Cuánto cuesta un pentest para un banco, una cooperativa o una fintech en Centroamérica

Los tres paquetes cubren lo que más piden los bancos, las cooperativas, las aseguradoras, las fintech y sus proveedores en los cuatro países. El precio es el mismo en Honduras, El Salvador, Guatemala y Costa Rica, y queda cerrado una vez que se acuerda el alcance.

La red externa es lo que cualquiera ve de su institución desde internet: servidores publicados, VPN, correo y servicios expuestos. La aplicación es una aplicación o API que maneja datos de clientes o dinero, probada con OWASP como referencia. El paquete combinado junta las dos para el informe anual de auditoría o para el Requisito 11.4 de PCI DSS.

El precio cubre el trabajo completo, desde el alcance hasta la segunda ronda de pruebas. No hay cargo aparte por el informe ni por la verificación.

• Alcance escrito antes de tocar nada, con lo que entra y lo que queda fuera.
• Autorización firmada por su institución, con la ventana de prueba y un contacto para detenerla.
• Acuerdo de confidencialidad, si su institución lo pide.
• Cada hallazgo confirmado a mano antes de entrar al informe.
• Informe ejecutivo para la gerencia y el comité, e informe técnico para TI, firmados por quien acordó el alcance y dirigió la prueba.
• Para cada hallazgo: el activo, la criticidad, la evidencia y una corrección concreta.
• Verificación de las correcciones dentro de 90 días, con el estado final de cada hallazgo: corregido o pendiente.

El precio sale del tamaño de lo que se prueba, no del nombre de la norma. Lo que mueve el número es esto:

Algunas cosas quedan fuera de los paquetes: las pruebas de denegación de servicio, la ingeniería social y los sistemas de terceros sin su autorización por escrito. Si su nube, su core o su banca en línea los opera un proveedor, ese proveedor tiene que autorizar la prueba antes de empezar.

Como referencia pública en la región, la Corte de Constitucionalidad de Guatemala adjudicó en septiembre de 2026 tres contratos de seguridad informática de Q64,900 a Q83,800 cada uno, unos USD 8,400 a 10,900. Los alcances de esos contratos no son públicos, así que sirven como orden de magnitud, no como comparación exacta.

• Cuántas IP públicas activas entran en la red externa. Hasta 16 caben en el paquete base.
• Cuántas aplicaciones o API, cuántos roles de usuario y cuántos endpoints tiene cada una. Hasta 2 roles y 20 endpoints caben en el paquete base.
• Si se suma la red interna. No tiene paquete publicado: la unidad de alcance son los segmentos, las sedes, los dominios y los sistemas críticos, y se cotiza después de una llamada de alcance.

Un escaneo corre una herramienta y entrega una lista de posibles fallas. Un pentest toma esa lista, descarta lo que no aplica, intenta explotar lo que sí y documenta qué logró, con qué cuenta y desde dónde. La diferencia de precio es la diferencia de trabajo humano.

Las normas de la región nombran las dos cosas por separado. En El Salvador, la NRP-32 pide en su Art. 5 pruebas de penetración o intrusión y escaneos de vulnerabilidades. En Guatemala, la JM-98-2025 nombra en su Art. 18 el escaneo, las evaluaciones y las pruebas de penetración internas y externas, con el resultado en un informe técnico. En Costa Rica, el Art. 33 del Acuerdo CONASSIF 5-24 pide programas anuales de análisis de vulnerabilidades y pruebas.

Un reporte de escaneo solo difícilmente pasa por prueba de intrusión ante auditoría interna o ante el supervisor. Si el presupuesto no alcanza para probar todo, es mejor un pentest acotado a lo más expuesto que un escaneo de todo.

De la firma al informe pasan de 2 a 4 semanas. La prueba en sí dura 4 días para la red externa, 5 para una aplicación y 8 para el paquete combinado. El resto del tiempo es alcance, autorización, confirmación de hallazgos y redacción del informe.

Después del informe, su equipo corrige. La verificación de las correcciones va dentro de 90 días, y cada hallazgo queda marcado como corregido o pendiente.

En El Salvador conviene contar hacia atrás. La NRP-23 (Art. 20 i) pide remitir a la Superintendencia un resumen de resultados a más tardar diez días hábiles después de recibir el informe del proveedor, y un plan de remediación treinta días hábiles después de remitir ese resumen. Un informe con criticidad y corrección por hallazgo hace que los dos salgan a tiempo.

Con estos datos a mano, una llamada de 30 minutos alcanza para definir el alcance:

• Rangos de IP públicas activas y la lista de aplicaciones o API, con cuántos roles tiene cada una.
• Quién firma la autorización y quién recibe el informe: seguridad, riesgos o auditoría interna.
• Para qué es el informe: el supervisor, auditoría interna, un banco cliente, ISO 27001 o PCI DSS.
• La fecha en que el informe tiene que estar listo, contando el tiempo para corregir y volver a probar.
• Qué sistemas opera un tercero y requieren su autorización por escrito.
• Si ya tiene un informe de otra firma con hallazgos abiertos.