Pentesting continuo en Bolivia

Bolivia: banca, telecomunicaciones e industria en transformación digital

La economía boliviana se digitalizó por capas, y cada capa sumó superficie de ataque. La banca y los servicios financieros —supervisados por la ASFI— operan banca en línea, pagos móviles y corresponsales digitales que mueven el dinero de millones de bolivianos. Las telecomunicaciones, reguladas por la ATT, sostienen aplicaciones de autogestión, recargas y servicios que se actualizan con frecuencia. La industria —hidrocarburos con YPFB, minería y el litio del Salar de Uyuni— conecta plantas y sistemas de control con redes corporativas. Y el sector público digitaliza trámites y datos de ciudadanos a través del gobierno electrónico.

Ese perfil —organizaciones que despliegan cambios constantes sin validación de seguridad continua— es precisamente donde el pentesting continuo aporta valor: pruebas periódicas y sistemáticas que acompañan el ritmo de cambio del negocio, en lugar de una foto única en el tiempo que caduca con el primer despliegue.

Riesgos de ciberseguridad para las empresas en Bolivia

La amenaza se reparte por sectores, y cada uno tiene su punto débil favorito:

• Banca y servicios financieros: fraude en banca en línea y pagos móviles, phishing dirigido a usuarios y al personal de las entidades, y aplicaciones que se actualizan sin pruebas de seguridad recurrentes. Donde hay dinero moviéndose por el celular, hay alguien intentando interceptarlo.
• Telecomunicaciones: plataformas de autogestión y datos de millones de suscriptores. Un compromiso aquí no afecta a una empresa: afecta a su base completa de clientes.
• Industria, minería e hidrocarburos: convergencia IT/OT —redes de oficina conectadas a sistemas de control de plantas—. Un phishing al área administrativa puede terminar en la red de operación, y en industria una interrupción se mide en producción detenida.
• Pymes comerciales y de servicios: ransomware contra negocios sin respaldos formales ni planes de recuperación. Para una pyme, que le cifren los sistemas es cerrarle la puerta por días.
• Entidades públicas: portales de trámites y bases de datos de ciudadanos, objetivos frecuentes de filtraciones y defacements.

El denominador común: las organizaciones que cambian rápido concentran su riesgo en los despliegues nuevos que nunca fueron probados. Esa ventana ciega es exactamente lo que el modelo continuo está diseñado para cerrar.

Qué cubre un programa de pentesting continuo en Bolivia

Un programa continuo bien armado no es una suscripción a informes: tiene componentes concretos que puede exigir en la propuesta:

• Ventanas de prueba periódicas sobre sus activos críticos, con un calendario acordado —mensual o trimestral según su ritmo de despliegues— rotando entre aplicaciones, infraestructura y redes.
• Revalidación de cambios: cada despliegue relevante —una versión nueva de la app bancaria, una integración con un proveedor, una migración— pasa por una prueba enfocada antes o justo después de salir a producción.
• Detección de regresiones: verificación de que vulnerabilidades ya corregidas no reaparecieron con parches o actualizaciones. Pasa más de lo que cualquiera admite.
• Monitoreo de superficie expuesta: inventario vivo de lo que tiene publicado en internet, porque los equipos despliegan cosas que seguridad no siempre ve.
• Informes ejecutivos y técnicos en español, con hallazgos priorizados por riesgo y seguimiento de remediación entre ventana y ventana.

Lo que debería pedir antes de firmar: que la propuesta defina la frecuencia, qué activos entran en cada ventana, cómo se manejan los hallazgos críticos fuera de horario y qué incluye el re-test. Si el proveedor no puede responder eso por escrito, no está vendiendo pentesting continuo: está vendiendo un pentest anual en cuotas.

Y la honestidad de practitioner: no todas las empresas necesitan pentesting continuo. Si su infraestructura cambia dos veces al año y su equipo es pequeño, un pentest puntual anual bien hecho le cubre y el modelo continuo sería un gasto innecesario. El continuo se justifica cuando despliega software con frecuencia, cuando maneja datos sensibles de miles de clientes, cuando un incidente detendría su operación por días, o cuando sus clientes o su regulador le exigen evidencia de seguridad vigente —no de hace once meses.

Normativa aplicable en Bolivia

Hasta donde está documentado, no existe en Bolivia una norma que obligue específicamente a realizar pentesting —ese es el punto de partida honesto—. Pero hay regulación que le acerca a necesitarlo, según su sector:

• Entidades financieras (ASFI): la Autoridad de Supervisión del Sistema Financiero exige a bancos y entidades financieras gestionar el riesgo operacional y la seguridad de la información (ASFI). Una prueba periódica es la evidencia más sólida de que esas medidas funcionan cuando el supervisor pregunta.
• Telecomunicaciones (ATT): la Ley N° 164 de 2011, Ley General de Telecomunicaciones, Tecnologías de Información y Comunicación, impone a los operadores deberes sobre la seguridad y confidencialidad de las comunicaciones, bajo vigilancia de la ATT (ATT).
• Comercios que manejan tarjetas: si procesa pagos con tarjeta, las marcas exigen el cumplimiento de PCI DSS, y el pentesting periódico es parte de ese estándar.
• Sector público: las entidades que digitalizan trámites manejan datos de ciudadanos bajo los lineamientos del gobierno electrónico (AGETIC).

Además, si trabaja con multinacionales, adquirentes o socios internacionales, sus contratos y auditorías le van a pedir evidencia de pruebas de seguridad. Un informe de hace un año no responde la pregunta de si está seguro hoy; un programa continuo sí.

Escenarios que vemos en empresas bolivianas

Sin nombres, porque la confidencialidad no se negocia, pero con la crudeza que merecen:

• La app que cambió sin pruebas: una entidad financiera lanzó una versión nueva de su aplicación móvil con un flujo de pagos rediseñado. El pentest anual había sido cuatro meses antes. El flujo nuevo quedó con un control de acceso que permitía operar sobre cuentas ajenas. Se detectó en la primera ventana del programa continuo, no en la auditoría anual.
• El ransomware de la pyme: una empresa comercial sin respaldos formales recibió ransomware un viernes en la noche. Sin copias aisladas ni plan de recuperación, la negociación con el atacante fue su única opción. Un programa de pruebas periódicas no evita el phishing inicial, pero sí detecta a tiempo las exposiciones que permiten que el ataque se propague.
• La planta conectada: una operación industrial tenía su red de control alcanzable desde la red de oficinas por una regla de firewall que nadie recordaba haber creado. El hallazgo no requería un exploit sofisticado: requería que alguien mirara.

El patrón es siempre el mismo: el problema no estaba en lo que se probó, sino en lo que cambió después de la prueba.

¿Su empresa sí necesita pentesting continuo? Autodiagnóstico

• ¿Despliega cambios en sus sistemas o aplicaciones al menos una vez al mes?
• ¿Maneja datos personales o financieros de miles de clientes o usuarios?
• ¿Un incidente detendría su operación o su producción por más de 48 horas?
• ¿Sus clientes, su regulador o sus socios le piden evidencia de seguridad con fecha reciente?
• ¿Su última prueba de seguridad tiene más de 6 meses y desde entonces desplegó algo nuevo?

Si respondió sí a dos o más, un pentest anual le está dejando ventanas ciegas. Si respondió no a casi todas, un pentesting puntual bien ejecutado es probablemente lo correcto —y se lo diremos en la llamada de descubrimiento en lugar de venderle el plan más caro.