Precio de una auditoría de ciberseguridad: qué pagas y por qué varía

El precio de una auditoría de ciberseguridad en España parte de 450 € cuando el alcance es concreto, como el perímetro expuesto a internet o el cortafuegos, y de 1.520 € cuando se audita la red interna entera. Lo que mueve la cifra es el alcance. El tamaño casi no cuenta. Una startup de ocho personas con cuatro aplicaciones y trescientos endpoints de API paga más que una gestoría de cuarenta empleados con una web y Microsoft 365.

Esa horquilla es la de partida. No la de cierre. Sobre ella pesan cosas que se pueden contar antes de firmar: cuántos activos entran, cuántos roles de usuario hay que probar y si alguien vuelve a comprobar más adelante que lo arreglado está arreglado.

¿Cuánto cuesta una auditoría de ciberseguridad? Precios de partida

Estas son las cifras desde las que arranca cada uno de los trece tipos de auditoría. Están publicadas en cada ficha de servicio, así que puedes compararlas con lo que te pidan en otro sitio sin pedir una llamada previa.

Lo llamativo de esa lista es que la más cara sea la de la red interna, que es justo la que más se pospone porque de puertas adentro se supone que no entra nadie. Cuesta más porque se tarda más: de una a tres semanas, y con días presenciales. El cortafuegos y el WiFi, en cambio, caben en una jornada en tu oficina.

Si has llegado aquí con una pyme y lo que necesitas es el orden, no el catálogo, está desglosado en qué auditar primero en una pyme y cuánto cuesta cada cosa.

Qué mueve el precio de un presupuesto a otro

Pides presupuesto para auditar tu web y te llegan tres cifras que no se parecen. No es que una empresa sea cara y otra barata. Es que no están cotizando lo mismo, y el documento casi nunca lo dice. Esto es lo que hay debajo de la diferencia:

• › Cuántos activos entran. No cuesta igual una aplicación que cuatro, ni un dominio que veinte subdominios que nadie recordaba.
• › Cuántos roles de usuario se prueban. Buena parte de los fallos graves de una web viven en lo que un usuario normal puede hacer y no debería.
• › Cuánto del trabajo es manual y cuánto lo hace una herramienta sola.
• › Si el retest entra en el precio o llega como una segunda factura seis meses después.
• › Si alguien se sienta con tu dirección a explicarlo, o te mandan el PDF y hasta luego.

En Pentesting Team el retest a los seis meses va dentro del precio de partida, no como una línea aparte. Es la diferencia entre pagar por saber qué tienes roto y pagar por tenerlo arreglado, y explica parte del salto respecto a un presupuesto que termina el día que se entrega el informe.

El punto que más infla o desinfla una cifra es el tercero. Un escáner automático te dice que una biblioteca está desactualizada. Lo que no hace es coger un usuario sin privilegios, cambiar un identificador en una petición y sacar la factura de otro cliente. Encadenar dos fallos que por separado no puntúan hay que probarlo a mano, y eso se cotiza en horas de persona.

Qué estás pagando: seis fases y lo que sale de ellas

Una auditoría no empieza el día que se lanza la primera prueba. Empieza con un plan por escrito. En Pentesting Team ese plan de auditoría formal sale antes de tocar nada y lleva las fechas, las pruebas previstas y el equipo que las ejecuta, que es lo que te deja avisar a tu proveedor de hosting y a quien esté de guardia.

Después vienen las seis fases del trabajo. La que separa una auditoría de un escaneo es la de explotación controlada, y la metodología no nos la inventamos: una aplicación web se prueba contra la OWASP Web Security Testing Guide, que es pública y puedes leer tú mismo para saber qué se supone que hay que mirar.

De ahí sale el informe. Cada vulnerabilidad va con su descripción, su impacto, su criticidad y su evidencia, y si se llegó a explotar, con el proceso documentado paso a paso. Eso significa que tu equipo puede reproducir el hallazgo sin llamarnos para preguntar cómo se hacía.

Y está la parte que rara vez aparece desglosada en un presupuesto: la presentación de resultados a dirección, con el PowerPoint que usamos en ella, para que no tengas que traducir tú un informe técnico a algo que entienda un director general. El retest de los seis meses cierra el ciclo. Si quieres ver antes de firmar qué debería traer ese documento, lo tenemos desglosado en qué debe incluir un informe de pentesting.

¿Cómo se lee un presupuesto de 300 euros?

Existen, y no siempre son un timo. Lo que casi nunca son es una auditoría. Por 300 € lo que se puede vender con margen es un escaneo automatizado, un informe exportado de la herramienta y una llamada para repasarlo. Cuatro preguntas separan una cosa de la otra, y caben en un correo antes de firmar nada:

1. 01¿Cuántas horas de trabajo manual incluye el precio?
2. 02¿Me enseñáis una página de ejemplo de un informe vuestro, aunque venga anonimizada?
3. 03¿El plan de auditoría con fechas y pruebas previstas llega antes de empezar, o me lo vais contando sobre la marcha?
4. 04¿La comprobación posterior está incluida o se factura aparte?

Dicho esto, un escaneo automático tiene su sitio. Si lo que necesitas es pasar un chequeo de vulnerabilidades conocidas cada trimestre para alimentar tu ciclo de parches, cómpralo como lo que es y no pagues precio de auditoría por él. Lo que no se puede es enseñárselo a un auditor de ISO 27001 y esperar que lo dé por bueno.

Cuando el precio deja de ser tu decisión: ENS e ISO 27001

Hay un caso en el que la auditoría no la eliges tú: te la exige una norma, y la pregunta deja de ser cuánto cuesta para pasar a ser cada cuánto. El artículo 31 del Esquema Nacional de Seguridad obliga a una auditoría regular ordinaria al menos cada dos años.

La otra mitad del real decreto se cuenta mucho menos. El artículo 38.1 deja los sistemas de categoría básica en una autoevaluación para declarar la conformidad, así que esa auditoría bienal recae de hecho sobre los de categoría media y alta. Si el tuyo es básico, no necesitas pagar una auditoría de certificación para estar en regla. Puedes encargarla igual, y a veces compensa, pero es una decisión tuya y no una obligación que nadie deba venderte como tal.

Con ISO 27001 la confusión sale más cara. La auditoría de certificación la hace la entidad certificadora y no la puede hacer quien te ha montado el sistema de gestión, así que lo que contratas antes es otra cosa. Nuestra auditoría SGSI frente a ISO 27001 y ENS parte de 980 € y sirve para eso: separar los controles que funcionan de los que están solo sobre el papel, antes de que lo haga el certificador. Los plazos y los niveles están en qué es el ENS y a quién obliga.

Lo que probablemente no necesitas pagar este año

No contrates las trece auditorías. Nadie las necesita a la vez, y repartir el presupuesto entre todas es la forma más rápida de no mirar nada a fondo. Con 1.000 € para el año, gastarlos enteros en una cosa rinde más que 77 € en trece.

Tampoco hace falta que la primera pasada la pague nadie. El inventario de lo que expones, quién tiene acceso a qué y si el software está al día lo levantas tú en una tarde, y Acelera pyme publica los pasos de esa revisión inicial. Llegar a pedir presupuesto con el inventario hecho reduce el alcance, y con el alcance baja la factura.

Y desconfía de la «auditoría 360» a precio cerrado sin alcance escrito. O el alcance está definido y entonces cabe en una lista de activos, o no lo está y lo que estás comprando es una cifra sin contenido detrás.

Por dónde empezar con el presupuesto que tengas

Si este año solo entra una, empieza por lo que un atacante ve sin credenciales: la auditoría de superficie externa, que parte de 450 € y se hace en remoto. De ahí sale el inventario de subdominios olvidados, servicios abiertos y credenciales tuyas filtradas en brechas de terceros. Con ese mapa delante, la siguiente auditoría se cotiza sobre datos y no sobre una estimación.

Y pídelo antes de que te lo pida el auditor de la norma o el cliente que te ha colado un cuestionario de seguridad en el pliego. Con margen eliges el alcance. Con prisa pagas lo que haya.