Pentest para ISO 27001, SOC 2, RGPD y ENS: qué exige cada uno

Resumen: ni ISO 27001, ni SOC 2, ni el RGPD dicen "pentest obligatorio", pero los tres exigen probar y demostrar la eficacia de tus controles de seguridad, y el pentest es la evidencia que más reconocen auditores, clientes y la AEPD. El RGPD es incluso explícito: el artículo 32.1.d pide "un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas". En el sector público español, el ENS exige auditorías periódicas, y el único estándar con exigencia directa de pentest es PCI DSS (requisito 11.4).

ISO/IEC 27001:2022

Qué pide la norma: gestión de riesgos y controles del Anexo A proporcionales. Tres controles tocan directamente las pruebas de seguridad:

• A.8.8 — Gestión de las vulnerabilidades técnicas.
• A.8.29 — Pruebas de seguridad en el desarrollo y la aceptación de sistemas nuevos y modificados.
• A.5.35 — Revisión independiente de la seguridad de la información.

Qué busca el auditor: evidencia de que las vulnerabilidades se identifican de forma sistemática más allá de los escáneres, de que los hallazgos se convierten en tratamiento de riesgos con responsable y plazo, y de que los cambios significativos se prueban. Un informe reciente con plan de corrección y retest cubre los tres puntos.

SOC 2

SOC 2 evalúa controles frente a los Trust Services Criteria del AICPA. El criterio CC4.1 menciona las pruebas de penetración entre las evaluaciones separadas; el CC7.1 trata la detección de vulnerabilidades. No hay obligación literal, pero el pentest anual es el estándar de mercado y los auditores de SOC 2 Type II lo piden. Consejo: alinea la fecha del pentest con el inicio del periodo de observación.

RGPD

Qué pide: el artículo 32 exige medidas técnicas y organizativas apropiadas al riesgo e incluye, expresamente, un proceso para verificar y evaluar regularmente su eficacia. Completan el cuadro el artículo 25 (protección de datos desde el diseño) y los artículos 33 y 34 (notificación de brechas).

Por qué importa el pentest: tras una brecha, la pregunta de la AEPD será "¿qué medidas teníais y cómo comprobabais que funcionaban?". Las multas por infringir el artículo 32 alcanzan 10 millones de euros o el 2 % de la facturación anual mundial, y 20 millones o el 4 % en las infracciones más graves.

ENS (Esquema Nacional de Seguridad)

Si tu organización pertenece al sector público o le presta servicios, el Real Decreto 311/2022 exige que los sistemas de categoría MEDIA o ALTA se sometan a una auditoría ordinaria al menos cada dos años, y la verificación técnica de las medidas forma parte de ella. Un pentest con alcance alineado a los sistemas certificados aporta evidencia directa para esa auditoría.

PCI DSS 4.0

Exige pentest interno y externo al menos anual y tras cambios significativos, prueba de segmentación y metodología documentada. Consulta qué espera el auditor del informe en PCI DSS 4.0. En banca y entidades esenciales, súmale DORA y NIS2.

Una prueba, varias evidencias

Requisito	Dónde encaja el pentest	Qué guardar
ISO 27001 A.8.8 / A.8.29	identificación de vulnerabilidades y prueba de cambios	informe, plan de tratamiento, retest
SOC 2 CC4.1 / CC7.1	evaluación independiente de controles	informe en el periodo Type II, tickets de corrección
RGPD art. 32	verificación regular de la eficacia	informe, correcciones, registro de decisiones
ENS (RD 311/2022)	auditoría bienal de categoría media/alta	informe alineado con el alcance certificado
PCI DSS 11.4	exigencia directa	informe con metodología, segmentación, retest

Pide al proveedor: alcance y metodología descritos en el informe, severidad justificada, retest con informe actualizado y un certificado (attestation letter) que puedas enviar a clientes sin exponer detalles técnicos.

Errores que invalidan el pentest como evidencia

• Informe solo de escáner.
• Alcance que no coincide con el de la certificación.
• Hallazgos críticos sin corrección ni aceptación formal del riesgo.
• Informe de hace más de 12 meses en la fecha de la auditoría.
• Sin retest.

Preguntas frecuentes

¿ISO 27001 obliga a hacer pentest?

No con esas palabras, pero exige gestionar vulnerabilidades técnicas y probar la seguridad de sistemas nuevos y modificados. El pentest es la forma más aceptada de evidenciarlo.

¿El RGPD exige pentest?

El artículo 32 exige un proceso de verificación regular de la eficacia de las medidas. El pentest es la forma más directa de cumplir y demostrar ese requisito en aplicaciones que tratan datos personales.

¿Un solo pentest sirve para ISO 27001, SOC 2, RGPD y ENS?

Sí, si el alcance cubre los sistemas relevantes y el informe incluye metodología, trazabilidad y retest. Consulta también cuánto cuesta un pentest.