Que es un pentest? Guia completa per a organitzacions el 2026

Que es un pentest?

Un pentest, abreviatura de penetration test o prova de penetracio, es una avaluacio de seguretat estructurada en la qual hackers etics intenten comprometre els sistemes, xarxes o aplicacions d'una organitzacio. A diferencia dels escanejos automatitzats, un pentest combina eines amb investigacio manual i la creativitat del tester. El resultat es un informe detallat amb les vulnerabilitats trobades, l'impacte potencial i recomanacions concretes per millorar la seguretat.

Un pentest no es un exercici teoric. El tester intenta activament accedir a dades sensibles, prendre el control de sistemes o eludir controls de seguretat. Aixo ofereix una imatge realista de la resiliencia real de l'organitzacio davant d'atacs reals.

Segons el Verizon Data Breach Investigations Report 2024, el 68% de totes les fuites van implicar un element huma o una vulnerabilitat tecnica que un pentest hauria pogut identificar per endavant.

Tipus de pentest

Hi ha diversos tipus de pentests, cadascun orientat a una part diferent de la superficie d'atac:

• Pentest extern: prova els sistemes accessibles des d'internet, com llocs web, portals VPN i servidors de correu. Simula un atacant sense coneixement previ de la xarxa interna.
• Pentest intern: simula un atacant que ja te acces a la xarxa interna, per exemple a traves d'un lloc de treball compromes o un empleat malintencionat.
• Pentest d'aplicacio web: se centra especificament en aplicacions web i APIs. Prova vulnerabilitats com injeccio SQL, cross-site scripting (XSS) i autenticacio trencada.
• Avaluacio de seguretat al nuvol: examina la configuracio i seguretat d'entorns cloud (AWS, Azure, Google Cloud). Les configuracions incorrectes son la principal causa de fuites al nuvol.
• Pentest OT: prova la tecnologia operativa en entorns industrials, com sistemes SCADA i PLC. Essencial per a organitzacions del sector manufacturer i infraestructures critiques.
• Red teaming: la forma mes completa. Un equip vermell simula un atac avancat i multivector durant setmanes o mesos, incloent-hi enginyeria social, acces fisic i explotacio tecnica. L'objectiu es posar a prova la capacitat completa de deteccio i resposta de l'organitzacio.

Quan necessites un pentest?

Un pentest no es una accio puntual, sino un element recurrent de la teva estrategia de seguretat. Moments clau en els quals un pentest es essencial:

• Abans del llancament d'una nova aplicacio o plataforma
• Despres de canvis importants en la infraestructura o el codi
• Com a part del compliment de NIS2, DORA o ISO 27001
• Despres d'una fusio, adquisicio o migracio al nuvol
• Anualment com a mesura base del nivell de seguretat
• Quan clients, socis o asseguradores ciberneticament ho requereixen

El CCN-CERT recomana que les organitzacions amb sistemes critics facin proves de penetracio almenys un cop l'any.

Comparativa: pentest vs vulnerability scan vs red teaming

Aquests termes s'utilitzen sovint de manera intercanviable, pero hi ha diferencies fonamentals:

Quant costa un pentest?

El cost d'un pentest varia considerablement segons l'abast, la complexitat i el tipus:

• Pentest extern: des de €5.000
• Pentest d'aplicacio web: €8.000 - €25.000
• Pentest intern: €10.000 - €30.000
• Avaluacio de seguretat cloud: €10.000 - €35.000
• Red teaming: €30.000 - €150.000+

Per comparar: el cost mitja d'una fuita de dades el 2024 va ser de 4,88 milions de dolars a escala mundial (IBM Cost of a Data Breach Report 2024). Un pentest representa una fraccio minima d'aquest cost.

Quant dura un pentest?

El termini depen del tipus i l'abast:

• Preparacio: 1-2 setmanes (definicio d'abast, contractes, accessos)
• Proves actives: 1-4 setmanes
• Elaboracio de l'informe: 1-2 setmanes despres de les proves
• Nova prova (retest): opcional, 2-4 setmanes despres d'aplicar les correccions

Des del primer contacte fins a l'informe final, un pentest mitja triga entre 4 i 8 setmanes. Planifica'l amb marge, especialment si necessites els resultats per a una auditoria o certificacio.

Certificacions dels pentesters: que cal buscar

La qualitat d'un pentest depen completament de l'experiencia dels testers. Certificacions clau a tenir en compte:

• OSCP (Offensive Security Certified Professional): l'estandard de la industria per a pentesters tecnics. Examen practic de 24 hores.
• OSWE (Offensive Security Web Expert): especialitzat en seguretat d'aplicacions web.
• CREST: acreditacio reconeguda internacionalment per a empreses i individus de pentesting.
• GPEN / GWAPT (GIAC): certificacions de pentesting del SANS Institute.
• CEH (Certified Ethical Hacker): ampliament reconegut, tot i que menys rigoros tecnicament que l'OSCP.

L'equip de DEFION Security compta amb certificacions OSCP, OSWE, CREST i diverses certificacions GIAC. Pregunta sempre per les qualificacions de l'equip que dura a terme el teu pentest.

Preguntes frequents sobre pentests

Es obligatori un pentest amb NIS2 o DORA?

NIS2 exigeix a les organitzacions adoptar "mesures tecniques i organitzatives adequades", la qual cosa inclou proves de seguretat periodiques. DORA obliga explicitament les entitats financeres significatives a fer TLPT (proves de penetracio basades en amenaces). A mes, moltes asseguradores ciberneticament exigeixen pentests anuals com a condicio de la polissa.

Quina es la diferencia entre black-box, grey-box i white-box?

En un pentest black-box, el tester no te coneixement previ de l'objectiu. En el grey-box, rep informacio limitada, com credencials d'usuari. En el white-box, te acces complet al codi font i la documentacio d'arquitectura. El grey-box es el mes habitual perque ofereix el millor equilibri entre realisme i profunditat.

Pot un pentest causar danys als meus sistemes?

Els pentesters professionals treballen sota estrictes Regles d'Enfrontament i eviten accions destructives. El risc de caiguda de serveis es minim. L'abast, els horaris i els limits s'acorden sempre abans d'iniciar les proves.

Amb quina frequencia cal fer un pentest?

Com a minim, anualment per a sistemes critics. En organitzacions amb desenvolupament agil o publicacions frequents, es recomana fer un pentest o revisio de seguretat a cada llancament important. El pentesting continu es cada cop mes comu en organitzacions amb un ritme de desplegament elevat.

Que conte un informe de pentest?

Un informe de pentest de qualitat inclou un resum executiu, la metodologia emprada, totes les vulnerabilitats trobades amb classificacio de risc (puntuacions CVSS), evidencies (captures de pantalla, logs) i recomanacions concretes de remediacio. L'informe ha de ser llegible per a la direccio i accionable per a l'equip tecnic.

Quina es la diferencia entre un pentest i una auditoria de seguretat?

Una auditoria comprova el compliment d'un marc de referencia (com ISO 27001) i revisa politiques, processos i documentacio. Un pentest es una prova tecnica que realment intenta explotar vulnerabilitats. Son complementaris: l'auditoria verifica que la politica de seguretat es correcta; el pentest verifica que els controls tecnics resisteixen sota atac.