Servicios de ciberseguridad ofensiva

Un pentest busca en anchura sobre un alcance definido: encuentra y valida vulnerabilidades en una aplicación, una API o un entorno cloud, y el objetivo es cerrarlas. Un red team simula un adversario concreto contra un objetivo de negocio concreto, y el objetivo es medir si lo detectáis y si lo paráis. El pentest responde qué es explotable. El red team responde si lo veríais venir.

Sale del inventario, no del catálogo. Lo primero es saber qué tenéis expuesto: qué aplicaciones, qué APIs, qué entornos cloud y qué se ve desde fuera sin estar autenticado. Con eso delante el alcance se ordena casi solo, porque se prueba antes aquello por lo que un atacante entraría antes. Si ese inventario no lo tenéis a mano, esa es justo la conversación por la que se empieza.

El precio sale del alcance, de la complejidad y del tipo de test, sea black box, grey box o white box. No publicamos tarifa porque una cifra sin tu alcance delante no significa nada. Las condiciones concretas de cada servicio están en su propia ficha, que es donde se mantienen al día. Cuéntanos qué quieres probar y sobre qué, y lo primero que sale de ahí es el alcance.

Sí, y tiene familia propia: ENS, ISO 27001 y RGPD tienen su ficha, y también el hardening de Microsoft 365 y la auditoría de ciberseguridad en operaciones de M&A. Cuando lo que la norma pide es un test técnico, el trabajo es el mismo pentest de siempre, con el entregable en el formato que el auditor espera encontrar.