Medellín despliega software cada semana: los atacantes lo saben
Medellín concentra 692 startups activas y es la ciudad con mayor densidad de emprendimientos tecnológicos de Latinoamérica: 10,9 por cada 100.000 habitantes, según el Global Startup Ecosystem Index 2026 de StartupBlink, por encima de Bogotá, Santiago, São Paulo y Buenos Aires (Caracol Radio). Súmale las software factories, las fintech, las clínicas con portales de pacientes y los BPO con operación 24/7. Cada una de esas organizaciones despliega código cada semana. Y cada despliegue es una superficie de ataque nueva que nadie revisó.
El problema de Medellín no es que tenga más atacantes que otras ciudades: es que tiene más cambios. Una prueba de penetración anual te dice cómo estabas en marzo; en junio, después de tres sprints, esa foto ya es historia. El Pentesting continuo en Medellín existe para eso: validar la seguridad al ritmo al que tu equipo realmente trabaja, no al ritmo del calendario de auditoría.
Tabla de Contenido
Medellín: ecosistema de software, salud y servicios con despliegues constantes
Medellín concentra un ecosistema tecnológico en crecimiento —empresas de software, fintech y servicios digitales—, además de un sector salud de referencia, industria textil y de confección, BPO y centros de servicios compartidos, y comercio y logística. Ruta N, el centro de innovación de la ciudad, impulsa programas como Medellín Next para escalar las startups con mayor tracción (Alcaldía de Medellín). Empresas de desarrollo, clínicas y hospitales, comercializadoras y operadores de servicios despliegan hoy aplicaciones, portales de clientes y plataformas internas en ciclos de actualización frecuentes, con equipos distribuidos y accesos remotos permanentes.
Ese ritmo de cambio continuo es precisamente lo que el pentesting puntual no alcanza a cubrir: cada despliegue puede abrir una puerta nueva. El pentesting continuo es especialmente valioso en este entorno: valida de forma permanente que los cambios en aplicaciones e infraestructura no introduzcan vulnerabilidades, algo crítico en sectores donde los datos de clientes y pacientes y la operación de servicios exigen vigilancia sin pausas.
Errores típicos que vemos en empresas de la región
Los patrones se repiten tanto que ya los anticipamos en la primera reunión. El más común: desplegar a producción sin revisión de seguridad porque «el sprint no daba». El segundo: ambientes de pruebas y staging con datos reales de clientes y credenciales débiles, expuestos a internet porque «es solo temporal» —llevan dos años ahí—. El tercero: accesos de contratistas, agencias y exempleados que nadie revoca porque nadie lleva el inventario.
Y hay dos que duelen especialmente en Medellín: el phishing dirigido al personal técnico, que entrega credenciales de repositorios y paneles internos; y concentrar toda la atención en la aplicación principal mientras las APIs, los paneles administrativos y los almacenamientos en la nube quedan sin revisar. En nuestra experiencia, cuando un programa continuo empieza, los primeros hallazgos críticos casi nunca están en la app que el cliente creía más expuesta.
Pentesting continuo vs. puntual: la diferencia honesta
El pentesting puntual es una foto: exhaustiva, profunda, válida el día que se tomó. El pentesting continuo es vigilancia: pruebas recurrentes atadas a tus cambios, con ventanas de validación cada vez que despliegas algo relevante. Ninguno es mejor en abstracto; depende de tu ritmo.
Y aquí va la honestidad de practitioner: no todas las empresas necesitan pentesting continuo. Si tu aplicación cambia dos veces al año y tu infraestructura es estable, una prueba anual profunda más el re-test de remediación te cubre de sobra, y quien te venda un programa continuo para ese caso te está vendiendo humo —te lo decimos nosotros, que lo vendemos—. El continuo tiene sentido cuando despliegas con frecuencia, cuando manejas datos sensibles de clientes o pacientes, cuando integras terceros a tus sistemas, o cuando un incidente te costaría la operación. Si te reconoces en dos o más de esas, sigue leyendo.
Tipos de prueba recomendados según tu ritmo de cambio
Un programa continuo bien diseñado no es «un pentest cada mes» a ciegas. Normalmente combina: validaciones ligeras atadas a tus releases importantes, ventanas de prueba más profundas cada trimestre sobre lo que cambió, y una prueba anual exhaustiva que cubre todo el alcance. El alcance típico para una empresa de Medellín incluye aplicaciones web y móviles, APIs, infraestructura en la nube y red expuesta, y de forma periódica una campaña de ingeniería social, porque el factor humano no se parchea con un deploy.
Lo que debe quedar claro desde el día uno: reglas de juego por escrito, qué se prueba y qué no, cómo se reporta un hallazgo crítico en el momento en que aparece —no al final del mes—, y re-test incluido en cada ciclo. Si el proveedor no puede explicarte cómo se integra con tus sprints sin frenarlos, no entiende el modelo.
Cómo trabaja DragonJAR en un programa continuo
Trabajamos como una extensión de tu equipo, no como auditores que aparecen una vez al año: canal directo con quien ejecuta las pruebas, reportes en español con cada hallazgo evidenciado y priorizado por riesgo real para tu negocio, y re-test ilimitados dentro del programa para verificar que lo corregido quedó corregido. Todo bajo acuerdo de confidencialidad firmado antes de la primera prueba.
DragonJAR es comunidad de seguridad informática desde 2001 y empresa operando desde 2012, y organiza el congreso internacional DragonJAR Security Conference. Esa trayectoria nos enseñó algo que aplicamos en cada programa: un informe que nadie entiende no sirve; un hallazgo sin pasos claros de remediación es solo un susto caro.
La normativa que te aplica en Colombia
Ninguna norma colombiana dice «contrata pentesting continuo» por su nombre. Lo que sí exigen es gestionar el riesgo y proteger la información, y el continuo es la forma de evidenciarlo. La Ley 1581 de 2012, en su artículo 4, establece el principio de seguridad: la información sujeta a tratamiento debe manejarse con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros (Función Pública, Gestor Normativo). La Ley 1273 de 2009 tipificó los delitos informáticos —acceso abusivo a sistemas, daño informático, violación de datos personales, entre otros— (Secretaría del Senado). Y el CONPES 3854 de 2016, la Política Nacional de Seguridad Digital, puso la gestión de riesgos de seguridad digital como responsabilidad compartida de todas las partes interesadas (DNP).
Si manejas datos personales de clientes, pacientes o usuarios —y en Medellín casi todas las empresas de software, salud y servicios lo hacen—, ese marco te aplica. Un programa continuo te deja algo que una prueba anual no te deja: evidencia permanente de que estás gestionando el riesgo, no solo midiéndolo una vez al año.
Preguntas frecuentes sobre el pentesting continuo en Medellín
¿Con qué frecuencia se hacen las pruebas en un programa continuo?
Depende de tu ritmo de despliegue: lo habitual es una validación ligera atada a releases relevantes, una ventana profunda trimestral y una prueba exhaustiva anual. La frecuencia se define contigo en el diseño del programa, no es un número que imponemos.
¿El pentesting continuo reemplaza a nuestro equipo de seguridad interno?
No, lo complementa. Tu equipo conoce tu negocio y tu código; nosotros aportamos la mirada del atacante y la validación independiente. En nuestra experiencia, los mejores programas son los que trabajan codo a codo con el equipo interno, no los que lo sustituyen.
¿Se puede integrar con nuestros sprints sin frenar al equipo?
Sí, y si no se puede, el programa está mal diseñado. Las validaciones se coordinan con tu calendario de releases y los hallazgos llegan con la evidencia y la severidad necesarias para que tu equipo los priorice sin adivinar. Nada de informes de 200 páginas un mes después.
¿Qué pasa si encuentran algo crítico un viernes a las 6 de la tarde?
Te lo reportamos en el momento por el canal acordado, con la evidencia y una primera recomendación de contención. Los hallazgos críticos no esperan al informe mensual: esa es precisamente la diferencia con el modelo puntual.
¿Cuánto cuesta un programa de pentesting continuo?
Depende del alcance (aplicaciones, IPs, APIs), la frecuencia de las ventanas de prueba y si incluye ingeniería social. Se cotiza con precio definido por período una vez hecho el relevamiento. Lo que mueve el precio no es la ciudad: es cuánto cambia tu superficie y qué tan profundo hay que mirar.
¿Necesitamos tener todo documentado antes de empezar?
No. El relevamiento inicial es parte del servicio: en la llamada de descubrimiento mapeamos tus activos, tus despliegues y tus integraciones, y con eso diseñamos el programa. Llegar con un inventario perfecto no es requisito, es el resultado de los primeros meses.
Qué recibes al pedir una propuesta
Al llenar el formulario recibes una llamada de descubrimiento sin costo: hablamos de tu ritmo de despliegues, tus activos y tus preocupaciones, y con eso te proponemos un programa con frecuencia, alcance y precio definidos. Sin compromiso. DragonJAR ejecuta programas de pentesting continuo para empresas en todo Colombia, con cobertura remota y presencial en Medellín y el Valle de Aburrá. Conoce nuestros servicios de seguridad informática y agenda tu llamada.