Un pliego de pentesting sólido enumera los sistemas incluidos, distingue entre aplicaciones web, APIs, infraestructura y entornos móviles, y fija ventanas de ejecución. También concreta si se permiten pruebas en producción, qué sistemas quedan excluidos y cómo se gestionan las paradas o los falsos positivos.
Ponderar metodología y entregables
Los criterios de valoración de seguridad informática deben ponderar la metodología y no solo el precio. Es razonable exigir una descripción del enfoque de reconocimiento, explotación controlada, escalado de privilegios y postexplotación, así como el formato de entregables. Un informe que se limita a listar vulnerabilidades sin evidencias reproducibles no permite priorizar la corrección.
Evaluar la solvencia del proveedor
La solvencia del proveedor de pentesting se evalúa con hechos verificables. Tiene sentido pedir experiencia documentada en tipologías similares, composición del equipo asignado y dedicación prevista en horas por fase. Las certificaciones individuales de los consultores aportan contexto, pero no sustituyen la descripción del trabajo que van a realizar.
Gestionar hallazgos críticos durante la prueba
Un aspecto que suele quedar flojo en la licitación pública de ciberseguridad es la gestión de hallazgos críticos. El pliego debería fijar un canal de comunicación para vulnerabilidades de severidad alta detectadas durante la prueba y un plazo de notificación. También conviene definir si habrá reintento de verificación tras las correcciones y cómo se documenta el cierre de cada hallazgo.
Revisar confidencialidad y tratamiento de evidencias
Por último, revise las condiciones de confidencialidad, tratamiento de evidencias y destrucción de datos al finalizar el contrato. Estos requisitos afectan al coste real y a la calidad de la ejecución, y discriminan entre ofertas comparables. Una valoración equilibrada entre alcance, metodología, equipo y precio reduce el riesgo de adjudicar a un proveedor que no pueda sostener el servicio. Si estás preparando una licitación, puedes contratar un pentesting con alcance, plazos y entregables definidos.
Temas tratados
proveedor pentesting · licitacion publica ciberseguridad · pliego pentesting · criterios de valoracion seguridad informatica · auditoria de seguridad · red team
Preguntas frecuentes
¿Qué debe incluir un pliego de pentesting para que las ofertas sean comparables?
Debe detallar los sistemas incluidos y excluidos, las tipologías de prueba, las ventanas de ejecución, el formato de entregables y los criterios de aceptación. Sin ese detalle, cada licitador interpreta el alcance a su manera y el precio deja de ser comparable.
¿Cómo se valoran los criterios de valoración de seguridad informática sin favorecer a un licitador concreto?
Redactando criterios objetivos y medibles, como la descripción de la metodología, la dedicación en horas por fase o la estructura del informe. Los criterios deben poder justificarse con documentación verificable y no con declaraciones genéricas.
¿Es suficiente con que el proveedor de pentesting presente certificaciones del equipo?
No. Las certificaciones individuales indican formación, pero no garantizan que el trabajo asignado cubra el alcance ni que la metodología sea adecuada. Hay que valorar también la experiencia documentada y la composición real del equipo que ejecutará la prueba.
¿Qué debe ocurrir si durante la prueba se detecta una vulnerabilidad crítica?
El pliego debe prever un canal de notificación y un plazo máximo para comunicar hallazgos de severidad alta. Conviene además definir un procedimiento de verificación posterior a las correcciones para confirmar que el riesgo se ha mitigado.
Servicios relacionados
MagnoSec
Pentesting Web para Empresas
Pentesting web y hacking ético de aplicaciones y APIs según OWASP WSTG. Detectamos SQL Injection, XSS y fallos de autenticación. Informe con CVSS y remediación.
MagnoSec
Red Team y Simulación de Ataques Reales
Ejercicios Red Team con simulación realista de adversario. Basado en MITRE ATT&CK. Evaluamos detección, respuesta y contención. Incluye sesión Purple Team.
MagnoSec
Pentesting Móvil y Auditoría de Apps
Pentesting de apps Android e iOS: análisis estático y dinámico, almacenamiento, comunicaciones y autenticación. Basado en OWASP MSTG, con informe y re-test.
Servicios de ciberseguridad
Auditoría de Red e Infraestructura
Auditoría de infraestructura tecnológica: redes internas y externas, servidores y firewalls. Hallazgos con CVSS y plan de remediación. PTES y OSSTMM.
Auditoría de Active Directory
Auditoría de Active Directory: identificación de vectores de escalado, Kerberoasting, BloodHound, ACLs abusivas. Protege el núcleo de tu identidad corporativa.
Auditoría de Servicios Cloud
Auditoría de seguridad cloud en AWS, Azure y GCP. Revisión de IAM, almacenamiento, red, monitorización. Basado en CIS Cloud Benchmarks. Informe CVSS.
Auditoría WiFi para Empresas
Auditoría de redes WiFi corporativas. War driving, rogue AP, WPA2/WPA3 Enterprise, 802.1X. Detectamos configuraciones débiles y accesos no autorizados.
Auditoría de Código Fuente
Auditoría de código de aplicaciones: revisión manual (code review) y SAST para detectar vulnerabilidades OWASP/CWE en cualquier lenguaje. Alcance y precio.
Ingeniería Social
Auditoría de ingeniería social: phishing, pretexting y USB drops. Evaluamos el factor humano con campañas controladas, informe y concienciación.
Desarrollo Seguro
Desarrollo seguro de aplicaciones web y móviles: Security by Design, DevSecOps y CI/CD con SAST/DAST. Software protegido desde la primera línea de código.
Auditoría de Seguridad para MVP y Startups
Auditoría de seguridad para MVP y startups: autenticación, control de acceso, APIs, Supabase/RLS y cloud. Revisión corta y priorizada antes de lanzar.
¿Quieres saber si tu empresa tiene estas vulnerabilidades?
Auditamos la seguridad de empresas de toda España con alcance cerrado por escrito, informe técnico y ejecutivo, y retest de las correcciones. Presupuesto en 24 horas y primera consultoría sin coste. Si no sabes por dónde empezar, haz el test de seguridad de 15 preguntas.
Artículos relacionados
Recursos gratuitos
Guía completa
Guía de Pentesting Web: Metodología, Herramientas y Precios
Herramienta interactiva
Checklist de Seguridad Informática para Empresas
Referencia
Glosario de Ciberseguridad: 60+ Términos
Guía 2026
Certificaciones de Ciberseguridad: Precios y Comparativa
Herramienta
Calculadora de Precio de Pentesting
Cumplimiento
Pentesting para ISO 27001 y ENS: Qué Exige la Norma