Elegir empresa de pentesting en Chile con la nómina de OIV ya cerrada

Para elegir una empresa de pentesting en Chile, compara las cotizaciones por lo que se puede comprobar: los activos que cubren, cuánto es trabajo manual, qué informes entregan y si el retest está incluido. Desde julio de 2026 hay además un motivo nuevo para hacerlo con cuidado.

Esta guía es para el gerente de TI o el encargado de ciberseguridad de una empresa mediana que tiene que contratar un pentesting y comparar dos o tres propuestas, sea porque la Agencia calificó a su empresa como operador de importancia vital o porque se lo exige un cliente que lo es. Nosotros también cotizamos en Chile, así que al final ponemos nuestra propuesta contra los mismos criterios.

Por qué ahora: la nómina de operadores de importancia vital

La Agencia Nacional de Ciberseguridad (ANCI) cerró en julio de 2026 el primer proceso de calificación de operadores de importancia vital (OIV) de la Ley 21.663. La Resolución Exenta N° 187, de 21 de julio y publicada en el Diario Oficial el 24 de julio de 2026, aprobó la nómina de la segunda etapa, que se suma a la de la primera.

Ser OIV no lo decide la empresa: lo decide la Agencia por resolución. Con la calificación, el artículo 8 de la Ley 21.663 pide, entre otras cosas, un sistema de gestión de seguridad de la información continuo y operaciones continuas de revisión, ejercicios y análisis de las redes y sistemas. La ley no nombra el pentesting. Una prueba técnica documentada es una de las formas más directas de demostrar que esas revisiones existen y que los controles aguantan. Cada obligación, con su letra, está en qué obliga la Ley 21.663.

Si no eres OIV pero trabajas para uno

Si no apareces en ninguna nómina pero le prestas servicio a una empresa que sí, la ley te llega por contrato. El OIV responde de lo que sostiene su operación, y la forma natural de hacerlo es pedir a sus proveedores evidencia de su seguridad, con un cuestionario o un anexo al contrato.

La propia Agencia mira esa dependencia al calificar. Según los considerandos de la Resolución 187, uno de los criterios es la dependencia entre servicios y el efecto que la interrupción de uno tiene en la cadena de suministro de otro. Y la primera etapa ya incluyó una categoría que alcanza a muchos proveedores: los servicios de tecnología de la información gestionados por terceros. Si administras sistemas o das soporte a un banco, una eléctrica o una clínica, revisa primero si tu empresa está en la nómina.

Como proveedor, conviene tener preparado algo concreto antes de que llegue la pregunta:

• ›Un informe reciente de pruebas sobre lo que expones a internet, con fecha y alcance.
• ›Si tienes acceso a la red del cliente (VPN, escritorio remoto, cuentas de soporte), evidencia de que ese acceso no es una puerta de entrada.
• ›Si le entregas una aplicación o un portal, una prueba de esa aplicación y no de tu web corporativa.

No hace falta certificarse en ISO 27001 para contestar un anexo. Hace falta poder enseñar qué se probó, cuándo y qué se corrigió después.

Qué tipo de pentesting pedir primero

El primer encargo se elige por la pregunta que te van a hacer, no por el catálogo del proveedor. Si eres OIV, el orden lo marca tu análisis de riesgos; si eres proveedor, lo marca lo que tu cliente ve de ti y el acceso que le das.

Si dudas entre dos, empieza por la auditoría de superficie externa: devuelve el inventario de lo expuesto, que es sobre lo que se acota todo lo demás. La infraestructura interna y el pentesting web van detrás, cuando ya sabes qué activos importan.

Qué tiene que traer la propuesta por escrito

Una propuesta que sirva para comparar, y que después puedas enseñar a tu cliente o al certificador, deja escrito qué se prueba, cómo se prueba y qué recibes. Lo que se habló en la reunión y no está en el documento no forma parte del encargo.

• ›Alcance cerrado por activos: dominios, rangos de IP, aplicaciones y versiones, con lo que queda fuera dicho expresamente.
• ›Metodología con nombre: OWASP para aplicaciones web y API, PTES para el encargo completo u OSSTMM. Una «metodología propia» sin documento no se puede verificar.
• ›Pruebas manuales, con las jornadas de auditor que hay detrás y el perfil de quien las hace.
• ›Dos informes: uno ejecutivo para la gerencia y uno técnico con la evidencia y los pasos para reproducir cada hallazgo. Qué debe traer cada uno está en qué debe incluir un informe de pentesting.
• ›Retest incluido, hasta cuándo se puede pedir y si termina en un informe nuevo.
• ›Qué pasa con un hallazgo crítico a mitad de la prueba: a quién se avisa y por qué vía.
• ›La ventana horaria de las pruebas en hora de Chile, si el proveedor trabaja desde otro país.

Si eres OIV, pide además que el informe deje constancia de la fecha, el alcance y la versión de lo probado. Es lo que permite usarlo después como evidencia de las revisiones del artículo 8 sin que nadie tenga que reconstruir qué se miró.

Cómo comparar tres cotizaciones

Pon las tres cotizaciones en la misma tabla, con los mismos criterios, y compara fila a fila antes de mirar el total. Un total más bajo con la mitad de jornadas no es más barato: es otro trabajo.

Si eres proveedor de un OIV, añade una fila antes de decidir: pregunta a tu cliente qué evidencia acepta. No es lo mismo entregarle el informe técnico completo que un resumen firmado, y eso se elige antes de contratar, no al recibir el informe. La guía general para montar esta comparación, válida en cualquier país, está en cómo comparar proveedores y presupuestos de pentesting.

Señales de que la cotización es un escáner

La primera señal aparece antes de la cotización: un precio cerrado sin una sola pregunta sobre lo que hay que probar. Quien no pregunta cuántas aplicaciones, roles o direcciones IP tienes está cotizando lo que su herramienta hace en un tiempo fijo.

• ›Las mismas jornadas para cualquier alcance.
• ›No piden cuentas de prueba para una aplicación con inicio de sesión, así que no van a probar lo que hay detrás del acceso.
• ›El informe de ejemplo es una lista de CVE con su puntuación, sin un hallazgo que encadene dos fallos ni pasos para reproducir ninguno.
• ›Ofrecen un «certificado» de seguridad o de cumplimiento de la Ley 21.663. Un pentesting dice qué se encontró en lo que se probó y en unas fechas, nada más.

Un escáner tiene su sitio entre una auditoría y la siguiente, y casi todos lo usamos como punto de partida. El problema es pagarlo como prueba manual y entregárselo después a un cliente OIV como si lo fuera.

Qué firmar antes de empezar

Antes de la primera prueba tienen que estar firmados dos documentos: el acuerdo de confidencialidad y la autorización escrita del titular de los sistemas, con los activos, las fechas y el nombre de quien autoriza.

En Chile hay un motivo más para cuidar el primero. Las capturas de un informe suelen llevar datos personales de clientes, y el 1 de diciembre de 2026 entra en vigencia la Ley 21.719 de protección de datos personales. Deja escrito qué pasa con las evidencias al terminar y cuándo se destruyen. Qué cubre un acuerdo de confidencialidad y qué no está en qué es un NDA.

Si un activo está en una nube o lo administra un tercero, y a veces ese tercero eres tú como proveedor del OIV, revisa sus condiciones antes de fijar fechas: puede hacer falta también su permiso.

Cuánto cuesta y cuánto tarda

El precio depende del alcance y no del país: número de activos, roles de usuario y si hay que entrar en la red interna. Nuestros precios de partida están publicados, en euros, servicio por servicio, y el desglose de qué los mueve está en cuánto cuesta un pentesting.

Solemos cotizar en unas 24 horas y entregar el informe en unos 10 días, según el alcance. Son estimaciones: el plazo que vale es el que queda escrito en la propuesta.

Nuestra propuesta, contra la misma lista

Las pruebas las hace un equipo con certificaciones OSCP+ y CRTP, a mano y contra metodologías públicas (OWASP, PTES y OSSTMM), con más de 300 auditorías hechas así. Entregamos informe técnico, informe ejecutivo y una presentación a la gerencia. El retest va incluido: lo pides cuando hayas corregido, dentro de los seis meses siguientes a la entrega.

Trabajamos en remoto desde España, con el horario de las pruebas acordado en hora de Chile. Si quieres ponernos en la misma tabla que a los otros dos, pide la cotización desde la página de pentesting en Chile con la lista de activos y, si eres proveedor de un OIV, el anexo o el cuestionario que te han mandado. Te devolvemos una propuesta cerrada que se pueda comparar fila a fila.