Descubra lo que un atacante vería en su empresa en Costa Rica, antes de que lo explote.
El pentesting o test de penetración real para empresas de Costa Rica: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En 2022 Costa Rica sufrió una ola de ataques de ransomware que afectó a instituciones públicas, impidió la labor de 45.335 funcionarios y dejó 49 trámites virtuales sin operar, hasta el punto de que el país declaró emergencia nacional (TeleSemana). Aquel episodio dejó una lección que todavía rige la conversación de seguridad en el país: la amenaza es real, persistente y no distingue entre gobierno y empresa privada. El Pentesting o test de penetración en Costa Rica es la respuesta práctica a esa lección: comprobar de forma controlada qué tan explotables son sus sistemas antes de que un atacante lo haga por usted.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza el pentesting o test de penetración real para empresas de Costa Rica, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
El contexto económico y digital de Costa Rica
San José y el Gran Área Metropolitana concentran el corazón de la economía costarricense, y ese corazón tiene una particularidad: buena parte de lo que produce se procesa, exporta o sirve a clientes internacionales, lo que eleva el estándar de seguridad que se le exige.
Bajo el Régimen de Zonas Francas operan plantas de manufactura avanzada de dispositivos médicos —los instrumentos y aparatos de medicina lideraron las exportaciones nacionales en 2024 con un 31,9% del valor total, según el INEC— junto a más de 420 empresas de servicios que generan alrededor de 120.000 empleos directos, con foco en centros de servicios compartidos, ingeniería, ciencias de la vida y tecnologías de la información. Costa Rica exportó US$9.280 millones en servicios modernos en 2024, el tercer monto más alto de América Latina según CEPAL (vía Ecosistema Startup).
A esto se suma un sector financiero activo con plataformas digitales en expansión y una industria turística que digitaliza rápidamente reservas, pagos y datos de viajeros. En nuestra experiencia, esa combinación —manufactura regulada que vende al mundo, servicios corporativos que concentran datos de múltiples clientes y banca en plena expansión digital— es exactamente el perfil que un atacante estudia antes de elegir su objetivo.
Riesgos de ciberseguridad por sector
Cada sector de la economía costarricense trae su propio mapa de exposición:
- Manufactura de dispositivos médicos: plantas con sistemas OT conectados y cadenas de suministro integradas con proveedores internacionales. El ransomware contra operaciones que no admiten paradas es la amenaza que más duele aquí: cada hora de planta detenida tiene un costo directo y medible.
- Servicios corporativos y BPO: centros de servicios compartidos que concentran datos y operaciones de múltiples clientes globales. Una intrusión en uno de estos centros no compromete a una empresa: compromete a todas las que atiende. El phishing y el fraude BEC contra equipos administrativos y financieros son los vectores de entrada típicos.
- Banca y servicios financieros: plataformas digitales en expansión con fraude en canales electrónicos: suplantación de usuarios, alteración de operaciones y robo de credenciales en un sector donde cada transacción mueve dinero real.
- Turismo y comercio digital: reservas y pagos en línea que acumulan datos de viajeros —identidades, tarjetas, itinerarios—; bases de datos atractivas para el robo y la extorsión.
- Sector público: la campaña del grupo Conti en 2022 contra instituciones del Estado —que llevó al país a declarar emergencia nacional— confirmó que la infraestructura pública es un objetivo probado, no hipotético (WeLiveSecurity).
El riesgo transversal es la exposición de aplicaciones internas a internet: portales de proveedores, consolas administrativas y APIs de servicios corporativos que alguien publicó «temporalmente» y nadie volvió a revisar.
Lo que exige la regulación costarricense
Costa Rica tiene un marco legal con dientes en materia de datos y delitos informáticos. Esto es lo que le aplica a su empresa:
Ley 8968 — Protección de la Persona frente al tratamiento de sus datos personales (del 7 de julio de 2011, publicada en La Gaceta N° 170 del 5 de setiembre de 2011). Es de orden público y se aplica a las bases de datos automatizadas o manuales de organismos públicos o privados. Su artículo 10 obliga al responsable de la base de datos a adoptar las medidas de índole técnica y de organización necesarias para garantizar la seguridad de los datos y evitar su alteración, destrucción, pérdida o acceso no autorizado. La ley creó la Agencia de Protección de Datos Personales para supervisar y sancionar (texto de la ley, PDF oficial en la OEA). En términos prácticos: si maneja datos personales de clientes o empleados —y en servicios, banca y turismo siempre los maneja—, la ley le exige demostrar medidas de seguridad efectivas. Un pentest es la forma más directa de demostrarlo.
Ley 9048 — Delitos Informáticos y Conexos (aprobada el 7 de junio de 2012, publicada en La Gaceta N° 214 del 6 de noviembre de 2012). Reformó el Código Penal para tipificar delitos como el sabotaje informático, la suplantación de identidad (prisión de uno a tres años), el espionaje informático y la instalación o propagación de programas maliciosos, con penas que llegan hasta los seis años de prisión (texto comentado de la ley). Para su empresa esto tiene dos lecturas: el marco penal que respalda la denuncia si es víctima, y la misma clave que en cualquier país —una prueba contratada con autorización escrita del dueño del sistema es una actividad legítima, no un delito.
Estrategia Nacional de Ciberseguridad 2023-2027. Tras los ataques de 2022, el gobierno presentó una estrategia nacional que establece el marco de acción para prevenir y mitigar riesgos en el entorno digital, con cinco pilares: gobernanza y cooperación, marco legal y regulatorio, protección de infraestructura y ciberresiliencia, educación y concientización. La presentó el propio presidente de la República junto al MICITT como la «armadura» del país frente a las organizaciones cibercriminales (TeleSemana). El mensaje para el sector privado es claro: la ciberseguridad dejó de ser un asunto interno de TI para convertirse en política de Estado.
Precio, proceso y cobertura de un pentesting en Costa Rica
Un pentesting típico de DragonJAR parte de USD 2.000; el precio final depende del alcance —número de sistemas, aplicaciones y sedes— y queda fijado por escrito en la propuesta, antes de empezar. El rango de proyectos típicos (USD 2.000 a USD 20.000) y lo que incluye y lo que no incluye cada prueba están detallados en costo de un pentesting.
El proceso, de principio a fin, es el mismo para cualquier empresa costarricense:
- 1. Primer contacto. Nos cuenta su infraestructura, su sector y qué quiere probar: perímetro, aplicaciones, red interna o todo el conjunto.
- 2. Alcance por escrito. Recibe una propuesta con las superficies a probar, las reglas de la prueba y el cronograma. Nada se prueba fuera de ese alcance.
- 3. Prueba controlada. Simulamos ataques con las técnicas que usaría un adversario real, sin interrumpir su operación.
- 4. Informe en español. Informe ejecutivo y técnico con cada hallazgo validado, su evidencia y su prioridad por riesgo de negocio.
- 5. Corrección con su equipo. Su equipo corrige con el informe en mano; resolvemos las dudas técnicas que surjan en el camino.
- 6. Retest de las correcciones. Volvemos a probar cada hallazgo corregido para confirmar que quedó cerrado, no solo prometido.
Cobertura en las 7 provincias. Trabajamos en San José, Alajuela, Cartago, Heredia, Guanacaste, Puntarenas y Limón. La mayor parte de la prueba se hace de forma remota; cuando el alcance incluye la red interna, el acceso físico o sistemas de operación, el equipo se desplaza al sitio.
Para el sector financiero. Las entidades supervisadas por SUGEF, SUGEVAL, SUPEN y SUGESE operan bajo el Acuerdo SUGEF 14-17 (Reglamento General de Gestión de la Tecnología de Información, 2017), que les exige un marco formal de gestión de TI. Un pentesting documentado —con alcance por escrito, informe y retest— es la evidencia práctica de que las medidas de seguridad exigidas por ese marco y por el artículo 10 de la Ley 8968 funcionan de verdad, no solo en el papel.
Beneficios medibles de un pentest bien hecho
Un pentest no es un certificado decorativo: es una medición. Esto es lo que obtiene cuando está bien ejecutado:
- Evidencia de cumplimiento con la Ley 8968. El informe con hallazgos, remediación y re-tests es la prueba documentada de que adoptó medidas técnicas de seguridad sobre sus bases de datos. Ante la Agencia de Protección de Datos, eso vale más que cualquier declaración de buenas intenciones.
- Continuidad de operación protegida. En manufactura y servicios que no admiten paradas, saber por dónde entraría el ransomware antes de que llegue es la inversión con el retorno más directo: una planta detenida días cuesta más que cualquier prueba.
- Confianza frente a clientes internacionales. Si opera en zona franca o presta servicios a multinacionales, sus clientes ya le auditan en seguridad. Llegar a esa auditoría con un pentest reciente y re-tests cerrados cambia la conversación.
- Priorización real del presupuesto. El informe traduce cada hallazgo a riesgo de negocio: qué pierde la empresa si se explota. Eso le dice en qué gastar primero, en lugar de repartir el presupuesto a ciegas.
- Ciclo cerrado, no foto estática. Con re-tests incluidos, cada vulnerabilidad se verifica cerrada después de la corrección. El ejercicio termina con evidencia, no con un PDF archivado.
DragonJAR ejecuta estas pruebas con reglas de compromiso firmadas, informes con hallazgos validados manualmente y re-tests ilimitados: una comunidad fundada en 2001 y empresa desde 2012, que organiza el DragonJAR Security Conference cada año.
Preguntas frecuentes sobre el pentesting o test de penetración en Costa Rica
¿La Ley 8968 me obliga a hacer pentests?
La ley no dice literalmente «haga un pentest», pero su artículo 10 exige adoptar las medidas técnicas y de organización necesarias para garantizar la seguridad de los datos personales y evitar accesos no autorizados. Un pentest es la forma más directa de demostrar que esas medidas existen y funcionan. Si maneja datos de clientes o empleados, es la evidencia que la Agencia de Protección de Datos esperaría ver.
¿Mi empresa en zona franca necesita algo especial?
Sus clientes internacionales casi seguro ya le exigen estándares de seguridad en sus contratos o auditorías. Un pentest reciente con re-tests cerrados es la respuesta más sólida a esos requisitos, y además protege la cadena de suministro: una intrusión en su planta o su centro de servicios afecta a todos sus clientes, no solo a usted.
¿El equipo necesita viajar a Costa Rica?
La mayor parte del ejercicio se hace de forma remota: superficie externa, aplicaciones web y gran parte de la red interna. Solo fases como ingeniería social presencial o evaluaciones de planta requieren presencia física. La propuesta debe separar qué es remoto y qué es presencial, con sus costos.
¿Cada cuánto debería repetirse la prueba?
Como mínimo una vez al año, y siempre que algo importante cambie: una aplicación nueva, una migración, una expansión de infraestructura o la apertura de un servicio a internet. En sectores regulados como manufactura de dispositivos médicos, los cambios de proceso suelen obligar a revalidar.
¿Qué recibo al final?
Un informe con cada hallazgo crítico respaldado por evidencia de explotación, el riesgo traducido a impacto para el negocio y pasos de remediación accionables. Después de aplicar las correcciones, se ejecutan re-tests para verificar que cada vulnerabilidad quedó cerrada. Sin re-tests, el informe es solo una lista de problemas.
¿Cuánto tarda un pentest típico?
Depende del alcance: una superficie externa acotada puede evaluarse en una semana; una aplicación crítica, en una a dos semanas; el programa completo de una empresa con red interna, aplicaciones y re-tests suele tomar de tres a seis semanas. Desconfíe de quien prometa auditar «toda la empresa» en dos días.
¿Cuánto cuesta y cuánto tarda un pentesting o test de penetración en Costa Rica?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Conclusión acerca del pentesting o test de penetración en Costa Rica
El pentesting o test de penetración en Costa Rica es, en el fondo, una decisión de negocio informada: el país ya demostró en 2022 lo que cuesta no medir el riesgo, la Ley 8968 le exige poder demostrar medidas de seguridad efectivas y sus clientes internacionales ya se las están pidiendo. Medir su exposición con una prueba autorizada, con evidencia de explotación y re-tests que cierren el ciclo, es la diferencia entre operar con confianza y operar con suerte.
Solicite su prueba de penetración en Costa Rica con DragonJAR
Si su empresa opera en San José, en una zona franca o en los sectores de servicios, manufactura, banca o turismo, verificar su postura de seguridad con pruebas independientes protege la operación y la confianza de sus clientes —y le deja con la evidencia que la Ley 8968 le exige poder mostrar.
Al llenar el formulario recibe, sin compromiso: el contacto de un consultor que entiende el contexto costarricense, una propuesta técnica con el alcance recomendado para su sector (superficie externa, aplicaciones críticas, red interna, revisión de exposición de servicios), metodología, tiempos y re-tests incluidos, y una conversación honesta sobre qué necesita probar y qué no. Conozca los servicios de seguridad informática de DragonJAR y agende hoy su evaluación en Costa Rica.