Descubra lo que un atacante vería en su empresa en Colombia, antes de que lo explote.
Servicios de Ciberseguridad real para empresas de Colombia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 12 de septiembre de 2023, un ataque de ransomware contra IFX Networks —proveedor de nube del Estado colombiano— dejó fuera de línea los portales de al menos 50 entidades estatales: el Ministerio de Salud, la Superintendencia de Salud, la Superintendencia de Industria y Comercio y el Consejo Superior de la Judicatura, que tuvo que suspender términos procesales para evitar prescripciones. El Ministerio de Salud reconoció que más de 55 millones de datos se vieron afectados, y el gobierno anunció una demanda contra el proveedor por fallas en sus protocolos de seguridad (Pontificia Universidad Javeriana, AFP). La lección para el sector privado es directa: si el Estado, con todo su aparato, puede quedar paralizado por la cadena de suministro de un proveedor, ninguna empresa colombiana puede contratar servicios de ciberseguridad en Colombia guiándose solo por el precio. Esta guía explica cómo comprarlos bien.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza servicios de ciberseguridad real para empresas de Colombia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de ciberseguridad en Colombia
El mercado está lleno de ofertas que suenan igual. Estas son las preguntas que separan a un proveedor serio de uno que solo vende escaneos con logo:
- ¿Quién hace las pruebas, con qué nombre? Un proveedor serio le dice quiénes son sus pentesters: investigadores que publican, que compiten, que tienen trayectoria verificable. DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012; su equipo organiza la DragonJAR Security Conference y publica investigación de forma continua. Si el proveedor no puede mostrarle quién está detrás del teclado, está comprando una caja negra.
- ¿El informe tiene falsos positivos? Un reporte lleno de hallazgos que su equipo no puede reproducir es peor que inútil: quema la credibilidad del programa de seguridad ante la gerencia. Exija validación manual de cada hallazgo.
- ¿Incluye re-test? Sin verificación posterior de las correcciones, nunca sabrá si el parche funcionó. El re-test debería estar incluido, no vendido como extra.
- ¿El informe habla su idioma de negocio? «Vulnerabilidad crítica en el endpoint X» no le dice nada a un gerente. Un buen informe traduce cada hallazgo a impacto: qué datos se exponen, qué operación se detiene, qué regulación se incumple.
- ¿Qué pasa si algo se rompe durante la prueba? Debe existir un protocolo de parada y un canal de comunicación directo con el equipo técnico. Esto se acuerda por escrito antes de empezar.
Qué pedir en el alcance: la lista de verificación del comprador
- Inventario explícito: dominios, IPs, aplicaciones web y móviles, APIs, rangos de red interna y externa. Lo que no está en el alcance, no se prueba.
- Modalidades: caja negra (atacante externo), caja gris (usuario autenticado) e interna (atacante ya dentro de la red). El caso IFX demostró que el riesgo también vive en los proveedores: incluye pruebas a la cadena de suministro cuando aplique.
- Ingeniería social: campañas de phishing simulado. El eslabón humano sigue siendo la puerta de entrada más barata.
- Ventanas y reglas de juego: horarios, sistemas críticos excluidos, procedimiento de escalamiento.
- Entregables con fecha: informe ejecutivo para gerencia, informe técnico para el equipo, y sesión de presentación de hallazgos. Todo en español.
Señales de alerta: cuándo no firmar
- Prometen «Pentesting en 48 horas» para toda su infraestructura: es un escáner automatizado, no una prueba de penetración.
- El precio llega antes que las preguntas sobre su infraestructura: sin entender su superficie de ataque no pueden cotizar seriamente.
- No hablan de re-test o lo cobran aparte: el servicio termina donde más lo necesita.
- El informe es una exportación del escáner en inglés, sin priorización por riesgo de negocio.
- No tienen investigadores ni publicaciones verificables: nadie responde por la calidad técnica.
Colombia: economía digital que exige ciberseguridad madura
Colombia combina finanzas reguladas, energía e hidrocarburos, salud, retail, agroindustria y un sector público en transformación digital. Bancos, aseguradoras, clínicas, operadores de telecomunicaciones y entidades del Estado gestionan datos de millones de ciudadanos sobre aplicaciones web, APIs y redes con decenas de sedes. Esa digitalización transversal convierte a las empresas colombianas en objetivos permanentes: cada nuevo sistema en línea es una superficie de ataque que necesita validación profesional antes de que un atacante la aproveche.
La magnitud está documentada: según FortiGuard Labs de Fortinet, Colombia registró 10,9 billones de intentos de ciberataques durante 2025, con 7 billones de escaneos activos, lo que la ubicó como el tercer país más atacado del mundo (Revista C-Level). Y el cibercrimen ya no opera con campañas aisladas, sino como ecosistemas organizados con automatización e inteligencia artificial.
Riesgos de ciberseguridad para las empresas en Colombia
De forma cualitativa: ransomware contra empresas medianas y entidades públicas con respaldos incompletos, fraude y phishing masivo dirigido a usuarios de banca digital, filtración de datos personales con impacto regulatorio (Ley 1581 de 2012), ataques a proveedores y cadenas de suministro tecnológico, y exposiciones en aplicaciones web públicas con controles de autenticación débiles. La madurez de la seguridad varía mucho entre sectores: mientras la banca y la energía operan con programas formales, muchas pymes y entidades regionales apenas gestionan vulnerabilidades de forma reactiva. Los servicios de ciberseguridad en Colombia deben adaptarse a esa realidad: diagnóstico honesto, hallazgos priorizados por riesgo y remediación acompañada.
Los antecedentes pesan: en 2022 el ransomware golpeó a Keralty (la organización a la que pertenece la EPS Sanitas) y a Empresas Públicas de Medellín (EPM), y en septiembre de 2023 el ataque a IFX Networks paralizó más de 50 entidades del Estado (Javeriana). Tres años distintos, el mismo patrón: organizaciones grandes, con presupuesto, comprometidas por vectores que un programa de pruebas periódicas habría reducido.
Normativa en Colombia: qué le obliga a evaluar su seguridad
- Ley 1273 de 2009: tipifica los delitos contra la protección de la información y los datos. Un incidente no es solo un problema técnico: es un hecho con consecuencias penales para quien lo ejecuta y con deberes de denuncia para la víctima.
- Ley 1581 de 2012: régimen de protección de datos personales. Obliga a los responsables del tratamiento a adoptar medidas de seguridad y reportar incidentes ante la Superintendencia de Industria y Comercio (texto de la ley). Una filtración por una vulnerabilidad no probada es difícil de defender ante la SIC.
- CONPES 3995 de 2020: «Política Nacional de Confianza y Seguridad Digital», expedido el 1 de julio de 2020, que fijó el marco para fortalecer capacidades de seguridad digital en ciudadanos, sector público y sector privado (documento CONPES 3995).
- Regulación sectorial: la Superintendencia Financiera exige a las entidades vigiladas gestión del riesgo operativo y tecnológico; en la práctica, eso se traduce en pruebas periódicas de seguridad como evidencia ante el supervisor. Si su empresa reporta a un regulador sectorial, el pentesting deja de ser opcional mucho antes de que la ley general lo exija.
Qué incluye un programa de ciberseguridad con DragonJAR
Más allá del pentesting puntual, las empresas colombianas suelen necesitar un programa que combine:
- Pentesting de aplicaciones web, móviles y APIs
- Pentesting de infraestructura interna y externa, y de redes inalámbricas
- Revisión de seguridad en código fuente
- Pruebas de ingeniería social (phishing simulado)
- Pentesting de infraestructura en la nube
- Simulaciones de ataque tipo Red Team
- Informes en español con hallazgos priorizados por riesgo de negocio, hallazgos validados manualmente y re-test incluido
- Formación y capacitación en seguridad informática para el equipo
Preguntas frecuentes sobre los servicios de ciberseguridad en Colombia
¿Cuál es la diferencia entre un análisis de vulnerabilidades y un pentesting?
El análisis de vulnerabilidades identifica y clasifica fallos de forma automatizada; el pentesting los explota de forma controlada para medir el impacto real: a qué datos se llega, qué sistemas caen. Uno le dice qué existe; el otro, qué pasaría. Un programa maduro usa ambos.
¿Cómo sé si el alcance que me cotizan es el correcto?
El alcance correcto cubre todo lo que un atacante vería: sus dominios, sus apps públicas, sus APIs y, si el riesgo lo justifica, su red interna. Si la cotización no parte de un levantamiento de su superficie de ataque, el alcance es una suposición.
¿Qué debo exigir del informe final?
Tres cosas: hallazgos validados manualmente con hallazgos validados manualmente, priorización por impacto en su negocio (no solo severidad técnica) y recomendaciones de remediación que su equipo pueda ejecutar. Más una sesión de presentación y un re-test posterior.
¿Cada cuánto debo contratar estos servicios?
Al menos anualmente, y ante cada cambio relevante: lanzamientos, migraciones a la nube, fusiones o incidentes en su sector. Las empresas reguladas suelen necesitar ciclos más cortos por exigencia de su supervisor.
¿Un proveedor extranjero es mejor que uno con operación en la región?
No necesariamente. Lo que importa es que entienda su regulación (Ley 1581, exigencias de la Superfinanciera si aplica), trabaje en su idioma y su zona horaria, y tenga investigadores verificables. DragonJAR opera desde la región, con comunidad activa desde 2001 y empresa desde 2012.
¿Qué pasa si durante la prueba se cae un sistema crítico?
Por eso existen las reglas de juego previas: ventanas de prueba, sistemas excluidos y protocolo de parada inmediata con comunicación directa. Un proveedor profesional lo propone por escrito antes de empezar; si no lo hace, no firmes.
¿El pentesting me sirve ante la Superintendencia de Industria y Comercio?
Sí como evidencia: la Ley 1581 de 2012 exige medidas de seguridad para los datos personales. Un programa de pruebas periódicas con informes y re-tests documentados es la forma más sólida de demostrar diligencia ante la SIC después de un incidente.
¿Cuánto cuesta y cuánto tarda este servicio?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Solicite los servicios de ciberseguridad en Colombia con DragonJAR
Si su empresa opera en Colombia, el primer paso no es comprar un pentesting: es saber qué necesita probar. Complete el formulario y reciba, en un plazo máximo de 24 horas hábiles, una llamada de descubrimiento sin costo donde definimos juntos el alcance: qué sistemas cubrir, qué modalidades aplicar y qué recibiría al final. Sin compromiso y sin tecnicismos de venta.
Atendemos empresas en Bogotá, Medellín, Cali y el resto del país, de forma remota o presencial según el alcance. El informe llega en español, con hallazgos validados manualmente, con hallazgos priorizados por riesgo y re-test incluido para verificar que las correcciones funcionaron.