Descubra lo que un atacante vería en su empresa en Chile, antes de que lo explote.
Pentesting continuo real para empresas de Chile: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Chile, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Pentesting continuo en Chile: por qué una prueba al año ya no alcanza (y qué exige la ley ahora)
En mayo de 2024, Banco Santander Chile sufrió un ciberataque que terminó en una demanda colectiva del Sernac en 2026 en representación de 4,9 millones de consumidores (BitLife Media). En septiembre de 2024, a las 2:20 de la madrugada, Huachipato apagó su Alto Horno 2 en Talcahuano ante un incidente de ciberseguridad. Dos sectores distintos, una misma lección: las organizaciones chilenas ya no se preguntan si serán probadas por atacantes, sino cuándo. Y una prueba de penetración anual —una foto de un día— no describe una película que cambia todas las semanas. El Pentesting continuo es la respuesta operativa a esa realidad, y la nueva regulación chilena lo vuelve cada vez más necesario. Esta guía explica por qué las empresas en Chile son objetivo, qué errores vemos en la región y cómo debería funcionar un programa continuo serio.
Por qué las empresas en Chile son objetivo permanente
- Banca y servicios financieros bajo presión: el caso Santander mostró que ni los bancos más grandes están exentos; la CMF endurece exigencias (la Norma de Carácter General 538 exige doble factor desde agosto de 2026 para operaciones sensibles).
- Minería y energía con convergencia IT/OT: el apagón preventivo de Huachipato evidenció que la operación industrial hoy depende de sistemas digitales. Un incidente que antes era «de TI» hoy apaga un alto horno.
- Proveedores del Estado: la digitalización de trámites multiplica la superficie expuesta de contratistas y proveedores tecnológicos del sector público.
- Retail y comercio electrónico: temporadas de alto tráfico (Cyber Day y similares) concentran transacciones y atraen fraude automatizado a escala.
El punto del pentesting continuo: su superficie de ataque cambia cada semana —despliegues, parches, nuevas integraciones, personal nuevo—. Una prueba anual valida un instante; el atacante trabaja todo el año.
Errores típicos que vemos en empresas chilenas
- El informe anual como amuleto: «hicimos pentest en marzo» se convierte en excusa para no mirar nada hasta el marzo siguiente, mientras el código cambia a diario.
- Alcance congelado: la prueba cubre las aplicaciones de hace dos años; las tres APIs nuevas que conectan con clientes y proveedores nunca entraron al alcance.
- Hallazgos sin dueño: el informe llega, nadie lo prioriza con criterio de negocio y los hallazgos críticos siguen abiertos doce meses después —cuando el re-test los vuelve a encontrar.
- Confundir monitoreo con prueba: tener un SOC o un WAF no es lo mismo que probar activamente si un atacante puede encadenar vulnerabilidades. La defensa pasiva y la prueba activa son complementarias.
- Subestimar la cadena de suministro: el ataque entra por el proveedor con acceso VPN y contraseña de 2019.
Cómo debería funcionar un pentesting continuo serio
Desconfíe de quien le venda «pentesting continuo» que en realidad es un escáner automatizado corriendo cada semana. Un programa continuo de verdad incluye:
- Pruebas manuales recurrentes: ciclos de prueba con explotación manual sobre los activos críticos, no solo escaneos automatizados.
- Alcance vivo: inventario actualizado de activos y superficies nuevas incorporadas al programa a medida que aparecen.
- Priorización continua: cada hallazgo clasificado por riesgo real y re-validado; lo crítico se reporta de inmediato, no en el informe trimestral.
- Re-test integrado: cada corrección se verifica en el siguiente ciclo, no un año después.
- Métricas para la gerencia: tiempo medio de remediación, hallazgos recurrentes, superficie cubierta. Lo que no se mide no mejora.
Qué exige la regulación chilena (con honestidad)
Ninguna norma chilena dice literalmente «contrate pentesting continuo». Lo que sí existe es un marco que lo vuelve la forma razonable de cumplir:
- Ley 21.663 (Marco de Ciberseguridad): vigente desde 2025, crea la Agencia Nacional de Ciberseguridad (ANCI), establece el deber de reportar incidentes (3 horas para incidentes de efectos significativos, 72 horas para el resto) y contempla multas de hasta 40.000 UTM para operadores de servicios esenciales. Elemento Web: obligaciones de la Ley 21.663; texto en LeyChile (BCN).
- Ley 21.719 (datos personales): entra en vigencia el 1 de diciembre de 2026, con multas de hasta 20.000 UTM y exigencia de medidas de seguridad proporcionales al riesgo.
- Normativa CMF: exigencias de autenticación reforzada y gestión de riesgo operacional para el sector financiero.
Con reportes obligatorios en horas y multas de esa magnitud, descubrir una vulnerabilidad por un incidente reportado a la ANCI es el escenario más caro posible. Encontrarla primero con pruebas continuas es el más barato.
Cómo trabaja DragonJAR en programas continuos
DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— opera programas de pentesting continuo para organizaciones en Chile con ciclos de prueba manual recurrente, alcance vivo, reporte inmediato de hallazgos críticos e informes ejecutivos periódicos para la gerencia. Todo en español, con re-test integrado en cada ciclo y reglas de juego por escrito desde el día uno. Y con honestidad: si su organización todavía no tiene lo básico (inventario de activos, parches, doble factor), se lo decimos primero —un programa continuo sobre una base rota es maquillaje.
Preguntas frecuentes sobre pentesting continuo en Chile
¿No basta con un pentest anual más un escáner semanal?
El escáner encuentra lo conocido; el atacante explota lo encadenable. Sin explotación manual recurrente, usted tiene visibilidad parcial con confianza total: la combinación más peligrosa.
¿El programa continuo interfiere con producción?
Se opera con ventanas, exclusiones y protocolos de parada pactados por escrito, igual que una prueba puntual —pero de forma sostenida.
¿Qué cambia frente a contratar pentests puntuales cada año?
La continuidad del conocimiento: el equipo que prueba conoce su infraestructura en profundidad, el alcance evoluciona con su negocio y los hallazgos se cierran en semanas, no en años.
¿Sirve para cumplir la Ley 21.663?
Es una de las formas más sólidas de evidenciar diligencia: demuestra prueba activa y recurrente de sus controles, no solo políticas en papel.
¿Atienden fuera de Santiago?
Sí: Concepción, Valparaíso, Antofagasta, regiones mineras y todo el país, en modalidad remota con ciclos presenciales cuando el alcance lo requiere.
¿Cuánto cuesta y cuánto tarda un pentesting continuo en Chile?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Hablemos de un programa continuo para su empresa en Chile
Si su organización opera en Chile —banca, minería, energía, retail, salud o proveedores del Estado—, agende una llamada de descubrimiento sin costo: revisamos su superficie actual, le proponemos la cadencia que de verdad necesita y recibe una cotización clara, sin compromiso. El atacante no espera al próximo pentest anual; su programa de pruebas tampoco debería.