Las siete fases de PTES

PTES se escribió para que cliente y proveedor entendieran lo mismo por «prueba de penetración». Para eso ordena el encargo en siete secciones: interacciones previas (alcance, reglas, contactos, permisos), recolección de información, modelado de amenazas, análisis de vulnerabilidades, explotación, postexplotación e informe.

Lo que lo distingue de una lista de comprobación técnica son los extremos. La primera sección trata de papeles y conversaciones, no de herramientas; la última, de cómo se cuenta el resultado para que el cliente lo pueda usar. El estándar separa además el qué del cómo: el texto principal dice qué tiene que ocurrir en cada fase, y los detalles técnicos van en una guía aparte.

Cada sección deja algo que la siguiente usa: el alcance firmado limita la recolección, lo recolectado alimenta la decisión de qué activos le importan al negocio y quién querría llegar a ellos, y esa decisión dice dónde poner las horas. Si una sección se salta, la siguiente trabaja con lo que supone en lugar de con lo que sabe.

La bitácora del encargo de 2026 clasifica cada actividad en una de las siete fases. Si una fase no tiene ni una sola línea, el plan de 2027 tiene que decir por qué, o hacerla.

Abre el laboratorio, cuenta las actividades por fase y compáralas con la lista completa.

Las interacciones previas terminan con las reglas de enfrentamiento firmadas. Hasta ese momento se habla, se lee y se negocia, pero no se toca nada del cliente: una actividad activa antes de la firma no tiene autorización, aunque después todo saliera bien.

Busca la hora de la firma y mira qué se hizo antes.

Las siete secciones tienen un orden, pero el trabajo real vuelve atrás: un servidor que aparece en la postexplotación devuelve al evaluador a recolectar información sobre él, y un hallazgo nuevo cambia el modelo de amenazas. Lo que no cambia al volver atrás es el alcance firmado en la primera fase.