Descubra lo que un atacante vería en su empresa en Tunja, antes de que lo explote.
Pentesting continuo real para empresas de Tunja: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Tunja, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Pentesting continuo en Tunja: cómo elegir un programa serio en una ciudad universitaria y administrativa
Tunja es la capital de Boyacá y una ciudad donde la economía gira alrededor de dos motores: el Estado y la universidad. La Gobernación, la Alcaldía y los juzgados concentran trámites digitales para todo el departamento; la UPTC —con su sede principal aquí— más la Universidad de Boyacá, Santo Toma, Juan de Castellanos, la UNAD y el SENA mueven decenas de miles de estudiantes entre plataformas de matrícula, pagos en línea y aulas virtuales. Como dijo una caracterización de prensa que vale la pena citar: la base industrial de Tunja es prácticamente inexistente, «ni una sola fábrica de nada». Eso no la hace menos objetivo: la hace un objetivo distinto. Aquí lo que hay que proteger son portales de trámites, plataformas académicas y sistemas comerciales, y eso se prueba de forma continua, no una vez al año.
Comprar bien un programa continuo: qué exigir antes de firmar
Un «pentesting continuo» puede ser un programa serio o un escáner semanal con marketing. Para distinguirlos, exija por escrito:
- Explotación manual recurrente: ciclos de prueba con un humano encadenando vulnerabilidades, no solo escaneos automatizados. Pregunte quién ejecuta y con qué frecuencia toca cada activo crítico.
- Alcance vivo: el programa debe incorporar sus sistemas nuevos —el portal que lanzan en marzo, la plataforma de pagos que migran en junio— a medida que aparecen. Un alcance congelado en enero es un programa muerto en diciembre.
- Reporte inmediato de lo crítico: un hallazgo crítico no espera al informe trimestral. Exija el compromiso de notificación inmediata por escrito.
- Re-test integrado: cada corrección se verifica en el siguiente ciclo. Sin re-test, usted paga por descubrir lo mismo dos veces.
- Métricas para la gerencia: tiempo medio de remediación, hallazgos recurrentes, superficie cubierta. Lo que no se mide no mejora.
Señales de alerta en una propuesta de pentesting continuo
- Solo hablan del escáner: si la propuesta describe frecuencias de escaneo pero no menciona explotación manual, es monitoreo de vulnerabilidades, no pentesting.
- Sin onboarding técnico: un programa serio empieza entendiendo su infraestructura: inventario, activos críticos, integraciones. Quien «empieza mañana» sin preguntas no va a probar lo que importa.
- Informe único anual: la continuidad sin reportes periódicos es solo una promesa. Pida la cadencia de entrega por escrito.
- No incluyen a su equipo: el programa debe dejar capacidad instalada: su gente tiene que entender los hallazgos. Si todo queda en manos del proveedor, usted alquila seguridad, no la construye.
Panorama de amenazas en Tunja: qué se ataca aquí
El sector público digitalizado es el primer frente: cada portal de trámites de la Gobernación y la Alcaldía es un punto de entrada potencial, y un incidente en servicios ciudadanos es noticia departamental. Las universidades son el segundo: plataformas de matrícula y pagos en línea que concentran datos personales de miles de estudiantes, bajo la Ley 1581 de protección de datos, y con calendarios académicos que no admiten caídas en época de inscripciones. El comercio regional —que abastece al norte de Cundinamarca, sectores de Casanare y el sur de Santander— completa el cuadro con facturación electrónica y ventas en línea. El patrón común: sistemas que no pueden parar y que casi nadie prueba.
La regulación colombiana, en claro
- Ley 1273 de 2009: tipifica el acceso abusivo a sistemas (art. 269A) y la suplantación de sitios web para capturar datos (art. 269G), con penas de 48 a 96 meses. Texto en Secretaría del Senado.
- Ley 1581 de 2012: exige medidas técnicas, humanas y administrativas para proteger los datos personales —estudiantes, ciudadanos, clientes, empleados—. Ley 1581 de 2012.
- CONPES 3854 de 2016 y 3995 de 2020: la Política Nacional de Seguridad Digital, con enfoque de gestión de riesgos para el sector público y privado. Documentos CONPES en el DNP.
Cómo trabaja DragonJAR en programas continuos
DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— opera programas de pentesting continuo para organizaciones en Tunja y Boyacá con ciclos de prueba manual recurrente, alcance vivo, reporte inmediato de hallazgos críticos e informes ejecutivos periódicos para la gerencia. Todo en español, con re-test integrado en cada ciclo y reglas de juego por escrito desde el día uno. Y con honestidad: si su organización todavía no tiene lo básico —inventario de activos, parches, doble factor—, se lo decimos primero. Un programa continuo sobre una base rota es maquillaje.
Preguntas frecuentes sobre pentesting continuo en Tunja
¿El programa interfiere con los trámites o las plataformas académicas?
Se opera con ventanas, exclusiones y protocolos de parada pactados por escrito. En época de matrículas o picos de trámites, se ajusta la intensidad: la continuidad no significa imprudencia.
¿Qué diferencia hay con contratar un pentest cada año?
La continuidad del conocimiento: el equipo que prueba conoce su infraestructura en profundidad, el alcance evoluciona con su negocio y los hallazgos se cierran en semanas, no en años.
¿Sirve para cumplir la Ley 1581?
Es la evidencia técnica más directa de diligencia: demuestra prueba activa y recurrente de sus controles de protección de datos personales.
¿Incluye capacitación para nuestro equipo?
Los hallazgos se entregan explicados, y el programa deja capacidad instalada: su gente entiende qué se encontró y por qué importa. Eso es parte del servicio, no un extra.
¿Atienden fuera de Tunja?
Sí: Duitama, Sogamoso, Paipa, Chiquinquirá y todo Boyacá, en modalidad remota con ciclos presenciales cuando el alcance lo requiere.
¿Cuánto cuesta y cuánto tarda un pentesting continuo en Tunja?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Hablemos de un programa continuo para su organización en Tunja
Si su organización opera en Tunja —sector público, educación superior, salud o comercio regional—, agende una llamada de descubrimiento sin costo: revisamos su superficie actual, le proponemos la cadencia que de verdad necesita y recibe una cotización clara, sin compromiso. Probar hoy es más barato que explicar mañana por qué cayó el portal en la semana de matrículas.