Un dictamen pericial de pentest no es una colección de alertas con membrete. Es el documento que permite a otra persona entender qué se autorizó, qué se probó, cómo se comprobó, qué quedó fuera y por qué las conclusiones son compatibles con esa evidencia.
Si el objetivo es defender una decisión de riesgo, el informe debe responder preguntas concretas. No necesita prometer seguridad eterna ni transformar cada alerta en una emergencia.
Autorización y alcance antes de los hallazgos
El documento debe identificar quién autorizó la prueba, sobre qué activos, en qué fechas y bajo qué condiciones. Una autorización genérica de “puede probar todo” no sustituye límites operativos y de privacidad.
El alcance define sistemas, direcciones, aplicaciones, ambientes, horarios, contactos de contingencia y criterios de detención. También aclara qué datos se utilizarán y qué acciones quedan prohibidas. Esa delimitación permite distinguir una evaluación autorizada de una actividad fuera de control.
El dictamen no convierte la prueba en inmunidad. Si se sale del alcance, la autorización puede no cubrirlo. Por eso el informe debe ser preciso incluso cuando algo no salió como estaba previsto.
Objetivo, método y reproducibilidad
La metodología explica qué preguntas se pretendía responder y cómo se diseñó la comprobación. No basta decir “se ejecutaron herramientas”. Hay que describir qué se hizo manualmente, qué se automatizó y por qué esas acciones eran apropiadas para el objetivo.
Un revisor debe poder entender la secuencia: preparación, validación, evidencia, análisis y cierre. La parte técnica debe ser suficientemente clara para reproducir el hallazgo en un ambiente autorizado equivalente, sin publicar una receta de ataque lista para terceros.
La fecha y las versiones importan. Una ruta que era vulnerable en una versión concreta puede quedar corregida después. Una prueba sin hallazgos en otra fecha no borra la anterior. El documento debe evitar conclusiones atemporales.
Evidencia suficiente, no exceso de datos
Cada hallazgo necesita evidencia proporcional. Una captura puede ilustrar, pero el informe debe explicar el evento, el activo, la condición, el resultado y la forma de verificarlo.
Si se demuestra un acceso indebido con un registro ficticio, no hace falta extraer la base completa. La prueba mínima reduce exposición y mantiene el punto probatorio. El dictamen debe indicar qué datos se usaron y cómo se protegieron durante la evaluación.
También hay que separar confirmado, no reproducido, falso positivo y limitado por el entorno. Un resultado dudoso no se esconde: se describe qué impidió confirmarlo y qué revisión adicional sería necesaria. Esa honestidad evita que el lector pague por certeza inventada.
Impacto para la organización
La calificación de riesgo no debe salir únicamente del puntaje automático. El informe relaciona el hallazgo con información, operaciones, personas y obligaciones reales. Una vulnerabilidad media en un servidor sin datos puede ser menos importante que una ruta pequeña hacia información crítica.
El análisis debe considerar controles compensatorios y explicaciones alternativas. Una ruta inaccesible desde Internet puede seguir expuesta internamente, pero el impacto no es el mismo. Un certificado vencido puede interrumpir un servicio sin abrir ninguna extracción. Confundir disponibilidad con confidencialidad produce una mala decisión.
Para dirección, se explica continuidad y costo de inacción. Para el equipo técnico, causa y corrección. Para el abogado, autorización, privacidad y trazabilidad. El dictamen no reemplaza la valoración jurídica: le da hechos para trabajar.
Remediación y reevaluación
Una recomendación útil identifica responsable, prioridad y forma de comprobar la corrección. “Actualizar todo” no es un plan. La remediación debe conectar con la causa y con el activo.
La reevaluación repite la prueba bajo condiciones equivalentes y documenta si el problema dejó de reproducirse. Si no hubo retest, el informe lo declara. La empresa no debe afirmar que corrigió solo porque cambió una pantalla o instaló un parche.
Una corrección también puede abrir otro problema. Por eso se revisan efectos laterales, no solo el hallazgo original. La seguridad se demuestra con evidencia nueva, no con una frase de cierre optimista.
Lo que el dictamen no certifica
No certifica cumplimiento total de la LFPDPPP, inmunidad ante otra vulneración ni seguridad permanente. Describe una evaluación limitada por alcance, fecha, datos y método.
Tampoco es una certificación gubernamental ni una garantía de que la autoridad aceptará cualquier conclusión. La utilidad está en la trazabilidad: otra persona puede revisar cómo se llegó al hallazgo y qué límites tiene.
La firma del perito no sustituye la evidencia. Solo indica quién responde por el método y por las conclusiones. Si el informe no permite revisar la evidencia, el nombre y el logotipo no lo rescatan.
Una estructura que sí permite decidir
Antes de aceptar el documento, revisa si puedes responder: qué se autorizó, qué se probó, cómo se validó, qué evidencia existe, qué impacto tiene, qué no se sabe y qué se comprobó después de corregir.
Si esas respuestas no están, no tienes un dictamen de riesgo: tienes una presentación de hallazgos. El contenido necesario no es inflar el informe, sino hacer que cada conclusión pueda ser defendida sin depender de la confianza ciega.
Para la entidad regulada, el documento ayuda a explicar decisiones y correcciones con hechos. Para el asegurador, permite entender qué se encontró y qué cambió. Para el director, distingue urgencia real de ruido. Para el abogado, separa lo demostrado de lo pendiente.