Programador, consultor o empresa: ¿quién protege tu SaaS?

Decidiste que tu plataforma necesita más seguridad. Buena noticia. Ahora viene el problema: ¿a quién contratas? El mercado ofrece al menos cuatro caminos distintos (programador interno especializado, freelancer, consultor independiente o empresa especializada), y cada uno tiene sentido en una situación diferente.

Este texto es una guía honesta para que tú, que diriges una empresa pero no eres del área de TI, decidas qué ruta tiene sentido en tu momento actual. Sin jerga y sin un “depende” vago.

Los 4 caminos posibles

Camino 1: Contratar a un programador de seguridad interno (en nómina)

Cuándo tiene sentido

Tienes más de 30 desarrolladores, operas una plataforma crítica (financiera, de salud, con datos sensibles en volumen) y tu negocio depende de cambios continuos en el código. Empresas como Nubank, Mercado Libre o Rappi.

Qué hace esta persona en el día a día

• Revisa el código antes del deploy
• Capacita a los devs en buenas prácticas de seguridad
• Configura herramientas de detección continua
• Investiga incidentes pequeños antes de que se vuelvan grandes
• Toma decisiones de arquitectura junto con los líderes técnicos

Por qué tener cuidado con esta ruta si tu empresa es más pequeña

Un buen profesional de seguridad cuesta caro: en Brasil, en 2026, los salarios quedan entre R$ 15.000 y R$ 30.000 mensuales (contratación formal bajo la CLT, el régimen laboral brasileño, con cargas sociales incluidas). Para una empresa de 5–15 devs, eso significa que el costo de ese profesional equivale al de 2 o 3 desarrolladores adicionales. Y, siendo directos: una sola persona interna no puede cubrirlo todo. Incluso dentro de las big tech, la seguridad es trabajo de equipo, no de un héroe solitario.

Señal de alerta

Si estás pensando en contratar a “un dev de seguridad” solo para aprobar alguna auditoría, piénsalo de nuevo. Estás pagando un salario de equipo para resolver un problema de proyecto. Una empresa especializada lo hace por una fracción del costo.

Camino 2: Contratar a un freelancer o consultor puntual

Cuándo tiene sentido

Tarea específica, plazo corto, alcance bien definido. Ejemplos:

• “Configúrame el WAF de Cloudflare”
• “Implementa 2FA en nuestra área de admin”
• “Revisa la configuración de AWS antes del lanzamiento”
• “Audita esta parte específica del código”

Costos típicos

En Brasil, los freelancers de seguridad cobran entre R$ 100 y R$ 500 por hora, según su nivel de experiencia. Un consultor especializado en un nicho (pentest, AppSec, seguridad en la nube) puede cobrar más que eso.

Riesgos de esta ruta

• Cobertura inconsistente. El freelancer hace la tarea que le pediste. Si pediste mal, el problema sigue ahí: el freelancer no es responsable de descubrir problemas que no listaste.
• Sin responsabilidad continua. ¿Algo se rompe 60 días después? No es su responsabilidad. ¿Ya no tiene tiempo para ti? Te quedas solo.
• Es difícil evaluar la calidad. Los buenos freelancers tienen portafolio (CVE publicados, hallazgos en bug bounty, charlas). Quien no tiene un portafolio público probablemente no tiene una calidad comparable a la de quien sí lo tiene.

Cómo contratar bien por esta ruta

Pide siempre:

• Portafolio público (hallazgos en programas de bug bounty, CVE, charlas)
• Referencias de 2–3 clientes anteriores
• Propuesta con un alcance clarísimo (qué entra y qué queda fuera)
• NDA antes de la llamada técnica
• Entregable final por escrito

Camino 3: Consultor independiente con contrato recurrente

Cuándo tiene sentido

Tu empresa no tiene un dev de seguridad interno, pero necesita a alguien involucrado de forma continua: opinando en decisiones de arquitectura, revisando código periódicamente, siendo “el de seguridad” sin estar en nómina.

Cómo funciona

Por lo general es un contrato de 10 a 30 horas mensuales con un consultor senior. En el mercado brasileño, cuesta entre R$ 8.000 y R$ 20.000 al mes, según su nivel de experiencia y la cantidad de horas.

Ventajas frente a un empleado en nómina

• Cuesta la mitad o menos
• Sin cargas laborales
• Acceso a alguien con mucha más experiencia de la que podrías contratar en nómina por ese valor
• Flexibilidad: escala hacia arriba o hacia abajo según la necesidad

Desventajas frente a un empleado en nómina

• La persona no está “dentro” del día a día de la empresa
• Puede estar repartiendo su tiempo entre otros clientes
• No reemplaza un SOC ni un equipo de respuesta a incidentes

Cuándo NO contratar a un consultor recurrente

Si lo que necesitas es una auditoría puntual con informe formal (por ejemplo, para pasar SOC 2, responder a la exigencia de un cliente enterprise o, si operas en Brasil, cumplir con la LGPD, la ley brasileña de protección de datos), un consultor recurrente no es la herramienta adecuada. Para eso, recurre a una empresa especializada (camino 4).

Camino 4: Empresa especializada en seguridad ofensiva

Cuándo tiene sentido

• Necesitas una auditoría de seguridad o un pentest formal
• Un cliente enterprise pidió evidencia de pruebas de seguridad
• Te estás preparando para SOC 2, ISO 27001, PCI DSS o LGPD
• Quieres validar la seguridad antes de un lanzamiento crítico
• Sufriste un incidente y quieres saber qué más es vulnerable
• Necesitas monitoreo continuo de la superficie de ataque

Qué la diferencia de las otras opciones

Una empresa especializada tiene metodología: proceso documentado, herramientas propias y un equipo con especializaciones complementarias. Contratas un proyecto y recibes:

• Informe formal, con formato listo para auditoría
• Prueba reproducible (PoC) de cada falla encontrada
• Severidad calibrada (no solo un puntaje técnico)
• Retest después de que corrijas
• Sesión en vivo con el equipo para explicar los hallazgos

Costos típicos

Valores de referencia en el mercado brasileño:

• Pentest puntual de una aplicación pequeña: R$ 3.000 a R$ 6.000
• Pentest de un SaaS en producción: R$ 6.000 a R$ 12.000
• Pentest enterprise full-stack (sector regulado): R$ 18.000 a R$ 60.000+
• Recurrente mensual (monitoreo + pentests enfocados): variable — bolsa de horas mensual o trimestral, según el alcance

Cómo elegir una empresa especializada (red flags)

Estas son señales de que estás a punto de contratar un mal trabajo:

• “Pentest 100% automatizado”: no existe. La automatización cubre el 30–40% del trabajo; el resto es manual.
• Informe con capturas de escáner (Nessus, Acunetix) sin PoC manual: es un escáner con nombre bonito.
• Retest cobrado aparte: ¿te vuelven a cobrar para validar que corregiste? Práctica anticuada; huye.
• Sin NDA antes de la primera llamada técnica: señal de desorganización o de mala fe.
• No te dicen “quién específicamente va a trabajar en tu proyecto”: los buenos profesionales tienen nombre y portafolio. Si una empresa lo oculta, desconfía.
• El eslogan “hackers éticos”: terminología anticuada (de 2010). El lenguaje moderno es “investigador de seguridad”.

Decisión simplificada

Conclusión

Para la mayoría de las empresas (de 5 a 100 empleados, con una plataforma en línea en producción), la combinación que más sentido tiene es:

Empresa especializada para un pentest puntual anual + servicio recurrente mensual ligero para monitoreo continuo de la superficie de ataque (filtraciones públicas, nuevos endpoints, CVE en dependencias). En el mercado brasileño, la inversión total suele quedar entre R$ 18.000 y R$ 60.000 al año. Para una empresa que factura desde R$ 1 millón al año, es una parte pequeña de la facturación, y protege lo que vale decenas de millones en reputación.

Si quieres entender qué escenario se aplica a tu empresa, solo tienes que hablar con No Vuln. La primera llamada para definir el alcance es sin compromiso, con NDA antes de cualquier conversación técnica.