Descubra lo que un atacante vería en su empresa en Pereira, antes de que lo explote.
Pentesting continuo real para empresas de Pereira: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Pereira no es solo la capital de Risaralda ni la ciudad más poblada del Eje Cafetero: es el punto donde el café se vuelve negocio, el comercio regional se vuelve servicio y los estudiantes de más de 20 instituciones de educación superior se vuelven profesionales que administran sistemas. Con el Aeropuerto Internacional Matecaña moviendo 2,8 millones de pasajeros en 2024 —el de mayor conectividad de la región— (Aeropuertos del Mundo), la ciudad concentra clínicas, universidades, comercios y empresas de servicios que operan sobre aplicaciones web, pagos digitales e historias clínicas electrónicas. Un Pentesting continuo en Pereira responde a la pregunta que todo gerente debería hacerse una vez al año, como mínimo: ¿mis sistemas siguen resistiendo, o solo no me he dado cuenta de que ya entraron?
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Pereira, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Pereira: café, comercio y servicios en el corazón del Eje Cafetero
Pereira articula la economía del Eje Cafetero: café y agroindustria, comercio regional, clínicas y servicios de salud, universidades e instituciones educativas, y una base creciente de empresas de servicios y tecnología que operan para clientes nacionales e internacionales. Pymes, IPS, comercios y entidades educativas gestionan inventarios, historias clínicas, pagos, matrículas y proveedores sobre aplicaciones web y redes con varias sedes. Esa digitalización de operaciones cotidianas amplía la superficie de ataque y exige validar de forma continua los sistemas que sostienen el negocio.
El contexto le da peso a esa digitalización. Risaralda forma parte del Paisaje Cultural Cafetero, declarado Patrimonio Mundial por la UNESCO el 25 de junio de 2011 (Wikipedia), y ese reconocimiento impulsa un turismo cafetero que mueve reservas, pagos en línea y plataformas de hospitalidad. En educación, la ciudad alberga más de 20 instituciones de educación superior —entre ellas la Universidad Tecnológica de Pereira y la Universidad Libre, seccional Pereira— con decenas de miles de estudiantes cuyos datos personales, académicos y financieros viven en plataformas de matrícula y aulas virtuales (Claudia Jaramillo & Cía). Y en conectividad, el Matecaña no solo mueve pasajeros: conecta a las empresas de la región con Bogotá, Medellín, la costa Caribe y Panamá, lo que convierte a Pereira en base de operaciones para negocios que trascienden el departamento. Cada uno de esos sectores —salud, educación, comercio, turismo— gestiona datos sensibles sobre sistemas que casi nadie prueba.
Riesgos de ciberseguridad para las empresas en Pereira
De forma cualitativa: ransomware contra clínicas y centros de salud con respaldos insuficientes, phishing dirigido a comercios y entidades educativas, fraude en pagos digitales y plataformas de comercio electrónico, y accesos remotos de personal administrativo a sistemas internos sin controles adecuados. Las organizaciones con menor madurez en seguridad quedan expuestas a interrupciones operativas y pérdida de información sensible de pacientes, estudiantes y clientes. Un pentesting continuo en Pereira permite comprobar de forma recurrente si un atacante podría comprometer sistemas o datos antes de que ocurra un incidente real.
El panorama nacional respalda la preocupación: el informe Cost of a Data Breach 2025 de IBM calculó en 3,81 millones de dólares el costo promedio de una filtración de datos en Latinoamérica —estudio que incluyó organizaciones de Colombia—, con más de 30.000 registros comprometidos por incidente en promedio (sala de prensa de IBM Latinoamérica). Para una IPS pereirana con historias clínicas digitales o un comercio con miles de clientes en su base de datos, un solo incidente de ese calibre puede significar meses de operación en riesgo y una sanción de la Superintendencia de Industria y Comercio. Por eso el pentesting continuo —no un ejercicio único que se olvida al año siguiente—: sus sistemas cambian cada mes, y cada cambio es una puerta que alguien debe probar.
Cómo elegir un proveedor de pentesting continuo en Pereira
Contratar un pentesting es comprar un juicio experto sobre su seguridad, y la calidad varía enormemente entre proveedores. Si va a contratar en Pereira —o en cualquier parte del Eje Cafetero—, esta es la guía de compra que usamos con nuestros propios clientes:
- Quién ejecuta, no solo qué herramienta corre. Pregunte los nombres y la experiencia de quienes harán la prueba. Un escáner automático lo corre cualquiera; interpretar resultados, encadenar vulnerabilidades y medir impacto real requiere un pentester de verdad. Si el proveedor no le dice quién ejecuta, asume lo peor.
- Metodología documentada. El proveedor debe explicarle cómo prueba: reconocimiento, análisis de vulnerabilidades, explotación controlada, post-explotación y reporte. Sin metodología escrita, cada ciclo será una improvisación distinta.
- Informe con evidencia, en español y priorizado por riesgo de negocio. Cada hallazgo debe traer cómo se reprodujo, qué impacto tiene en TU operación y cómo corregirlo. Si el informe parece generado por plantilla —hallazgos genéricos sin capturas ni pasos de reproducción—, lo fue.
- Continuidad real entre ciclos. «Continuo» no significa «un pentesting al año con otro nombre». Significa ciclos planificados —trimestrales, semestrales—, seguimiento de hallazgos entre ciclos y pruebas sobre los cambios que hizo desde el ciclo anterior.
- Acompañamiento en la remediación. Un servicio serio incluye explicar a su equipo técnico cómo corregir cada hallazgo. Si le entregan el informe y desaparecen, pagó por un documento, no por seguridad.
Qué pedir en el alcance antes de firmar
El alcance es el contrato técnico de la prueba. Exija que quede por escrito, con este nivel de detalle:
- Activos exactos: qué URLs, direcciones IP, aplicaciones móviles, APIs y segmentos de red entran, y cuáles quedan explícitamente fuera. «Toda la empresa» no es un alcance: es una excusa para cobrar de más o probar de menos.
- Usuarios y roles de prueba: si se prueban portales de pacientes, estudiantes o clientes, define qué perfiles se usan (administrador, usuario final, invitado) y con qué datos de prueba.
- Reglas de juego: horarios de ejecución, ventanas de bajo tráfico para sistemas críticos como historias clínicas o plataformas de pago, canal de comunicación directo con el equipo técnico durante la prueba y protocolo si algo se comporta de forma inesperada.
- Entregables por ciclo: informe ejecutivo para gerencia, informe técnico con evidencia para su equipo de TI, y re-test de los hallazgos corregidos antes de cerrar el ciclo.
- Confidencialidad: acuerdo de confidencialidad firmado antes de que el proveedor toque su primer sistema. No es opcional: es la base de la confianza.
Y una honestidad que pocos le dicen: si su empresa nunca ha hecho un inventario de activos ni aplica parches con regularidad, un pentesting continuo puede ser prematuro. En ese caso, una revisión de configuración y un escaneo de vulnerabilidades con plan de remediación le dan más valor por menos dinero. Se lo diremos en la llamada de descubrimiento si es su caso.
Señales de alerta: cuándo no firmar
En nuestra experiencia, estas son las banderas rojas que separan un proveedor serio de un vendedor de humo:
- Precio regalado sin haber visto sus sistemas. Nadie puede cotizar una prueba seria sin saber cuántas aplicaciones, IPs y APIs tiene. El precio sin descubrimiento es adivinanza.
- «Le garantizamos 100% de seguridad». Nadie serio promete eso. El pentesting reduce el riesgo y lo mide; no lo elimina.
- Informe sin evidencia. Si la muestra del informe no trae pasos de reproducción ni capturas, cada ciclo le entregará el mismo documento genérico.
- Sin re-test. Sin una segunda pasada después de remediar, no sabe si el problema quedó resuelto o solo escondido. Si no está incluido, no es un servicio completo.
- «Lo hacemos con nuestra herramienta propietaria» y nada más. Las herramientas son el punto de partida, no el servicio. La explotación manual y el criterio del pentester son lo que paga.
La normativa que sí le aplica (y qué exige en la práctica)
Ninguna ley colombiana dice «contrate un pentesting», y quien le venda lo contrario le está vendiendo humo. Lo que sí existe es esto:
- Ley 1581 de 2012 (protección de datos personales): le obliga a adoptar medidas de seguridad —técnicas, humanas y administrativas— para proteger los datos que trata. Un pentesting es la forma de demostrar, con evidencia, que esas medidas funcionan. Aplica con especial fuerza en salud y educación, donde maneja datos sensibles de pacientes y estudiantes. La Superintendencia de Industria y Comercio vigila su cumplimiento.
- Ley 2015 de 2020 (historia clínica electrónica interoperable): si es prestador de salud en Pereira, está obligado a interoperar datos clínicos. Esa interoperabilidad multiplica los puntos de intercambio de datos sensibles: cada integración es una puerta que alguien debe probar.
- Ley 1273 de 2009 (delitos informáticos): tipifica el acceso abusivo, la interceptación, el daño informático y el hurto por medios informáticos. No le obliga a hacer pentesting, pero define el marco penal que protege sus sistemas cuando documenta y denuncias un incidente.
- Decreto 1078 de 2015 (sector TIC): establece requisitos para la protección de la información en los sistemas de las entidades del Gobierno colombiano. Aunque no menciona explícitamente el pentesting, exige mecanismos de prevención, detección y respuesta a incidentes de seguridad —y una prueba de penetración es la evidencia más directa de que esos mecanismos funcionan.
Preguntas frecuentes sobre el pentesting continuo en Pereira
¿Cuánto cuesta un pentesting continuo en Pereira?
Depende del alcance y de la frecuencia de los ciclos: no es lo mismo probar una aplicación web trimestralmente que una red completa con varias sedes. Desconfíe de quien le da precio sin preguntar qué sistemas tiene. En la llamada de descubrimiento definimos el alcance y la cadencia, y le enviamos propuesta con precio cerrado por ciclo. Como referencia honesta: un solo incidente grave cuesta, en promedio regional, USD 3,81 millones según IBM; el servicio continuo cuesta una fracción de eso.
¿Cada cuánto se ejecuta cada ciclo?
Lo habitual es trimestral o semestral, y siempre después de cambios grandes: un portal nuevo, una migración, una integración con otro sistema o un incidente. En salud, con la interoperabilidad de la historia clínica en marcha, cada integración nueva justifica una prueba. Entre ciclos, los hallazgos abiertos se siguen hasta su cierre.
¿Necesitan estar físicamente en Pereira?
La mayoría de las pruebas —aplicaciones web, APIs, red externa, phishing simulado— se hacen de forma remota con la misma eficacia. Las pruebas de red interna o ingeniería social presencial se coordinan con visitas. DragonJAR atiende empresas en todo el Eje Cafetero con ambas modalidades.
¿El re-test está incluido en cada ciclo?
Sí. Cada ciclo incluye la verificación de los hallazgos que su equipo corrigió: sin esa segunda pasada no sabe si el problema quedó resuelto o solo escondido. Es lo que convierte el informe en un ciclo de mejora real en lugar de un documento archivado.
¿El pentesting me sirve para cumplir la Ley 1581 de 2012?
Sí, como evidencia. La ley exige medidas de seguridad efectivas para los datos personales que trata; el informe de un pentesting demuestra ante la Superintendencia de Industria y Comercio —y ante sus clientes y pacientes— que sus medidas se probaron contra ataques reales simulados, no que existen solo en un documento.
¿Y si nuestros sistemas los administra un proveedor externo?
Mejor: el alcance incluye probar lo que ese proveedor le entregó y los accesos que tiene a su red. Muchos incidentes en clínicas y colegios ocurren por credenciales del proveedor que nunca se rotaron o accesos que nunca se cerraron. Eso también se prueba, con autorización.
¿No basta con un análisis de vulnerabilidades automatizado cada mes?
El análisis automatizado encuentra fallos conocidos; el pentesting comprueba si esos fallos son explotables y qué podría hacer un atacante con ellos. Para una clínica con historias clínicas o un comercio con datos de pago, la diferencia entre «hay una vulnerabilidad» y «un atacante puede descargar la base de datos de clientes» es la diferencia entre un reporte y una decisión. Lo ideal es combinar ambos: automatizado para el día a día, pentesting para la validación real.
Solicite su pentesting continuo en Pereira con DragonJAR
Si su empresa opera en Pereira o en el Eje Cafetero —salud, educación, agro, comercio o servicios—, un pentesting continuo adaptado a su operación valida de forma recurrente dónde está expuesto: aplicaciones, APIs, infraestructura y el factor humano. Cada ciclo incluye informe en español con hallazgos priorizados por riesgo de negocio, recomendaciones prácticas de remediación y re-test para confirmar que cada vulnerabilidad quedó corregida.
DragonJAR nació como comunidad de seguridad en 2001 y opera como empresa desde 2012, con pruebas ejecutadas para empresas en toda Colombia y América Latina. Llene el formulario y reciba una llamada de descubrimiento sin costo: revisamos su caso, le decimos con honestidad si el pentesting continuo es lo que necesita —o si le conviene empezar por algo más básico— y le enviamos una propuesta con alcance, cadencia y precio cerrados. Sin compromiso.