Ofrecer un pentest: delimita el encargo y sus resultados antes del presupuesto

Un interesado quiere una prueba de penetración y te pide una oferta. Para tu empresa de seguridad informática surge una decisión concreta: qué aplicación se examinará, bajo qué condiciones acordadas y qué decisión podrá tomar después el cliente. Un proyecto bien descrito relaciona el resultado deseado con un alcance comprensible. El cliente puede comparar las propuestas por su contenido y tu equipo técnico obtiene una base sólida para planificar.

Este artículo se dirige a proveedores que realizan estos proyectos o los ofrecen asumiendo su responsabilidad profesional. Trata la delimitación de la oferta, no la ejecución de pruebas. El caso que lo recorre es expresamente ficticio: una empresa de software quiere examinar su portal de clientes antes de ampliarlo. Menciona una aplicación web, varios roles de usuario y un proveedor externo de alojamiento. Tu oferta debe explicar el encargo resultante y qué debe aclararse antes de empezar.

Describe la decisión posterior a la prueba

Pregunta primero para qué utilizará la empresa los resultados. En el ejemplo, la responsable de producto quiere decidir qué problemas detectados abordar antes de la ampliación prevista. Es distinto de un encargo limitado a revisar un hallazgo concreto ya existente. La decisión deseada da un propósito claro a la oferta y ayuda a identificar a los destinatarios adecuados.

Recoge ese propósito en un párrafo breve. Explica qué base puede aportar tu equipo. Un informe con hallazgos comprensibles y una reunión de resultados pueden servir, si ofreces esos servicios. Eso no supone aprobar la seguridad de toda la informática empresarial. El cliente recibe información claramente delimitada para su siguiente decisión.

Delimita la aplicación que se examinará

«Nuestro portal» basta para iniciar una conversación. Una oferta requiere mayor precisión. Pide al cliente que identifique la aplicación y a su responsable. Aclarad si el portal público, una zona de administración y una interfaz conectada forman parte del mismo encargo. Ambas partes deben entender igual el área examinada y reconocer los límites pendientes.

En el caso ficticio, otro proveedor opera la interfaz de facturación. Tu equipo la registra como un elemento que necesita aclaración específica. Una conexión técnica no establece por sí sola un encargo de prueba para ese servicio. La oferta puede distinguir un alcance central confirmado de una ampliación que requiere coordinación adicional. Así el cliente elige conscientemente los límites del proyecto.

Relaciona los roles con las actividades empresariales

La cantidad de cuentas no explica las diferentes tareas que se examinarán. Pregunta por los roles previstos y sus funciones. En el ejemplo hay un área de clientes y una gestión interna. Como proveedor necesitas entender qué procesos quiere incluir el cliente. La selección profesional y la profundidad concreta de las pruebas corresponden después a la planificación técnica cualificada.

Describe en la oferta los roles y procesos afectados con frases claras. Evita nombres de cuentas reales y datos confidenciales de clientes en el documento comercial. Al principio bastan denominaciones abstractas. Si después hacen falta cuentas de prueba o más información, tu equipo técnico acordará su entrega mediante el proceso previsto para el proyecto. Ventas no necesita recopilar credenciales.

Haz visibles la información y las hipótesis

El cliente puede disponer de una descripción de la aplicación que todavía no cubra la ampliación. Pregunta por la fecha y el alcance de los documentos disponibles. Indica en qué información se basa tu oferta y qué preguntas siguen abiertas. Esto facilita la respuesta del cliente y permite a tu equipo valorar si la preparación encaja con el examen propuesto.

En el ejemplo, el documento existente describe la aplicación actual. Un nuevo rol aparecerá con la ampliación. Puedes plantear dos decisiones: examinar el estado actual o aclarar primero cómo incluir también el área futura. Tu equipo técnico valorará la idoneidad según el proyecto real. La oferta explica la dependencia sin presentar un estado de desarrollo desconocido como listo para probar.

Prevé un encargo escrito y a los participantes

La guía de pruebas de penetración publicada por el BSI alemán presenta el encargo escrito y la definición del objeto, periodo y profundidad como bases organizativas. Para ventas implica una tarea práctica: identificar quién representa a la organización contratante y qué otros operadores o socios participan. La autorización concreta y las coordinaciones necesarias se aclaran para cada proyecto; una conversación comercial no sustituye esa valoración.

En el caso ficticio debe coordinarse por separado con el proveedor de alojamiento. Indica quién lo hará y qué aclaración falta. Distingue los acuerdos confirmados de las respuestas pendientes. El cliente entiende así por qué la fecha deseada depende todavía de una colaboración concreta. Tu equipo también sabe qué requisitos deben estar realmente confirmados antes de ejecutar el servicio.

Relaciona las fechas con la actividad del cliente

Una semana en el calendario solo describe parte de la colaboración. Pregunta qué procesos empresariales deben tenerse en cuenta y cuándo estarán disponibles los responsables. En el ejemplo, la facturación mensual coincide con el periodo solicitado inicialmente. La responsable de producto y los responsables operativos pueden acordar una ventana más adecuada. La planificación de tu oferta adquiere un contexto empresarial concreto.

Preved también un canal acordado para comunicarse durante el proyecto. ¿Quién estará disponible por parte del cliente, quién responderá en tu equipo y cómo se tratarán efectos inesperados o una petición de interrupción? Los detalles corresponden a la preparación técnica. En la oferta importa que esa colaboración sea visible como tarea y refleje el servicio que realmente ofreces.

Adapta los entregables a sus destinatarios

La responsable de producto necesita una base comprensible para planificar. Desarrollo necesita información suficientemente concreta para interpretar y abordar los problemas encontrados. Pregunta por ambos grupos. Tu oferta puede distinguir un resumen ejecutivo, una presentación técnica de hallazgos y una reunión de resultados si forman parte de tus servicios. El cliente reconoce cómo podrá utilizar el informe internamente.

Describe también el tratamiento acordado del informe. Puede contener información sensible sobre la aplicación examinada. Por eso se concretan sus destinatarios, entrega y tratamiento posterior según el proyecto. La fase comercial puede identificar responsables y el procedimiento pendiente de acuerdo. No necesita hallazgos detallados que todavía no existen.

Explica conjuntamente los resultados y sus límites

Una descripción útil identifica el área examinada, el estado considerado y las condiciones acordadas. Así el cliente comprenderá después el alcance de las conclusiones. Una interfaz no examinada queda expresamente fuera de ellas. La guía del BSI señala los límites temporales y materiales de estas pruebas. Tu compromiso debe respetarlos y mostrar el valor concreto del proyecto acordado.

En el ejemplo, el informe ayuda a priorizar el trabajo sobre el portal descrito bajo las condiciones documentadas. No promete encontrar todas las vulnerabilidades ni excluir incidentes futuros. Si después cambia la aplicación, la importancia del cambio requiere una valoración aparte. Es una cuestión profesional posterior, no un resultado vendido automáticamente con el encargo inicial.

Aclara la gestión de hallazgos y del trabajo posterior

Pregunta quién recibirá los resultados y organizará su tratamiento interno. En el ejemplo, la responsable de producto coordina la planificación con desarrollo. Tu oferta puede incluir una reunión sobre los resultados acordados. Una implementación o revisión posterior tendrá su propio alcance si el cliente la necesita y tu empresa la ofrece. Así el primer servicio se entiende por sí mismo.

Si se desea una nueva comprobación, concreta qué hallazgo y qué versión modificada se examinarán. Repetir todo el proyecto es distinto de una revisión puntual acordada. Puedes explicar esta opción sin poner precio a un alcance futuro desconocido. El cliente obtiene un momento claro para decidir la siguiente fase.

Comenta la oferta siguiendo su alcance concreto

Recorre con el cliente el proyecto ficticio en un orden estable: propósito, aplicación, roles, socios, información facilitada, fechas y resultados. Cada punto pendiente debe confirmarlo alguien capaz de responder realmente. Si otra propuesta incluye además la zona administrativa, comparar precios será útil después de aclarar la diferencia de alcances.

Explica el esfuerzo mediante el trabajo acordado. Preparación, examen profesional y elaboración de resultados cumplen funciones distintas. Utiliza tu cálculo real, no una tarifa genérica tomada de otro ejemplo. Si cambia el alcance deseado, muestra la partida afectada. Incluso tras un ajuste, el cliente comprende qué resultado recibirá por su contratación.

Lleva una pregunta pendiente a una decisión

La oferta necesita finalmente un siguiente paso concreto. En el ejemplo falta la respuesta del proveedor de alojamiento sobre el área de examen prevista. Anota quién la conseguirá y qué decisión podrá tomarse después. El seguimiento puede centrarse exactamente en ese punto. El cliente no tendrá que repetir toda su situación ni elegir entre varios pasos poco claros.

Puedes trasladar este modo de trabajo a otros proyectos de aplicaciones dentro de tu oferta real. Lo esencial es vincular una pregunta empresarial, un objeto de examen definido y un resultado útil. Así haces visible tu competencia profesional en la venta y preparas una colaboración cuyo alcance todos entienden. La ejecución técnica y las medidas de seguridad específicas corresponden a los especialistas cualificados.

Trata con claridad una petición adicional

Durante la conversación, el cliente añade que también le interesa su herramienta administrativa interna. Pregunta primero si pertenece a la misma aplicación o es un sistema operado por separado. Indica qué descripción adicional y qué participación necesita tu equipo para valorarlo. El cliente decide si aclara ahora la ampliación o continúa con el encargo central ya descrito. La elección sigue siendo comprensible aunque todavía no exista una estimación fiable del esfuerzo adicional.

Documenta la decisión junto con la versión de la oferta. Un lector posterior debe distinguir qué petición se incorporó y cuál solo se comentó. Producto, compras y tu equipo comparten así la misma base. Una nueva información modifica la parte afectada del acuerdo sin ampliar silenciosamente el compromiso de todo el proyecto.

Nuevas consultas empresariales para tu servicio

webRichtung entrega consultas de seguridad informática con motivo, entorno de sistemas, fase actual y ubicación y contacto empresarial en Alemania. El alcance concreto de un pentest lo aclaras personalmente después; la consulta no recopila informes, inventarios de sistemas ni credenciales. Registra tu empresa en la página de leads de seguridad informática. En webRichtung Customer verás el precio actual antes de realizar un pedido vinculante.

Fuentes

BSI: Guía para realizar pruebas de penetración, noviembre de 2016, apartados 1.4.2, 2.3 y 4.1.3. Leída el 18.10.2026; contexto organizativo, no instrucciones técnicas actuales ni asesoramiento jurídico.