ISO 27001 te pide demostrar que tus controles funcionan. Nosotros damos la prueba.

Un pentest evidencia de forma directa el A.8.8, gestión de vulnerabilidades técnicas, y el A.8.29, pruebas de seguridad en desarrollo y aceptación, en la versión de 2022 de la norma. Además sostiene el enfoque basado en riesgo que hay detrás del Anexo A y le da peso real a tu Declaración de Aplicabilidad y a tu plan de tratamiento del riesgo.

La prueba de que los controles que das por implementados lo están de verdad. La cláusula 6.1.3 d) te pide que la Declaración recoja qué controles son necesarios, por qué, y si cada uno está implementado o no. En los controles técnicos eso es una afirmación tuya; el pentest la convierte en evidencia con fecha, alcance y resultado.

Por eso empezamos por ahí: miramos qué controles técnicos declaras implementados dentro del alcance y probamos precisamente esos. Si alguno no aguanta, lo sabes antes que tu auditor y con tiempo para corregirlo.

Lo marca el alcance, y cualquier plazo que te diéramos antes de saber qué entra sería inventado. Cuanto más ancho es el trozo del alcance de tu SGSI que hay que cubrir, y más profundidad se pide en cada sistema, más tiempo de prueba hace falta.

El calendario queda confirmado en la propuesta, con la ventana de pruebas, antes de firmar nada. Si trabajas contra una fecha de certificación, de seguimiento o de recertificación, dilo en la primera reunión: lo tenemos en cuenta al planificar y te decimos ahí mismo si encaja.

Depende del alcance, y por eso no verás una tarifa en esta página. Lo que mueve el precio es cuántos sistemas del alcance de tu SGSI entran, con cuánta profundidad se prueban, si hay usuarios y roles que recorrer, qué tipo de prueba es (black box, grey box o white box) y si hace falta trabajo presencial.

Lo que sí puedes esperar es una propuesta cerrada, con alcance, calendario y precio, antes de que nadie toque un sistema. El retest que confirma tus correcciones, que es la evidencia de cierre que un auditor quiere ver, va incluido, sin coste y sin límite de tiempo.

No hace falta cerrarlos todos, pero sí tener un plan y cumplirlo. ISO 27001 no fija ningún plazo de corrección: el A.8.8 pide evaluar tu exposición y tomar medidas apropiadas, y los tiempos los fijas tú en tu proceso. Lo que comprueba el auditor es que priorices por riesgo y cumplas lo que tú mismo has escrito.

Con el informe priorizado, el plan de acción del debrief y el retest de cada cierre, tienes la evidencia de los controles técnicos que se han probado. El resto de la auditoría (el SGSI, la auditoría interna y la revisión por la dirección) no lo cubre un pentest ni lo llevamos nosotros.

No. No implantamos la norma, no llevamos tu sistema de gestión ni emitimos el certificado, que concede tu entidad de certificación acreditada. Hacemos el pentesting alineado con ISO 27001 para que tengas la validación técnica y la evidencia que esperan ver auditores, clientes y terceros. Muchos clientes nos combinan con su consultor de SGSI, y los dos papeles encajan sin pisarse.

Sí. Te lo enseñamos en la llamada, comentado: ves el nivel de detalle, la claridad del informe y el formato de la evidencia, y preguntas sobre lo que te interese. No lo mandamos suelto por correo.