Pentest para ISO 27001 y SOC 2
Tu auditoría empieza en tres meses. Así encaja el pentest.
ISO 27001 y SOC 2 no exigen un pentest con esas palabras. Aun así, casi todos los auditores lo piden. Esto es lo que quieren ver, cuándo, y cómo evitar que el test se quede fuera de tu ventana de auditoría.
Qué pide ISO 27001
ISO 27001 (versión 2022) es concreta. El control 8.8 trata la gestión de vulnerabilidades técnicas; el 8.29, las pruebas de seguridad en desarrollo y aceptación. La entidad certificadora quiere ver que lo haces de forma sistemática y que actúas sobre los resultados. Un test manual anual con retest es la evidencia habitual.
Qué pide SOC 2
Los Trust Services Criteria no mencionan la palabra pentest. Piden detectar y gestionar vulnerabilidades y comprobar que tus controles funcionan. En la práctica casi todos los auditores lo traducen en un pentest externo dentro del periodo auditado, evidencia de seguimiento de los hallazgos y una declaración del tester. En un informe Type II esa evidencia tiene que ser del propio periodo; un test del año pasado no cuenta.
El alcance sigue la descripción de tu sistema
Tu auditor mira el sistema que has delimitado en tu descripción del sistema. Si el pentest testea otra cosa, tienes un informe pero no una evidencia. Por eso alineo el alcance antes del test con esa descripción — misma aplicación, mismo entorno, mismos roles — y así consta literalmente en la attestation letter (TPM).
Calendario
- Planifica el test al principio de tu ventana de auditoría. No en el último mes; necesitas tiempo para corregir.
- Cinco días de test, informe en tres días laborables. Desde el inicio tienes una attestation letter en quince días laborables.
- Corrige y luego retest. Incluido durante 90 días; cada ronda produce una declaración firmada.
- Entrega a tu auditor la attestation letter y las declaraciones. Sus preguntas las respondo yo.
¿Haces deploy continuo?
Entonces un test al año es una foto de una película. Con Release Guard testeo cada release sobre lo que ha cambiado, con el test anual como referencia. Si tu auditor acepta la verificación continua como complemento, acuérdalo con él antes; yo aporto un resumen de los delta-tests junto a la attestation letter.
¿Y si el cuestionario viene de un cliente bajo NIS2?
Cada vez más a menudo el pentest no lo pide tu auditor sino un cliente grande que está bajo NIS2 y tiene que vigilar a sus proveedores. La respuesta es la misma evidencia: un test reciente, la attestation letter y la declaración de retest. NIS2 no exige pentests trimestrales; una evaluación anual basada en riesgo es suficiente. Sobre el estado de la transposición en España y el ENS, lee Pentest para el ENS. El mapeo completo, criterio por criterio y control por control, está en la guía de 2026.
Qué recibe el auditor
- La attestation letter: alcance, método, periodo, resultado.
- La declaración de retest por cada ronda.
- Bajo petición: la metodología en detalle y respuesta a sus preguntas.
El informe técnico se queda contigo. Un auditor no necesita los hallazgos para comprobar que los has resuelto; para eso está la declaración.
FAQ
Preguntas frecuentes
¿El pentest tiene que caer dentro del periodo auditado?
Para un SOC 2 Type II, sí. Para ISO 27001 el auditor quiere ver un test reciente; más de un año rara vez se acepta.
¿El test intermedio del Plan anual sirve como evidencia?
Sí, como complemento del test completo. El intermedio se centra en lo que cambió desde el test anterior; el completo sigue siendo la base.
Mi auditor quiere ver el informe completo. ¿Tengo que dárselo?
Eso lo decides tú. La mayoría de los auditores se conforman con la attestation letter y la declaración de retest. Si el tuyo quiere más, comparte el informe bajo confidencialidad, no como anexo del expediente.
Una llamada de 30 minutos basta para saber si esto encaja.
Agenda una scoping call¿Prefieres email? Envía tu alcance a info@hacketico.es — en 24 horas en días laborables sabrás si cabe en 5 días y cuánto cuesta.