Un test de penetración no comienza cuando el analista lanza la primera herramienta, sino cuando las partes acuerdan qué se va a probar, cómo y hasta dónde. Ese acuerdo —el alcance— determina la profundidad del análisis, el tiempo necesario y la utilidad del informe final. Sin una definición precisa, el proyecto puede derivar en pruebas incompletas, hallazgos irrelevantes o, peor aún, en interrupciones de servicios críticos.
En la práctica, el alcance actúa como un contrato técnico entre el cliente y el equipo de seguridad. Establece límites claros, expectativas realistas y criterios de éxito medibles. Cuando ambas partes lo comprenden y lo respetan, el pentest se convierte en una inversión predecible en lugar de una caja de sorpresas.
Qué elementos componen un alcance completo
Activos y superficies de ataque
Se deben listar explícitamente los sistemas, aplicaciones, redes y entornos que forman parte del ejercicio. Incluir direcciones IP, nombres de dominio, rangos de red, APIs expuestas y, si procede, entornos de desarrollo o staging. La omisión de un componente relevante deja una brecha que el atacante real explotaría.
Tipos de prueba autorizados
- Pruebas de caja negra, blanca o gris.
- Pruebas de explotación controlada versus solo enumeración.
- Inclusión o exclusión de ingeniería social, phishing o pruebas físicas.
Cada modalidad tiene implicaciones distintas en tiempo, riesgo y profundidad de los hallazgos.
Reglas de engagement
Definir horarios permitidos, ventanas de mantenimiento, canales de comunicación para incidentes y procedimientos de escalamiento. También se debe acordar qué hacer si se descubre una vulnerabilidad crítica en producción: ¿se detiene la prueba? ¿Se notifica de inmediato? Estas reglas evitan decisiones improvisadas bajo presión.
Entregables esperados
- Informe ejecutivo para gerencia.
- Informe técnico con evidencias, pasos de reproducción y recomendaciones.
- Reunión de cierre para aclarar dudas y priorizar remediaciones.
Factores que influyen en la definición del alcance
Madurez de seguridad del cliente
Una organización con programa de gestión de vulnerabilidades maduro puede tolerar pruebas más agresivas y amplias. En cambio, entornos con poca visibilidad de sus activos requieren un alcance más conservador y fases de descubrimiento previas.
Restricciones legales y contractuales
Contratos con terceros, normativas de protección de datos (por ejemplo, la Ley 19.628 en Chile) y acuerdos de nivel de servicio pueden limitar qué sistemas se pueden probar o qué datos se pueden manipular.
Disponibilidad de recursos y ventanas de tiempo
El calendario de producción, los equipos de respuesta a incidentes y la capacidad de parcheo del cliente condicionan la duración y la intensidad de la prueba. Un alcance realista contempla estas restricciones desde el inicio.
Consecuencias de un alcance mal definido
- Falsos negativos: zonas no probadas que ocultan vulnerabilidades críticas.
- Interrupciones no planificadas: pruebas en sistemas de alta disponibilidad sin coordinación previa.
- Costos ocultos: horas extra para ampliar el alcance a mitad de proyecto o para repetir pruebas.
- Informes poco accionables: hallazgos genéricos que no se alinean con la realidad operativa del cliente.
Estos problemas erosionan la confianza en el servicio y reducen el retorno de la inversión en seguridad ofensiva.
Buenas prácticas para definir el alcance
- Inventario previo: solicitar al cliente un catálogo actualizado de activos, preferiblemente automatizado (CMDB, herramientas de descubrimiento de red).
- Workshop de alcance: reunión técnica de 1‑2 horas con stakeholders de TI, seguridad y negocio para validar supuestos y resolver ambigüedades.
- Documento de alcance firmado: registrar acuerdos en un documento versionado, con anexos para cambios controlados.
- Cláusulas de cambio: establecer un proceso ágil para ampliar o reducir el alcance sin renegociar todo el contrato.
- Revisión continua: al inicio de cada fase, confirmar que el alcance sigue vigente y que no han surgido nuevos activos críticos.
Conclusión y próximos pasos
Definir el alcance con rigor no es una formalidad burocrática; es la base técnica que permite al equipo de pentesting enfocar su esfuerzo donde genera valor real y al cliente recibir evidencias claras para priorizar la remediación. Antes de iniciar cualquier prueba, dedique el tiempo necesario a construir y acordar ese alcance. Si su organización no cuenta con un inventario confiable, comience por allí; si ya lo tiene, programe el workshop de alcance y firme el documento. Esa disciplina inicial ahorra semanas de trabajo posterior y convierte el pentest en una herramienta estratégica, no en un ejercicio de cumplimiento.