Señales de que lo necesitás
- Tenés sistemas que nadie actualiza hace tiempo
- Publicás un sitio o portal de clientes y nunca lo revisaron
- Un contrato o certificación te exige escaneos periódicos
Qué es
Una revisión técnica que combina herramientas y validación profesional para encontrar configuraciones débiles, versiones desactualizadas o componentes que requieren corrección.
Qué no es
No prueba por sí sola que una debilidad pueda explotarse, ni equivale a monitoreo continuo o a una auditoría de cumplimiento.
Qué deberías recibir
El alcance real depende del proveedor y del contrato. Usá esta lista como referencia para la cotización, no como promesa.
- Inventario acordado de objetivos
- Hallazgos priorizados con contexto y severidad
- Recomendaciones de corrección concretas
- Revisión de remediación si se contrata
Qué influye en el precio
No publicamos precios: varían según alcance, tamaño y proveedor. Pedí la cotización en guaraníes o dólares con IVA discriminado, y compará estos factores entre propuestas:
- Cantidad de direcciones, sistemas y aplicaciones incluidas
- Si es interna, externa o ambas
- Si incluye validación manual y verificación posterior
Autorización y alcance
Solo deben evaluarse activos cuya propiedad o autorización pueda demostrarse. Acordá ventanas, límites de carga y contactos de emergencia.
Preguntas para hacerle al proveedor
- ¿Cómo validás falsos positivos?
- ¿Qué sistemas quedan excluidos?
- ¿Cómo protegés los resultados?
- ¿Incluye una verificación posterior?
Separá los hallazgos de las correcciones y del pentest
La propuesta debería decir qué revisa, cómo valida los resultados y quién se hace cargo de corregirlos. Un reporte de una herramienta no explica por sí solo el impacto en tu empresa. Evitá comparar presupuestos solo por cantidad de activos o cantidad de hallazgos.
Cómo acordar el trabajo
- Acordá los entornos incluidos, las exclusiones y si la revisión será interna, externa o ambas.
- Pedí un informe que distinga hallazgos validados, limitaciones y recomendaciones de corrección.
- Definí quién implementará las correcciones y si habrá una comprobación posterior dentro del mismo precio.
Preguntas frecuentes antes de contratar
¿Cuál es la diferencia entre una revisión interna y una externa?
La diferencia para contratar está en el punto de vista y los sistemas incluidos. Pedí que el proveedor describa ambos alcances de forma privada, con permisos y condiciones de acceso acordados.
¿El servicio también corrige las vulnerabilidades?
No lo des por incluido. Evaluar, implementar cambios y comprobar las correcciones pueden ser trabajos separados. La cotización debe identificar responsable, aprobación y entregable de cada parte.
¿Una nueva comprobación equivale a repetir toda la evaluación?
Depende del alcance contratado. Acordá qué hallazgos se volverán a revisar, en qué plazo, qué evidencia recibirás y cuánto cuesta ampliar esa revisión.
¿Es este el servicio correcto?
Si todavía no tenés claro dónde está el riesgo del negocio, conviene empezar por una evaluación general.
Ver servicio →EvaluarPentesting autorizadoSi querés que alguien intente explotar las fallas de forma controlada, eso es un pentest y tiene otras reglas.
Ver servicio →Cómo comparar una propuesta
Hallazgos dentro de un alcance
Ejemplo orientativo para conversar con el proveedor; no es un paquete disponible ni una promesa de la plataforma.
- Resultado a acordar
- Informe de activos revisados, hallazgos y límites de la revisión.
- Cómo comprobarlo
- El informe distingue lo comprobado de lo no revisado y define si incluye una nueva comprobación tras corregir.