¿Qué es el VAPT? Evaluación de vulnerabilidades y test de intrusión explicados

VAPT corresponde a la Evaluación de Vulnerabilidades y Test de Intrusión (Vulnerability Assessment and Penetration Testing). Es un término paraguas para dos actividades de seguridad complementarias: encontrar las debilidades de un sistema (la evaluación de vulnerabilidades) y demostrar de forma segura cuáles de ellas se pueden explotar realmente (el test de intrusión).

En las pruebas de software, el test de intrusión es la contraparte de seguridad de las pruebas funcionales: en lugar de comprobar que el software hace lo que debe, comprueba si un atacante puede hacer que haga lo que no debe.

Una evaluación de vulnerabilidades se centra en la amplitud. Identifica y enumera sistemáticamente posibles debilidades en un sistema, parches faltantes, configuraciones débiles, servicios expuestos, mediante una combinación de herramientas y revisión. El resultado es un catálogo de lo que podría estar mal.

Un test de intrusión se centra en la profundidad. Es principalmente manual y va un paso más allá al intentar explotar las debilidades que un atacante realmente usaría: encadenándolas, eludiendo controles y alcanzando datos o funciones que no debería. El resultado es una prueba de lo que se puede hacer en realidad y de lo grave que es.

Por sí sola, una evaluación de vulnerabilidades produce una lista larga y sin priorizar, a menudo llena de falsos positivos y problemas teóricos que ningún atacante podría alcanzar. Por sí solo, un test de intrusión puede profundizar en unas pocas rutas, pero pasar por alto la amplitud.

Combinados como VAPT, obtienes ambas cosas: una visión amplia de dónde están las debilidades, más una prueba validada y explotada de cuáles importan, de modo que la remediación se ordena por riesgo real en lugar de por la severidad que indica un escáner.

Alcance: el VAPT puede dirigirse a aplicaciones web, API, entornos en la nube, redes internas y externas, y aplicaciones móviles, acordados por escrito antes de que comiencen las pruebas.

Método: un buen VAPT es principalmente manual, con las herramientas como apoyo. Las pruebas se ejecutan contra entornos acordados con cuentas acordadas, y nunca desencadenan acciones destructivas o que afecten a la disponibilidad sin una aprobación explícita.

Entregable: un informe escrito con un resumen ejecutivo, hallazgos reproducibles (pasos exactos y evidencias), remediación ordenada por riesgo real y, cuando se acuerda, una nueva prueba que confirme que las correcciones se mantienen.

Un escaneo de vulnerabilidades es una comprobación automatizada de problemas conocidos, y es solo una de las entradas de la parte de evaluación del VAPT. Los escaneos son rápidos y económicos, pero señalan firmas en lugar de razonar sobre tu sistema.

El VAPT añade las dos cosas que los escáneres no pueden hacer: pruebas manuales que entienden tu lógica de negocio y una explotación real que demuestra el impacto. Los fallos que causan brechas reales, control de acceso roto, elusiones de autenticación, exploits encadenados, suelen ser los que solo encuentra una persona.

Los detonantes habituales son antes de un lanzamiento importante, después de cambios significativos en un sistema y con una cadencia regular: al menos una vez al año, y con mayor frecuencia para sistemas de alto riesgo o regulados.

El cumplimiento es también un motor frecuente: marcos como SOC 2, ISO 27001 y PCI DSS esperan de hecho pruebas periódicas, y la DPDP Act de la India vincula sus mayores sanciones a no adoptar salvaguardas de seguridad razonables, algo que el VAPT evidencia directamente.