Pentesting continuo: qué es y cuándo compensa frente al pentest anual

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

Un pentest anual es una foto: muestra cómo estaban tus sistemas la semana en que se probaron. Si despliegas cada pocos días, abres servicios nuevos o cambias de proveedor, esa foto caduca rápido. El pentesting continuo repite las pruebas ofensivas a lo largo del año para que lo que cambia no pase meses sin que nadie lo ataque. Esta guía explica qué es, en qué se diferencia del escaneo de vulnerabilidades, qué piden las normas y cuándo compensa de verdad.

Qué es el pentesting continuo

Es un programa de pruebas ofensivas recurrentes, con una frecuencia fija (mensual o trimestral) o ligada a los cambios: un despliegue importante, una API nueva o un servicio recién expuesto. También se vende como PTaaS (Penetration Testing as a Service), normalmente con una plataforma donde se ven los hallazgos según aparecen.

Lo que lo distingue de un escáner es que se intenta explotar: no se limita a decir que una versión es vulnerable, sino que comprueba si el fallo se puede aprovechar en tu entorno.

Pentest anual, pentesting continuo y escaneo: qué es cada uno

	Escaneo de vulnerabilidades	Pentesting continuo	Pentest anual
Frecuencia	Semanal o mensual	Mensual, trimestral o con cada cambio	Una vez al año
¿Explota?	No	Sí, de forma acotada	Sí, en profundidad
Profundidad	Superficial, por firmas	Lo que ha cambiado y la repetición de pruebas anteriores	Lógica de negocio y cadenas de ataque
Para qué sirve	Detectar versiones vulnerables	Que lo nuevo no quede meses sin probar	La evaluación completa y la evidencia anual

No son excluyentes. Lo habitual en una empresa con cambios frecuentes es un pentest anual en profundidad, pruebas periódicas más ligeras entre medias y vigilancia de la superficie expuesta todo el año.

Qué piden las normas

Las normas suelen fijar un mínimo anual y añadir pruebas cuando hay cambios. Ese «tras cambios significativos» es justo lo que el pentesting continuo cubre bien:

PCI DSS v4.0: pentest interno y externo al menos una vez cada 12 meses y tras cualquier cambio o actualización significativa de la infraestructura o de las aplicaciones (requisitos 11.4.2 y 11.4.3).
DORA: pruebas, al menos una vez al año, de todos los sistemas y aplicaciones TIC que soportan funciones críticas o importantes (artículo 24.6), y TLPT al menos cada tres años para las entidades obligadas (artículo 26.1).
NIS2, ENS e ISO 27001 piden evaluar la eficacia de las medidas de seguridad con regularidad, sin fijar una frecuencia de pentest concreta para todos los casos.

El pentesting continuo no sustituye al pentest anual que exige una norma: lo complementa y deja evidencia de que se probó también lo que cambió durante el año.

Cuándo compensa y cuándo basta con el anual

Compensa cuando:

Despliegas a menudo: cada versión puede traer un fallo nuevo.
Tu superficie expuesta cambia: subdominios, servicios en la nube o APIs que aparecen y desaparecen.
Tus clientes piden evidencia de seguridad a lo largo del año, no solo un informe de hace diez meses.
Acabas de pasar un incidente o un pentest con muchos hallazgos, y quieres comprobar que lo corregido sigue corregido.

Basta con el anual cuando el entorno es estable, con pocos cambios y poca exposición. En ese caso, un pentest al año más un escaneo periódico suele ser suficiente.

Cómo lo hacen viable los agentes de IA

Lo que frenaba el pentesting continuo era el coste: repetir pruebas cada mes con horas de pentester es caro. Los agentes de IA cambian esa cuenta. Si cada hallazgo de un pentest se guarda de forma estructurada (punto afectado, petición y payload), un agente puede repetir las pruebas cada mes y probar lo que ha cambiado, mientras un pentester aprueba las acciones intrusivas y valida a mano lo que aparece.

Así se obtiene la frecuencia de lo automático sin el ruido de un escáner: lo que llega al informe está comprobado por una persona.

Cómo lo hacemos en QuantumSec

Dentro de nuestro servicio de seguridad gestionada, entre un pentest anual y el siguiente hacemos pruebas ofensivas periódicas asistidas por agentes de IA, con la frecuencia que se acuerde (hasta mensual). Repiten las pruebas del último pentest y atacan lo que ha cambiado. Cada acción intrusiva la aprueba un pentester y nada llega al informe mensual sin validarse a mano.

FAQ

¿Qué es PTaaS?

Penetration Testing as a Service: el pentest contratado como servicio recurrente en vez de como proyecto puntual, normalmente con una plataforma donde se siguen los hallazgos según aparecen. Es una forma de vender pentesting continuo.

¿El pentesting continuo sustituye al pentest anual?

No. Las pruebas periódicas cubren lo que cambia y comprueban que lo corregido sigue corregido, pero la evaluación en profundidad (lógica de negocio, cadenas de ataque) necesita el tiempo de un pentest completo. Y si una norma exige un pentest anual, hay que hacerlo igualmente.

¿Cada cuánto hay que hacer un pentest?

Como mínimo una vez al año y siempre después de un cambio importante. Entre medias, la frecuencia depende de cuánto cambia tu entorno: mensual si despliegas a menudo o tu superficie expuesta varía, trimestral si los cambios son más espaciados.

¿En qué se diferencia del análisis de vulnerabilidades?

El análisis de vulnerabilidades detecta fallos conocidos por firmas, sin explotarlos. El pentesting continuo intenta explotarlos de forma acotada y comprueba si el fallo se puede aprovechar en tu entorno, con un pentester validando lo que aparece.

¿Cuánto cuesta el pentesting continuo?

Depende del alcance y de la frecuencia. En nuestro caso, las pruebas periódicas forman parte del servicio de seguridad gestionada y se dimensionan con él. Para el pentest puntual tienes rangos orientativos en la guía de precios y en la calculadora.