Por Hackanary — Ethical Hackers
Haber hecho el pentest no basta: en la auditoría tienes que **mostrar la evidencia correcta**. Este artículo es una lista de verificación práctica para llegar a tu auditoría de **ISO 27001** con el pentest bien documentado. Si primero quieres entender qué controles respalda, lee qué controles del Anexo A cubre un pentest.
Checklist: qué debe incluir el informe del pentest
- »**Alcance claro y alineado a tu SGSI:** sistemas, URLs, rangos IP y entornos probados, y qué quedó fuera con su justificación.
- »**Fechas de ejecución:** inicio, término y fecha del informe. El auditor valida que sea vigente.
- »**Metodología:** estándares usados (por ejemplo OWASP, PTES o NIST SP 800-115), tipo de prueba (caja negra, gris o blanca) y reglas de compromiso.
- »**Equipo y competencias:** certificaciones del equipo y que es un tercero independiente de quien administra los sistemas.
- »**Hallazgos con evidencia:** descripción, impacto, pasos de reproducción, capturas y nivel de riesgo (por ejemplo CVSS).
- »**Resumen ejecutivo:** para la dirección, con el riesgo global y las prioridades.
- »**Recomendaciones de corrección:** accionables y priorizadas.
- »**Mapeo a controles:** a qué controles del Anexo A y de tu SoA aporta cada hallazgo o prueba.
Checklist: qué debe quedar documentado por tu lado
El informe es solo la mitad. El auditor también querrá ver cómo lo gestionaste dentro de tu SGSI:
- »**Plan de tratamiento:** cada hallazgo con responsable, fecha comprometida y estado.
- »**Retest o verificación de cierre:** evidencia de que lo corregido ya no es explotable.
- »**Aceptación formal de riesgo:** para los hallazgos que decidiste no corregir, con firma de quien tiene autoridad.
- »**Revisión por la dirección:** que los resultados del pentest se traten en la revisión por la dirección (cláusula 9.3).
- »**Registro de la autorización:** contrato o carta de autorización de las pruebas y confirmación de que se coordinaron con los responsables de los sistemas.
- »**Mejora continua:** acciones para que no se repita el mismo tipo de falla (cláusula 10).
Cronograma recomendado: 90 días antes de la auditoría
- »**90 días antes:** definir alcance con tu consultor ISO y cotizar el pentest. Acordar fechas y reglas de compromiso.
- »**75 a 60 días antes:** ejecución del pentest.
- »**60 días antes:** recibes el informe ejecutivo y técnico. Se abre el plan de tratamiento.
- »**60 a 30 días antes:** tu equipo corrige los hallazgos críticos y altos.
- »**30 a 20 días antes:** retest para verificar el cierre. Se actualiza el informe.
- »**20 días antes:** ordenas la carpeta de evidencia: informe, plan de tratamiento, retest, aceptaciones de riesgo.
Es una recomendación general de planificación; los plazos reales dependen del tamaño de tu alcance y de tu agenda de auditoría. Si tu auditoría es en pocas semanas, igual vale la pena evaluar un alcance acotado.
Errores comunes que complican la auditoría
- »**Alcance que no coincide con el certificado:** el pentest cubre un sistema que no es el del SGSI.
- »**Informe sin fecha o desactualizado:** de hace más de un año, o anterior a cambios importantes de arquitectura.
- »**Hallazgos sin dueño ni plan:** el informe existe pero nadie gestionó los hallazgos.
- »**Solo escáner automático:** un reporte de herramienta no siempre se acepta como pentest.
- »**Sin retest:** no hay forma de probar que se corrigió.
- »**Pruebas coordinadas tarde:** el pentest afecta producción porque no se avisó al equipo, y A.8.34 (protección de sistemas durante pruebas de auditoría) exige planificarlo.
Cómo trabajamos en Hackanary
Alineamos el alcance con tu SGSI antes de empezar, ejecutamos **pentesting manual** con hackers certificados (OSCP, CEH Master, OSWE), entregamos informe ejecutivo y técnico, y hacemos **2 retests incluidos** para dejarte el cierre documentado. Si necesitas esto cada año, el plan anual para renovar tu certificación tiene tarifa preferente para clientes recurrentes.
Preguntas frecuentes
¿Qué evidencia de pentest pide el auditor ISO 27001?
Normalmente el informe con alcance, fechas, metodología y hallazgos, más la evidencia de que los gestionaste: plan de tratamiento, retest y aceptaciones de riesgo.
¿Tengo que corregir todos los hallazgos antes de la auditoría?
No necesariamente. Debes tenerlos gestionados: corregidos, con plan y fecha, o aceptados formalmente. Lo crítico y alto conviene cerrarlo antes.
¿Cuánto vigencia tiene un informe de pentest para ISO 27001?
No hay un plazo fijo en la norma, pero lo habitual es que el auditor espere uno del último año, o posterior a cambios significativos.
¿Puedo mostrar el informe a mis clientes?
Sí, pero conviene compartir una versión ejecutiva resumida y no el detalle técnico de las vulnerabilidades.
¿Quieres llegar a tu auditoría con todo ordenado? Cotiza por WhatsApp o desde el formulario: pentest para ISO 27001.