Vulnerability Assessment y Penetration Test: las diferencias
Lectura 7 min · AstraLoop Studio
Si has pedido un presupuesto de ciberseguridad, seguramente te has topado con dos términos que se usan casi como sinónimos: vulnerability assessment (VA) y penetration test (pentest). No lo son. Hacen cosas distintas, requieren competencias distintas y cuestan cifras muy distintas. Un VA parte de 2.000 euros, un pentest serio raramente baja de los 5.000. Confundirlos significa pagar de más por lo que no necesitas, o pagar lo justo por la cosa equivocada.
Aquí te explico la diferencia en términos prácticos, sin jerga de manual, y te doy una regla operativa que funciona para la mayoría de las pymes italianas: VA con cadencia semestral más un penetration test anual. Ambos son piezas de un audit de ciberseguridad completo, que es el marco dentro del cual deben encajar si quieres que el dinero invertido tenga sentido.
Es una pregunta que hoy ya no es académica. Según el Rapporto Clusit 2026, Italia concentra cerca del 10% de los incidentes mundiales, con ataques graves en aumento del 23% en el primer trimestre y una explotación de vulnerabilidades que ha crecido un 65% respecto a 2024. Las pymes son el objetivo en el 72% de los casos. No hablamos de grandes corporaciones, sino de empresas como la tuya.
La diferencia en una frase
Imagina la seguridad de tu empresa como un edificio.
El vulnerability assessment es un inspector que recorre el edificio con una checklist y te señala todas las puertas sin cerradura, las ventanas que no cierran bien, los candados oxidados. Te entrega una lista de problemas, ordenada por gravedad. No intenta entrar: te dice por dónde podría entrar alguien.
El penetration test es un ladrón profesional (ético, que trabaja para ti) al que le pides que intente entrar de verdad. No se limita a enumerar las debilidades: las combina, las explota, busca la cadena de errores que lleva hasta los datos sensibles. Al final no solo te dice "esta puerta estaba abierta", sino "entré por esa puerta, llegué al servidor de contabilidad y podría haber descargado la base de datos de clientes".
En una frase: el VA te dice qué vulnerabilidades existen, el pentest te demuestra hasta qué punto puede llegar un atacante explotándolas.
Tabla comparativa: VA y penetration test frente a frente
| Aspecto | Vulnerability Assessment | Penetration Test |
|---|---|---|
| Objetivo | Identificar y enumerar las vulnerabilidades conocidas | Explotar las vulnerabilidades para demostrar el impacto real |
| Enfoque | Principalmente automatizado (escáner) con verificación humana | Principalmente manual, guiado por un analista |
| Amplitud vs profundidad | Amplio: cubre muchos sistemas, en superficie | Profundo: pocos objetivos, explorados a fondo |
| Pregunta a la que responde | "¿Dónde soy débil?" | "¿Puede un atacante entrar de verdad y hasta dónde llega?" |
| Resultado | Informe con lista de vulnerabilidades y nivel de riesgo | Informe con escenarios de ataque conseguidos, rutas y pruebas |
| Falsos positivos | Posibles (el escáner también señala lo que no es explotable) | Raros (si aparece en el informe, se explotó de verdad) |
| Duración típica | De pocos días a una semana | De una a varias semanas |
| Coste orientativo (pyme) | 2.000 - 5.000 euros | 5.000 - 15.000 euros |
| Cadencia recomendada | Semestral (o tras cada cambio relevante) | Anual (o tras cambios estructurales) |
Si quieres profundizar en cada uno por separado, hemos escrito una guía dedicada a qué es un vulnerability assessment y otra sobre los factores que determinan el coste de un penetration test.
Por qué no basta con uno de los dos
La tentación, para contener los costes, es elegir solo uno. Veamos por qué suele ser un error, en ambas direcciones.
Solo VA: ves los problemas pero no entiendes cuáles importan de verdad
Un vulnerability assessment bien hecho puede devolverte un listado de 150, 200 o más vulnerabilidades. Es útil, pero sin contexto corres el riesgo de la "parálisis por lista": no sabes por dónde empezar. Muchos de esos hallazgos son de gravedad baja o no explotables en tu entorno real (los llamados falsos positivos). El VA te dice que diez puertas están abiertas, pero no cuál de ellas lleva de verdad a la caja fuerte. Perfecto para la monitorización continua, insuficiente para entender el riesgo concreto.
Solo pentest: profundo pero con puntos ciegos
Un penetration test se centra en objetivos específicos y los explora a fondo. Precisamente porque está enfocado y es costoso en horas-analista, no cubre todo el perímetro con la misma capilaridad que un escáner. Hacer solo un pentest al año significa dejar destapados once meses en los que surgen nuevas vulnerabilidades. Y aquí el número importa: en 2025 se publicaron más de 11.000 nuevas brechas solo en el ecosistema WordPress, el 97% de ellas en plugins y temas de terceros. Un panorama que cambia cada semana no se cubre con una sola foto anual.
La combinación de ambos se complementa. El VA hace de red de arrastre continua, el pentest hace de control de profundidad periódico. Juntos cubren tanto la amplitud como la gravedad.
La regla práctica para las pymes: VA semestral más pentest anual
Si tuviera que darte un solo consejo operativo, sería este. Para la inmensa mayoría de las pequeñas y medianas empresas italianas el ritmo correcto es:
- Vulnerability assessment cada seis meses. Coste típico 2.000 - 5.000 euros por escaneo. Sirve para detectar las nuevas vulnerabilidades que se acumulan entre un pentest y el siguiente. Si gestionas un e-commerce o un sitio con muchos plugins, valora también una cadencia más frecuente en esa parte del perímetro.
- Penetration test una vez al año. Coste típico 5.000 - 15.000 euros, según la complejidad y la amplitud del perímetro. Sirve para verificar que las defensas resisten frente a un atacante decidido.
A esta cadencia fija se suman los disparadores extraordinarios. Repite la prueba (al menos el VA, en muchos casos también un pentest específico) cuando:
- pones en marcha un nuevo sitio web, un nuevo software de gestión o un nuevo servicio expuesto en Internet;
- migras infraestructura, por ejemplo hacia la nube;
- incorporas un nuevo proveedor que accede a tus sistemas;
- has sufrido un incidente o un intento de ataque que estuvo cerca de tener éxito.
Este último punto sobre el proveedor no es secundario: el 30% de las brechas hoy implica a un tercero y los compromisos en la cadena de suministro se han cuadruplicado en cinco años. La directiva NIS2 obliga explícitamente a evaluar los riesgos ligados a los proveedores, así que el tema del riesgo de terceros se ha convertido en una obligación, ya no en una buena práctica.
¿Y el presupuesto? Un orden de magnitud honesto
Sumando, una pyme que sigue esta regla gasta orientativamente entre 9.000 y 25.000 euros al año en pruebas (dos VA más un pentest). Parece mucho, hasta que lo comparas con la alternativa. El coste medio de un incidente de ransomware para una pyme italiana ronda entre 35.000 y 250.000 euros, sin contar el parón operativo, el daño reputacional y las posibles sanciones. La cuenta de la prevención, en perspectiva, es casi siempre la más rentable. Si quieres ver los números en detalle, hay un análisis dedicado al coste real de una brecha de datos y al retorno de la prevención, y una guía sobre los factores que determinan el coste de un penetration test.
¿No sabes por cuál de los dos empezar para tu empresa? Solicita un análisis: evaluamos juntos tu perímetro y te decimos qué necesitas de verdad, sin escaneos automáticos disfrazados de pentest.
Qué exige la normativa (NIS2, AI Act, GDPR)
En 2026 el impulso para hacer estas pruebas ya no es solo de sentido común: es regulatorio. Merece la pena ser precisos, porque aquí los errores salen caros.
La directiva NIS2 (traspuesta en Italia mediante el D.Lgs. 138/2024) impone a los sujetos incluidos en su perímetro medidas de gestión del riesgo que incluyen evaluaciones periódicas de seguridad. A lo largo de 2026 entran en vigor los plazos operativos: obligaciones de notificación de incidentes desde principios de año y medidas de seguridad básicas exigibles a partir de octubre. Un aspecto que muchos responsables subestiman: la responsabilidad recae directamente sobre los órganos de administración (CEO y consejo) y ya no se puede delegar en el departamento de IT. Si no estás seguro de si tu empresa está entre los sujetos obligados, empieza por esta comprobación sobre la aplicabilidad de NIS2 a tu empresa y consulta las obligaciones concretas para las pymes.
El AI Act (Reglamento UE 2024/1689) entra en una nueva fase operativa el 2 de agosto de 2026, con obligaciones de ciberseguridad sobre los sistemas de alto riesgo y la vigilancia encomendada en Italia a la ACN. Las sanciones pueden llegar hasta 35 millones de euros o el 7% de la facturación. El GDPR, por su parte, exige en su art. 32 medidas técnicas "adecuadas" y la capacidad de probarlas y verificarlas con regularidad: VA y pentest están entre las herramientas con las que demuestras haberlo hecho.
Un detalle importante: esto es información, no asesoría legal. Para conocer tu perímetro exacto de obligaciones conviene una valoración específica de tu caso, cruzando NIS2, AI Act y GDPR en lugar de tratarlos como compartimentos separados.
¿Escaneo automático o auditoría humana? No es lo mismo
En el mercado encuentras ofertas de apenas unos cientos de euros que prometen un "penetration test". En la inmensa mayoría de los casos son escaneos automáticos repintados. Un escáner es útil (forma parte del VA), pero un pentest digno de ese nombre requiere un analista que razona, encadena las vulnerabilidades y piensa como un atacante. La diferencia se nota en el informe: un escaneo te escupe una lista, una auditoría humana te cuenta un escenario de ataque conseguido y te explica cómo cerrarlo.
Cuidado con un riesgo nuevo que los escáneres no detectan: la Shadow AI, es decir, el uso no controlado de herramientas de inteligencia artificial por parte de los empleados. El 38% de los trabajadores reconoce haber pegado datos confidenciales en herramientas como ChatGPT o Copilot. Ningún escáner de vulnerabilidades te dirá que tu comercial está subiendo la base de datos de clientes a un servicio externo: hace falta una auditoría que mire también los procesos y las personas, no solo los puertos de red.
La conexión que (casi) nadie te explica: la asegurabilidad
Hay una razón muy concreta y poco contada para hacer estas pruebas: el seguro de ciberriesgo. Cada vez más aseguradoras, antes de emitir o renovar una póliza, piden evidencia de evaluaciones de seguridad recientes. Un vulnerability assessment y un penetration test documentados pueden reducir la prima, desbloquear coberturas que de otro modo se deniegan y evitar disputas en caso de siniestro (la clásica cláusula por la que la aseguradora no paga si descubre que no habías adoptado medidas "adecuadas"). En la práctica, la auditoría no es solo un coste de protección: puede amortizarse en parte con el ahorro en la prima del seguro.
Cómo elegir, en la práctica
Resumiendo la decisión para tu caso:
- ¿Tienes presupuesto limitado y partes de cero? Empieza por un vulnerability assessment. Te da el mapa completo de las debilidades al coste más bajo y te dice dónde intervenir primero.
- ¿Gestionas datos sensibles (sanitarios, legales, financieros) o estás dentro del alcance de NIS2? Necesitas el paquete completo: VA para la amplitud, pentest para demostrar la resistencia. Y probablemente una auditoría combinada que toque también GDPR y AI Act.
- ¿Tienes un e-commerce o un sitio WordPress con muchos plugins? Prioridad a la superficie web: VA frecuentes en ese perímetro (los sitios se atacan de media cada pocos minutos) y al menos un pentest anual sobre la aplicación.
- ¿Ya has sufrido un incidente o un intento? No esperes a la cadencia habitual: haz de inmediato un pentest específico para entender cómo y por dónde entraron y si siguen dentro.
Lo peor que puedes hacer es no hacer nada, convencido de que eres demasiado pequeño para interesarle a alguien. Los números de Clusit dicen lo contrario: a las pymes no se las perdona, se las busca precisamente porque están menos defendidas. Un VA semestral y un pentest anual son el mínimo indispensable para dormir tranquilo y para demostrar, ante un juez o una aseguradora, que has hecho tu parte.
Preguntas frecuentes
¿Cuál es la diferencia principal entre vulnerability assessment y penetration test?
El vulnerability assessment identifica y enumera las vulnerabilidades presentes en tus sistemas (te dice dónde eres débil), mientras que el penetration test intenta explotarlas activamente para demostrar hasta dónde puede llegar un atacante. El primero es amplio y automatizado, el segundo es profundo y manual.
¿Cuánto cuesta un vulnerability assessment respecto a un penetration test?
Para una pyme italiana un vulnerability assessment cuesta orientativamente 2.000-5.000 euros, mientras que un penetration test parte de 5.000 y llega a 15.000 euros según la amplitud y complejidad del perímetro. La diferencia refleja el mayor trabajo manual del pentest.
¿Cada cuánto hay que hacer el VA y el penetration test?
La regla práctica para las pymes es vulnerability assessment cada seis meses y penetration test una vez al año, con pruebas extraordinarias tras cada cambio relevante: nuevo sitio o software de gestión, migración a la nube, nuevo proveedor con acceso a los sistemas o tras un incidente.
¿Basta con hacer solo uno de los dos para mi empresa?
Normalmente no. Solo el VA te da una lista sin decirte cuáles vulnerabilidades importan de verdad; solo el pentest deja destapados los once meses entre una prueba y la siguiente, en los que surgen nuevas brechas. La combinación cubre tanto la amplitud como la gravedad.
¿Es obligatorio por ley hacer un penetration test?
Ninguna norma menciona literalmente el pentest, pero NIS2 (D.Lgs. 138/2024), GDPR (art. 32) y AI Act (Reg. UE 2024/1689) exigen evaluaciones periódicas y medidas adecuadas y comprobables. VA y pentest son las herramientas con las que lo demuestras. Esto es información, no asesoría legal.
¿Un escaneo automático barato equivale a un penetration test?
No. Las ofertas de apenas unos cientos de euros son casi siempre escaneos automáticos, parte del VA pero no un pentest. Un verdadero penetration test requiere un analista que encadena las vulnerabilidades y razona como un atacante, con un informe que muestra escenarios de ataque conseguidos.
¿Quieres establecer la cadencia correcta de VA y penetration test y alinearte con NIS2, GDPR y AI Act? Hablemos y construyamos un plan a medida para tu pyme.