Cuándo el costo de un pentest no es viable — y qué hacer mientras tanto

Si llegaste hasta acá preguntándote si de verdad necesitas un pentest ahora o si el presupuesto simplemente no da todavía, primero que nada: no estás solo, y no pasa nada. Un pentest profesional cuesta lo que cuesta por una razón real — no es un escaneo automático que corre solo, es una persona con criterio experto que confirma cada hallazgo a mano, durante días, y después lo documenta en un informe que un equipo técnico puede reproducir y una dirección puede entender. Eso tiene un costo real, y para una pyme que recién está empezando, ese costo a veces simplemente no es viable todavía. Es una realidad de presupuesto, no una falla moral.

Pero que no puedas pagar una auditoría completa hoy no significa que tengas que dejar la seguridad para después, ni que estés solo en esto. Hay bastante que puedes hacer ahora mismo, sin gastar en un pentest, y vale mucho más avanzar en eso que quedarte esperando a tener el presupuesto ideal. Acá te dejamos por dónde empezar.

Qué puedes hacer hoy, sin costo

• Activa autenticación de dos factores en todo: correo, hosting, repositorios de código, paneles de administración. Es el control individual con mejor relación esfuerzo/beneficio que existe.
• Actualiza lo que tengas desactualizado: CMS, plugins, librerías. Una parte enorme de los incidentes que vemos parte en un componente con una vulnerabilidad conocida y un parche que nunca se aplicó.
• Revisa qué queda expuesto públicamente: paneles de administración indexados por Google, archivos de configuración o debug accesibles, buckets de almacenamiento (S3, GCS, Firebase) con permisos de lectura o escritura abiertos a cualquiera.
• Revisa el frontend de tu propia aplicación: es común encontrar llaves de API o credenciales hardcodeadas en el código que le llega al navegador del usuario, visibles para cualquiera que abra las herramientas de desarrollador.
• Usa un gestor de contraseñas y deja de reutilizar credenciales entre servicios — un solo login filtrado en un tercero no debería abrir la puerta a todo lo demás.
• Prueba tus respaldos, no solo que existan. Un backup que nunca se restauró no es un backup, es una suposición.
• Aprovecha herramientas gratuitas serias: securityheaders.com para revisar cabeceras HTTP, Have I Been Pwned para ver si credenciales de tu dominio ya circulan filtradas, y nuestra propia calculadora CVSS si ya tienes hallazgos y necesitas priorizar cuál atacar primero.

Cuándo ya no conviene seguir postergando el pentest

Hay señales concretas de que el riesgo dejó de ser teórico:

• Manejas datos de terceros: clientes, pacientes, usuarios finales.
• Procesas pagos o información financiera.
• Tu operación cae bajo alguna obligación normativa (Ley 21.663, Ley 19.628).
• Estás por levantar una ronda de inversión o pasar por due diligence de un cliente grande, y te van a pedir evidencia de que evaluaste tu seguridad.
• Ya tuviste un incidente, aunque haya sido menor.

En cualquiera de esos casos, seguir postergando ya no es una decisión de presupuesto, es asumir un riesgo que probablemente no te corresponde asumir solo. Y no tienes por qué asumirlo solo, tampoco.