Una auditoría examina una situación con un objetivo definido
Auditoría puede significar revisar configuración, organización o exposición. Debe aclararse qué se examina y sobre qué base. Conocer los activos visibles desde Internet es distinto de revisar código o comprobar procedimientos. El nombre del servicio no define por sí solo el trabajo.
La prueba de penetración comprueba la explotación
La prueba examina sistemas acordados, con accesos y reglas definidos. Puede aportar pruebas concretas de una vulnerabilidad y sus consecuencias. No cubre automáticamente toda la organización ni garantiza la seguridad de forma general. Los resultados deben interpretarse dentro de su alcance.
Elegir o combinar según la decisión
Empiece por lo que necesita decidir: conocer la exposición, probar una aplicación o mejorar prácticas. Un inventario incompleto puede justificar una auditoría de exposición previa. Un problema de software puede requerir revisar el código. Pregunte qué demostrará cada trabajo y qué quedará fuera.