Descubra lo que un atacante vería en su empresa en Argentina, antes de que lo explote.
Pentesting continuo real para empresas de Argentina: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Buenos Aires despliega software a un ritmo que una prueba anual no puede seguir. Entre el ecosistema fintech que gira alrededor de Mercado Libre y Mercado Pago, las startups que lanzan varias veces por semana y la agroindustria que digitaliza su cadena comercial, una empresa argentina típica cambia su superficie de ataque docenas de veces entre un pentest y el siguiente. El informe que recibió en marzo describe una infraestructura que ya no existe en junio. El pentesting continuo en Argentina nace de esa constatación incómoda: si su código cambia todas las semanas, su validación de seguridad no puede ser anual.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Argentina, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de pentesting continuo en Argentina: guía de compra
Si está comparando propuestas, estos son los criterios que separan un servicio serio de una venta de humo con la palabra «continuo» pegada encima:
Qué exigir: un modelo operativo escrito, no un eslogan —qué se prueba en cada ciclo (aplicaciones, APIs, infraestructura, nube), con qué frecuencia y con qué profundidad; integración con su ciclo de despliegue (que los cambios relevantes disparen una validación, no que esperen al «ciclo trimestral»); informe ejecutivo y técnico en español por ciclo, con hallazgos priorizados por riesgo real y evidencia de explotación; re-test incluido en cada ciclo para verificar correcciones; SLA de respuesta ante hallazgos críticos; y acuerdo de confidencialidad firmado desde el día uno.
Señales de alerta: le venden «monitoreo continuo» que en realidad es un escáner automático corriendo en piloto automático sin explotación manual; no proponen ventanas ni reglas de enfrentamiento; el «re-test» se cobra aparte; no le hacen preguntas incómodas sobre su arquitectura antes de cotizar; o prometen «cobertura total permanente» sin definir qué entra y qué no en cada ciclo. Un proveedor serio le va a preguntar cuántos deploys hace al mes antes de darle un precio. Esa incomodidad es buena señal.
Preguntas que debe hacer antes de firmar: ¿qué pasa cuando lanzo una versión nueva un viernes a las 6 pm? ¿Cómo se prioriza qué se prueba en cada ciclo? ¿Quién valida que mi corrección funcionó y en cuánto tiempo? ¿Qué entregables recibe mi directorio y cuáles mi equipo técnico? ¿Cómo manejan los secretos y accesos que les entrego? Si las respuestas son vagas, el «continuo» también lo es.
Y una honestidad necesaria: el pentesting continuo no es lo que toda empresa necesita. Si su infraestructura cambia dos veces al año, una prueba puntual bien hecha al año es más costo-efectiva. El modelo continuo se justifica cuando el cambio es la constante: despliegues frecuentes, APIs que evolucionan, integraciones con terceros que se modifican. Contratar continuo para una infraestructura estática es pagar de más; contratar puntual para una que cambia cada semana es quedarse ciego entre prueba y prueba.
Argentina: contexto empresarial y superficie de ataque
Argentina concentra su actividad económica en Buenos Aires y los grandes centros urbanos, con un perfil que explica por qué el modelo continuo encaja aquí mejor que en casi ningún otro país de la región. Un polo tecnológico y de software reconocido en América Latina, un sector fintech en expansión alrededor del ecosistema de Mercado Libre y Mercado Pago, agroindustria exportadora digitalizando su operatoria y un comercio electrónico en crecimiento sostenido. El denominador común: empresas que despliegan software y servicios digitales con ciclos de cambio cada vez más rápidos.
Esa velocidad amplía continuamente la superficie de ataque. Cada nueva versión, cada integración con un proveedor, cada API que se publica puede introducir vulnerabilidades que una evaluación puntual no alcanza a cubrir. Según datos de la Cámara Argentina de Internet (CABASE), el 90 % de los argentinos utiliza internet y el 80 % accede a servicios digitales que requieren entregar datos personales: la exposición no es un escenario futuro, es el presente de cualquier empresa que opere en línea.
Panorama de amenazas: lo que ya está pasando
Las empresas argentinas enfrentan patrones de riesgo típicos de economías con alta adopción digital. La exposición de APIs y aplicaciones en despliegue continuo sin validación de seguridad en cada cambio es el vector que más crece: el código sale, la prueba no. El fraude electrónico y el phishing contra usuarios de banca digital y fintech siguen siendo el caballo de Troya más efectivo —los troyanos bancarios de la región no distinguen fronteras—. El ransomware dirigido a pymes de servicios y tecnología completa el cuadro, junto con dependencias de terceros que introducen riesgos fuera del control directo.
Hay además una señal institucional que conviene leer: la AAIP inició una investigación de oficio ante una presunta filtración masiva de datos personales. Cuando la autoridad de control actúa de oficio, el mensaje para el sector privado es claro: la inacción también deja rastro. En nuestra experiencia, el error más caro que vemos en empresas argentinas no es la falta de herramientas, sino la brecha entre la velocidad del negocio y la velocidad de la validación de seguridad. El pentesting continuo existe para cerrar exactamente esa brecha.
La normativa que aplica en Argentina
El mapa regulatorio argentino está en movimiento, y un decisor debe conocer tanto lo vigente como hacia dónde va:
- Ley N° 25.326 (2000) — Protección de los Datos Personales. Sancionada hace más de 25 años, sigue siendo el marco vigente: establece principios, derechos de los titulares y sanciones que aplica la AAIP (Agencia de Acceso a la Información Pública), desde apercibimientos y multas hasta suspensión o clausura de bases de datos.
- La reforma, en trámite. El proyecto que la AAIP elaboró en 2023 para actualizar la ley —alineado con estándares internacionales e incluyendo la obligatoriedad de notificar incidentes de seguridad a la AAIP dentro de las 72 horas, la figura del Delegado de Protección de Datos y el principio de responsabilidad proactiva— perdió estado parlamentario en 2025. Hoy conviven en el Congreso nuevos proyectos (expedientes 1751-D-2026 y 3397-D-2026, entre otros) que al 26 de septiembre de 2026 no registraban dictamen ni votación. La dirección es inequívoca aunque el calendario no: notificación de brechas en 72 horas, DPO y responsabilidad demostrada.
- Respaldo internacional. Argentina ratificó el Convenio 108+ del Consejo de Europa en 2023 y en enero de 2024 la Comisión Europea revalidó su estatus como país adecuado para el flujo transfronterizo de datos. Para las empresas que exportan servicios —el caso típico del software argentino—, ese estatus es un activo comercial que se protege con evidencias de seguridad reales.
La lectura práctica: la ley vigente ya exige proteger los datos y la AAIP ya sanciona; la reforma en camino exigirá además notificar brechas en 72 horas y demostrar responsabilidad proactiva. Un programa de pentesting continuo le deja parado del lado correcto de ambas: la vigente y la que viene.
Por qué DragonJAR para su pentesting continuo en Argentina
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012. Su equipo ha auditado empresas de sectores como el financiero, salud, gobierno y telecomunicaciones, y organiza la DragonJAR Security Conference, su congreso anual de ciberseguridad.
En un esquema continuo, lo que recibe por ciclo: pruebas con explotación manual —no solo escáneres automáticos—, informe ejecutivo y técnico en español con hallazgos priorizados por riesgo real, recomendaciones de remediación que su equipo puede ejecutar, y re-test para verificar que las vulnerabilidades quedaron corregidas antes del siguiente ciclo. Todo bajo acuerdo de confidencialidad y con reglas de enfrentamiento claras desde el día uno. DragonJAR atiende empresas en Argentina de forma remota, con cobertura en todo el país.
Preguntas frecuentes sobre el pentesting continuo en Argentina
¿Cuál es la diferencia real entre el pentesting continuo y una prueba anual?
La prueba anual es una fotografía: describe su seguridad en un momento dado. El pentesting continuo es una cámara encendida: valida su seguridad al ritmo en que cambia su infraestructura. Si despliega cada semana, la foto de marzo no le dice nada sobre el código de junio. La diferencia no es de marketing, es de cobertura temporal.
¿»Continuo» significa que es todo automatizado?
No —o no debería. Un esquema serio combina automatización (detección rápida, monitoreo de superficie) con explotación manual por especialistas en cada ciclo. Si un proveedor le vende «continuo» y nunca hay un humano explotando nada, está comprando un escáner con suscripción, no un pentest.
¿Cómo se integra con mi equipo de desarrollo?
Se define en el arranque: qué eventos disparan una validación (deploys, cambios en APIs, nuevas integraciones), cómo llegan los hallazgos a su equipo (formato, severidad, tiempos) y quién valida las correcciones. Un buen programa continuo se siente como parte de su pipeline, no como una auditoría que cae del cielo cada tres meses.
¿La Ley 25.326 me obliga a tener pentesting continuo?
No exige el modelo continuo como tal. Exige proteger los datos personales, y la AAIP sanciona cuando no se hace. El proyecto de reforma en trámite apunta además a la notificación de brechas en 72 horas y a la responsabilidad proactiva y demostrada. El pentesting continuo es la forma operativa de cumplir con esa dirección: evidencia permanente de que verifica su seguridad, no una vez al año sino siempre.
¿Cuánto tiempo lleva implementar el pentesting continuo en mi empresa?
Depende del tamaño y la complejidad de sus sistemas, pero el arranque típico incluye una prueba inicial completa (la línea base), la definición del modelo de ciclos y la integración con su proceso de despliegue. A partir de ahí, cada ciclo es incremental: más rápido y más barato que la prueba inicial.
¿Qué recibo en cada ciclo?
Informe ejecutivo para la dirección, informe técnico con evidencia de cada hallazgo y pasos de reproducción, plan de remediación priorizado y re-test de las correcciones del ciclo anterior. La acumulación de ciclos le da además algo que una prueba anual no da: la tendencia de su postura de seguridad en el tiempo.
¿Cuánto cuesta y cuánto tarda un pentesting continuo en Argentina?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Implemente pentesting continuo en Argentina con DragonJAR
Tres preguntas de autodiagnóstico: ¿cuántos cambios productivos hizo desde su última prueba de seguridad? ¿Qué pasaría si mañana se filtra su base de usuarios —podría demostrar ante la AAIP que verificaba su seguridad de forma permanente? ¿Cuánto de lo que está expuesto hoy a internet existía cuando hizo su último pentest?
Si las respuestas le incomodan, complete el formulario y agende una llamada de descubrimiento sin costo. En esa llamada entendemos su ritmo de despliegue, su arquitectura y su sector —fintech, software, agroindustria, retail— y le decimos con honestidad si el modelo continuo es lo que necesita o si una prueba puntual bien hecha le alcanza. Sin compromiso: preferimos un cliente bien diagnosticado a un contrato mal vendido.
Después recibe una propuesta con el modelo de ciclos definido, entregables por ciclo, informe ejecutivo en español y re-test incluido. DragonJAR atiende empresas en Argentina de forma remota, con cobertura en todo el país.
Conclusión
En Argentina, la pregunta ya no es si su infraestructura va a cambiar, sino cuántas veces va a cambiar antes de su próxima prueba anual. Con una ley de datos de 2000 que sigue vigente, una reforma en camino que exigirá notificar brechas en 72 horas, y un ecosistema que despliega a velocidad de startup, la prueba puntual anual es una foto de un objeto en movimiento: siempre llega tarde. El pentesting continuo en Argentina —ciclos definidos, explotación manual, informe en español y re-test— le mantiene validado al ritmo de su negocio, con la evidencia que la AAIP y sus clientes van a pedirle.