Estimar esfuerzo y armar la propuesta

«¿Cuánto cuesta un pentest?» no tiene respuesta. Lo que tiene respuesta es cuánto cuesta evaluar una aplicación con tantos perfiles de usuario, una API con tantas rutas y una red con tantos segmentos. Por eso, antes de cotizar, la firma manda un cuestionario de alcance: obliga al cliente a nombrar lo que quiere evaluar y a dar las cantidades que mueven el esfuerzo.

Con esas cantidades se aplica la guía de esfuerzo de la firma, que es su experiencia acumulada convertida en tabla: cuántas horas cuesta de media cada unidad de cada tipo de objetivo. La estimación sale de multiplicar, no de intuir, y por eso se puede defender ante el cliente línea por línea.

Lo que el cuestionario no deja claro no se estima a ojo: se escribe en la propuesta como supuesto («el precio vale si…») o como exclusión. Un supuesto escrito protege a las dos partes cuando la realidad cambia; uno callado termina en una discusión de facturas.

Las horas de prueba son las que el equipo pasa evaluando objetivos, sin contar el informe ni las reuniones. Cada componente confirmado del cuestionario tiene una cantidad, y cada tipo de objetivo de la guía tiene su unidad. La trampa habitual es aplicar la cantidad sin mirar la unidad: una unidad que dice «por bloque o fracción» redondea hacia arriba.

Abre el laboratorio, lee las cantidades de los componentes confirmados y aplica a cada uno la fila de la guía que le corresponde.

Dos componentes del cuestionario no se estiman, pero no por la misma razón. Uno lo retiró el propio cliente: va a fuera de alcance y ya está. El otro es distinto: el cliente quiere incluirlo, pero lo desarrolla y lo aloja un tercero, y nadie ha confirmado que ese tercero acepte que se le hagan pruebas. Probar algo de un tercero sin su permiso es salirse de la autorización, aunque el cliente lo pida con buena fe.

Ese componente no desaparece de la propuesta: se escribe como supuesto, con la condición que lo destrabaría y con su estimación aparte, para que entre con una adenda si llega el permiso.

A las horas de prueba se suman las que el cliente no ve pero sí recibe: el informe con su revisión de calidad y las reuniones de arranque, seguimiento y cierre. En la guía de la firma, la primera de esas filas no es una cantidad fija de horas sino un porcentaje sobre las horas de prueba; la segunda es fija por encargo.

Esta cifra es la que va a la sección de esfuerzo de la propuesta. De ella salen el cronograma (cuántos días con cuántas personas) y el precio.