Pen test en clínica privada · qué cubre · qué cuesta · cuándo (2026)

Cada cierto tiempo aparece un vendor diciendo a un dueño de clínica que necesita un pen test de €8.000. A veces es verdad · a veces es FUD. Esta es la guía honesta de qué es un penetration test · qué cubre realmente en una clínica · qué vendors operan en España · qué cuesta · y cuándo NO merece la pena gastarse el dinero todavía.

Qué es un pen test (y qué NO es)

Un penetration test es una auditoría ofensiva controlada: un equipo externo intenta romper tus sistemas con técnicas reales de atacante · documenta vulnerabilidades · propone remediaciones. Lo que NO es:

• No es escaneo automático: escáneres tipo Nessus / OWASP ZAP detectan vulns conocidas. Pen test añade explotación creativa humana · encadenamiento · business logic.
• No es audit ISO 27001: ISO 27001 mira procesos y políticas. Pen test mira si tu código y tu config aguantan ataque real.
• No es bug bounty: bug bounty es continuo y pagado por hallazgo. Pen test es delimitado en tiempo y scope · entregable formal.
• No reemplaza SOC 2 Type II: SOC 2 audita controles operativos a lo largo del tiempo · pen test es snapshot técnico.

Scope típico en clínica privada

Una clínica moderna con stack digital tiene 4 superficies típicas. Pen test bien hecho cubre las relevantes a tu setup:

1 · Web app + portal paciente

• Login + recovery flow · enumeración usuarios · SQL injection · IDOR (acceder a historial otro paciente)
• XSS en formularios libres · CSRF en cambios estado cita
• Subida ficheros (RX · TAC) · path traversal · upload ejecutables
• Session management · cookies seguras · tokens largos

2 · Integración WhatsApp + chatbot

• Webhook Meta verificación firma · replay attacks
• Prompt injection en bot · exfiltración datos paciente vía manipulación contexto
• Privilege escalation entre tenants (multi-clínica share worker)
• Rate limiting outbound (envío masivo no autorizado)

3 · Auth + IAM

• Bcrypt/Argon2 hash strength · password policy enforcement
• 2FA bypass (TOTP secret leak · SMS interception)
• Role separation (recepción vs doctor vs admin)
• Session timeout · concurrent session policy

4 · Storage + database

• Cifrado at-rest (KMS Cloudflare · pgsodium Supabase)
• Cifrado in-transit (TLS 1.3 forzado · sin downgrade)
• RLS (Row Level Security) bypass · cross-tenant data leak
• Backup access · ¿quién puede restaurar a dónde?

Vendors España · 6 que operan en healthcare

Lista honesta sin afiliación · pricing aproximado 2026 para scope clínica privada SaaS:

• S2 Grupo (Valencia): referencia nacional ciberseguridad · CCN-CERT partner · scope completo €8k-25k · time-to-start 4-8 semanas (calendario lleno).
• Sec-Source (Madrid): boutique web/mobile pen test · OWASP Top 10 focus · €4-9k scope web típico.
• IsecAuditors (Barcelona): larga trayectoria · ISO 27001 + pen test combinado · €6-15k. Fuerte en banca y healthcare.
• Internet Security Auditors (Madrid): idem combo audit · pricing similar · time-to-start corto.
• Hispasec (Málaga): reputación research · reactive incident · pen test €5-12k.
• Tarlogic (Madrid + remoto): bueno en pen test red team + web · €7-18k.

Hay freelancers buenos que cobran €3-6k por scope acotado web + API. Si encuentras uno con CRT/OSCP/eWPT y referencias verificables · puede ser opción coste-efectiva para clínica pequeña. No es la opción para auditoría enterprise client.

Costes reales · qué incluye cada banda

Banda €3.5k - 6k · pen test scope web acotado

• 3-5 días-persona testing · web app principal solo
• Reporte ejecutivo + técnico · sin retest post-fix
• Ideal: clínica con web custom + portal paciente simple

Banda €6k - 12k · pen test scope ampliado

• 7-12 días-persona · web + API + auth + integraciones (WhatsApp + Stripe + Cal.com)
• Reporte ejecutivo + técnico · 1 retest incluido
• Ideal: clínica con stack SaaS + multi-tenant + datos sensibles healthcare

Banda €12k - 25k · pen test full + red team

• 15-30 días-persona · scope completo + social engineering + física (si aplica)
• Reporte enterprise · 2 retests · sesión live con desarrollo
• Ideal: cadena DSO con >20 clínicas · regulación AEPD específica · cliente enterprise demandando proof

Cuándo necesitas pen test (señales claras)

Cuatro escenarios donde el dinero es bien gastado:

• Pre-Enterprise client: hospital privado o DSO te exige pen test reciente (<12 meses) como parte de due diligence vendor. Sin él · no firmas.
• Post-incident real: tuviste brecha (o casi) · necesitas saber qué más está roto · y dar tranquilidad a pacientes y reguladores.
• Audit AEPD inminente: AEPD ha abierto expediente · pen test reciente con remediación demuestra diligencia (no reduce sanción · pero atenúa).
• Pre-SOC 2 Type II o ISO 27001: ambos estándares no exigen pen test pero auditores externos lo esperan en su evidencia.

Cuándo NO necesitas (todavía)

Tres escenarios donde gastar €5-10k en pen test es prematuro:

• Single clínica pre-revenue: 1 doctor · 50 pacientes/mes · solo PMS comercial (Doctoralia · Dentally · Patient) sin código custom. El pen test cubriría el SaaS vendor · que ya lo audita él.
• Stack solo SaaS sin desarrollo propio: usas WhatsApp Business app + Google Workspace + Stripe Checkout · sin web app custom. No tienes superficie útil que pentestear.
• Sin opt-in firmado para data sharing con vendor SaaS:primero cierra DPAs y revisa subprocesadores. Después hablamos de pen test.

En esos casos lo coste-efectivo es: scan automatizado OWASP ZAP gratis + checklist AEPD interna + revisión DPAs. Cuando tengas >500 pacientes activos o web custom · entonces pen test.

Qué resultados esperar realistas

Pen test "limpio" (cero findings) no existe en clínica con stack moderno. Patrones típicos en healthcare España:

• 3-15 findings totales: distribución típica 1-2 críticas · 2-4 altas · 4-7 medias · 3-6 bajas/info.
• Findings críticas frecuentes: IDOR en API paciente · auth bypass via JWT débil · SQL injection en búsqueda · upload ejecutables.
• Findings medias frecuentes: cookies sin Secure/HttpOnly · TLS 1.2 todavía habilitado · CSP permisivo · CSRF en endpoints state-changing.
• Findings bajas/info: headers seguridad ausentes (HSTS · X-Frame-Options) · versions software expuestas · informativo nada explotable.

Tiempo a remediar: críticas en 7 días · altas en 30 días · medias en 90 días · bajas opcional. Pen test bueno te propone fix por finding · no solo lista cruda.

Cómo elegir vendor · 6 preguntas

Antes de firmar contrato pen test pregunta:

• ¿Qué certs tienen pentesters asignados? (OSCP · OSWE · CRT · eWPT son señales reales · CISSP solo no basta para hands-on)
• ¿Trabajan con metodología pública? (OWASP WSTG · PTES · NIST 800-115)
• ¿Incluyen retest post-fix? (debería ser sí · idealmente hasta 2 retests)
• ¿Reporte separa executive summary vs technical writeup? (ambos son necesarios)
• ¿NDA y seguro responsabilidad civil profesional? (sí obligatorio · >=€500k cobertura)
• ¿Trabajaron antes con clínicas / healthcare? (no es obligatorio · pero ayuda en comprensión negocio)

Cómo AI Empire encaja

AI Empire publicará pen test reciente cuando alcancemos >5 clínicas pagando activamente. Hasta entonces el roadmap es: scan automatizado mensual + DPAs cerrados + checklist AEPD interno + page /security pública con disclosures honestos. Sin pretender certificación que aún no tenemos.

Disclaimer: pricing y vendors son referencias aproximadas 2026 según conversaciones públicas y rate cards visibles. Negocia siempre. Esta guía es informativa · no sustituye asesoramiento de CISO / DPO / abogado especializado en healthcare data protection. AI Empire no tiene relación comercial con ninguno de los vendors citados.