¿Cuánto cuesta una auditoría de seguridad informática?

¿Cuánto cuesta una auditoría de seguridad informática? No hay un precio único, y desconfía de quien te dé uno sin preguntarte nada. El costo depende sobre todo del alcance (cuántas apps, pantallas, roles de usuario y servicios), de la profundidad (escaneo automático, revisión manual, revisión de código, pruebas de intrusión) y de lo que se entrega (informe, explicación, re-revisión). Una app pequeña hecha con IA no necesita la misma auditoría que el sistema de un banco.

No damos cifras porque no encontramos una fuente pública confiable de precios de auditoría en México: cada proveedor cotiza según alcance. Lo útil es saber qué hace subir o bajar el precio y cómo comparar cotizaciones.

De qué depende el precio

Factor	Baja el costo	Sube el costo
Tamaño	Una app, pocas pantallas	Varias apps, APIs, apps móviles
Roles de usuario	Usuario y admin	Muchos roles, empresas, permisos finos
Tipo de revisión	Configuración y escaneo	Revisión manual + código + pentest
Acceso que das	Código, cuentas de prueba, panel	“Caja negra” sin información
Datos que manejas	Información pública	Pagos, salud, finanzas, menores
Entorno	Entorno de pruebas listo	Solo producción, con cuidado extra
Requisitos formales	Revisión interna	Cumplimiento de una norma, cliente corporativo
Re-revisión	No incluida	Incluida

Curiosamente, dar más acceso (código, cuentas) suele abaratar: el auditor no pierde tiempo adivinando y encuentra más en menos horas.

Tipos de auditoría (de menor a mayor esfuerzo)

1. Revisión de configuración: HTTPS, encabezados, llaves expuestas, permisos de la base de datos (RLS en Supabase), almacenamiento público, respaldos. Ideal como primer paso para apps hechas con IA.
2. Revisión de accesos y lógica: probar con varias cuentas que nadie vea ni haga lo que no le toca.
3. Auditoría de código fuente: leer el código por dentro. Ve auditoría de código fuente.
4. Prueba de intrusión (pentest): atacar la app de forma controlada y autorizada. Ve pentesting en México.
5. Auditoría de cumplimiento: contra una norma o un cuestionario de un cliente corporativo.

Para muchas apps pequeñas, 1 + 2 cubre lo más grave. Lo explicamos en auditoría de seguridad web.

Qué pedir en la cotización

1. Alcance por escrito: dominios, apps, APIs, qué queda fuera.
2. Método: qué se hace automático y qué manual.
3. Entregables: informe con gravedad y cómo corregir, y una sesión para explicártelo.
4. Re-revisión: ¿incluye confirmar que tus correcciones funcionan?
5. Tiempo estimado y fechas.
6. Confidencialidad: cómo tratarán tu código y datos.
7. Autorización: un documento donde tú autorizas las pruebas.
8. Quién lo hace: experiencia de la persona que de verdad revisa, no solo de la empresa.

Cómo comparar dos cotizaciones

Si una es mucho más barata, pregunta:

• ¿Es solo un escaneo automático con un reporte de herramienta? Eso tiene valor, pero no es lo mismo.
• ¿Incluye pruebas con varias cuentas?
• ¿Revisan la base de datos y las llaves?
• ¿Te explican cómo corregir, o solo te listan problemas?

Si una es mucho más cara, pregunta qué incluye que la otra no. A veces es pentest completo o cumplimiento de normas que tú no necesitas.

Cómo ahorrar sin quedarte corto

• Haz tú la primera pasada con nuestra checklist de seguridad para apps hechas con IA y corrige lo obvio antes.
• Prepara el acceso: repositorio, cuentas de prueba, lista de roles y de lo que te preocupa.
• Prioriza: empieza por pagos, login y datos personales.
• Pide un alcance pequeño y enfocado primero; amplía si hace falta.

Lo que cuesta no hacerla

No hay que inventar cifras para entenderlo: si tu base de datos queda abierta, alguien puede descargar los datos de tus clientes, borrar información o generarte cargos con tus llaves. En mayo de 2025, la vulnerabilidad CVE-2025-48757 mostró que 170 de 1,645 apps de la vitrina de Lovable tenían tablas legibles o escribibles con la llave pública. Además de perder confianza, en México tienes obligaciones legales de protección de datos personales.

Preguntas que te hará un buen auditor

Si en la primera plática no te preguntan esto, es mala señal:

• ¿Qué hace tu app y quién la usa?
• ¿Qué datos personales o de pago guardas?
• ¿Con qué está hecha (Lovable, Supabase, Vercel, etc.) y dónde está publicada?
• ¿Cuántos tipos de usuario hay y qué puede hacer cada uno?
• ¿Tienes un entorno de pruebas?
• ¿Hay alguna fecha límite (lanzamiento, cliente, contrato)?

En resumen

El costo de una auditoría de seguridad depende del alcance, la profundidad y los entregables; pide siempre el alcance por escrito y compara qué incluye cada cotización. Para una app pequeña hecha con IA, una revisión enfocada en configuración y accesos cubre lo más grave. Si quieres saber qué tipo de revisión necesita tu app, en Black Engine lo revisamos contigo por WhatsApp.