Evaluación de vulnerabilidades y pruebas de penetración (reglas de enfrentamiento y niveles de conocimiento)

La evaluación de vulnerabilidades y las pruebas de penetración están relacionadas, pero son diferentes. Una evaluación de vulnerabilidades identifica, cuantifica y prioriza las debilidades, normalmente con escáneres automatizados que comparan los sistemas con bases de datos de vulnerabilidades conocidas identificadas con números Common Vulnerabilities and Exposures (CVE) y puntuadas con el Common Vulnerability Scoring System (CVSS). Es amplia, frecuente y relativamente segura. Una prueba de penetración va más allá: evaluadores capacitados intentan explotar las debilidades, encadenarlas y demostrar un impacto real, como llegar a datos sensibles. Es más profunda, más acotada, más costosa y conlleva más riesgo operativo.