Pentest: análisis de vulnerabilidades y pruebas de penetración para bancos, cooperativas y fintech

Un escaneo de vulnerabilidades corre una herramienta y entrega una lista. Un pentest va más allá: alguien toma esa lista, descarta lo que no aplica, intenta explotar lo que sí y documenta qué logró, con qué cuenta y desde dónde. El resultado es una cadena de hechos que su equipo puede reproducir y corregir.

Los cuatro países tienen reglas distintas. En Honduras, la Circular CNBS 025/2022 pide en su Art. 24 evaluaciones de seguridad y pruebas de intrusión ejecutadas por terceros, con periodicidad y alcance definidos según el perfil de riesgo de los procesos a revisar. En El Salvador, la NRP-23 (Art. 20 i) pide pruebas de vulnerabilidad e intrusión al menos una vez al año y cuando cambia la infraestructura, y la NRP-32 (Art. 5) exige remediar todas las brechas, no solo las críticas. En Guatemala, la JM-98-2025 (Art. 18) habla de pruebas de penetración internas y externas con informe técnico, como mínimo una vez al año.

En Costa Rica, el Acuerdo CONASSIF 5-24 (Art. 33) pide a las entidades supervisadas programas anuales de análisis de vulnerabilidades y pruebas, definidos según el riesgo. Fuera del sector supervisado, la prueba suele venir de un cliente, de un banco corresponsal, de ISO 27001 o de PCI DSS. Si su institución maneja datos de tarjetas, el Requisito 11.4 de PCI DSS v4.0.1 pide pruebas internas y externas al menos cada 12 meses en los cuatro países por igual.

Cada servicio tiene su propia página con el detalle de alcance, método y entregables. La tabla resume para qué sirve cada uno y cómo se cotiza.

La pregunta útil no es qué tipo de pentest suena mejor. Es quién va a leer el informe y qué texto tiene en la mano. Empiece por ahí y el alcance se ordena solo.

Si el informe va al supervisor bancario, lea el artículo que lo pide. La JM-98-2025 nombra pruebas internas y externas, así que en Guatemala un pentest solo de red externa deja la mitad sin cubrir. La NRP-23 habla de los componentes de infraestructura de tecnología. La circular de la CNBS deja la periodicidad y el alcance a su propio análisis de riesgo, y ese análisis debe quedar escrito.

Si quien pregunta es un banco cliente, pida que le digan por escrito qué sistemas quieren ver probados. Un proveedor de un banco guatemalteco, por ejemplo, puede recibir esa solicitud porque la JM-98-2025 obliga al banco a pedir informes de auditorías independientes del último año a sus proveedores críticos de tecnología.

• Supervisor con texto que pide prueba interna y externa (SIB en Guatemala, PCI DSS): red externa más red interna, y aplicaciones si son el canal principal.
• Primer pentest, presupuesto limitado: red externa o la aplicación de cara al cliente, la que tenga más exposición.
• Banca en línea, billetera, API para comercios o corresponsales: aplicación web o API.
• Proyecto ISO 27001: análisis de brechas primero, pentest después, cuando ya sabe qué controles va a mostrar al auditor.
• Comercio, procesador o emisor con tarjetas: alcance PCI DSS 11.4, con segmentación si la usa para reducir el CDE.

El precio depende de días de trabajo manual, y los días dependen del alcance. Por eso cada servicio tiene una unidad: IP públicas que responden para la red externa, roles y endpoints para una aplicación, segmentos y dominio para la red interna. Con la unidad clara, dos proveedores pueden cotizar lo mismo y usted puede comparar.

Toukan publica tres paquetes. Red externa, hasta 16 IP públicas activas y 4 días de prueba, desde USD 3,000. Aplicación web o API, una aplicación con hasta 2 roles y 20 endpoints y 5 días de prueba, desde USD 3,000. Auditoría y PCI DSS, red externa más una aplicación web en 8 días, desde USD 5,500. El precio queda cerrado una vez acordado el alcance e incluye una verificación de las correcciones dentro de 90 días.

La red interna y el análisis de brechas ISO 27001 se cotizan después de conocer su entorno, porque el tamaño varía mucho entre una cooperativa con una sede y un banco con agencias en todo el país. Ningún paquete incluye denegación de servicio, ingeniería social ni sistemas de terceros sin la autorización escrita de ese tercero.

Una advertencia que vale para cualquier proveedor: un precio muy bajo con informe en 24 horas casi siempre es un escaneo automático. Pregunte qué validará a mano y cómo documentará la evidencia de cada hallazgo.

De la firma al informe pasan entre 2 y 4 semanas. Antes de empezar se firma la autorización con los sistemas en alcance, la ventana de prueba y el contacto que puede detenerla. Si lo pide, firmamos un acuerdo de confidencialidad antes de que usted comparta direcciones, credenciales o diagramas.

Durante la prueba, cada hallazgo se confirma a mano antes de entrar al informe. Si necesita conocer los críticos antes del cierre, como piden algunas licitaciones públicas en Honduras, déjelo escrito en el contrato.

Al final usted recibe dos documentos. El informe ejecutivo resume para la gerencia y el comité qué se probó, qué quedó fuera y qué exposición encontramos, en palabras de negocio. El informe técnico trae cada hallazgo con el sistema afectado, la evidencia, los pasos para reproducirlo y la corrección sugerida. Lo firma la persona que acordó el alcance con usted y dirigió la prueba.

Dentro de los 90 días siguientes, cuando su equipo reporte las correcciones, volvemos a probar los hallazgos y actualizamos el estado de cada uno a corregido o pendiente. Esa verificación es la que separa una corrección reportada de una corrección comprobada, y es lo que auditoría interna suele pedir ver.

Haga las mismas preguntas a todos, incluida Toukan, y pida las respuestas por escrito. Así compara propuestas y no promesas.

• Quién hará la prueba y quién firmará el informe. Si habrá subcontratistas.
• Qué sistemas, roles y procesos quedan dentro y cuáles fuera.
• Desde dónde se harán las pruebas internas y externas, y con qué accesos.
• Qué se valida a mano y cómo se documenta la evidencia de cada hallazgo.
• Si puede ver un informe anonimizado o un ejemplo marcado como ilustrativo.
• Cuántas rondas de verificación incluye el precio y en qué plazo.