Prueba de Penetración en Riohacha

Prueba de penetración en Riohacha: guía para comprar pentesting en la capital de La Guajira sin que le vendan humo

Riohacha es la capital de un departamento donde una sola operación minera —El Cerrejón— representa entre el 40% y el 60% del PIB, con un ferrocarril de 150 kilómetros y puerto propio de exportación en el Caribe (Climate Tracker América Latina). El Cerrejón es la operación de minería de carbón a cielo abierto más grande del mundo, con capacidad estimada de 27,5 millones de toneladas anuales (Viaja por Colombia). Alrededor de ese gigante orbitan proveedores, contratistas, comercio fronterizo con Venezuela, turismo wayúu hacia el Cabo de la Vela y una administración pública departamental. Toda esa actividad corre sobre sistemas digitales —y casi ninguno ha sido probado por un atacante ético. Esta guía es para que una empresa riohachera contrate una prueba de penetración sabiendo qué exigir y qué evitar.

Cómo elegir un proveedor (checklist de compra)

Pida esto antes de firmar, por escrito:

• Informe de ejemplo anonimizado: júzguelo por la calidad: hallazgos con evidencia y riesgo, recomendaciones que un técnico pueda ejecutar. Si no le muestran nada, no hay nada que mostrar.
• Explotación manual: pregunte qué parte del trabajo es manual. Un reporte 100% automatizado es un análisis de vulnerabilidades con precio de Pentesting.
• Re-test incluido: sin re-verificación posterior a las correcciones, el informe es una foto, no una solución.
• Equipo y metodología: quién hace la prueba, con qué trayectoria, bajo qué metodología. Nombres y método, no eslóganes.
• Reglas por escrito: alcance exacto, sistemas excluidos, ventanas horarias, canal de comunicación. En un entorno con operación minera y portuaria, esto no es formalismo: es seguridad operativa.

Qué pedir en el alcance según su perfil guajiro

• Proveedor o contratista minero: prueba externa e interna, con atención a accesos remotos y a la segmentación entre red corporativa y sistemas operativos. Las grandes operadoras exigen cada vez más evidencia de seguridad a su cadena de suministro.
• Comercio fronterizo (Riohacha–Maicao): seguridad del correo y los pagos: el fraude por suplantación de proveedores es el ataque más rentable en el comercio transfronterizo.
• Turismo (Cabo de la Vela, operadores, hoteles): reservas en línea, pagos con tarjeta, Wi-Fi de huéspedes separada de la red administrativa.
• Entidad pública: portales de trámites y bases de datos de ciudadanos; el sector público regional es objetivo permanente.

Señales de alerta: cuándo salir corriendo

• «Normativa guajira que exige pentesting»: no existe ningún decreto departamental ni municipal que obligue a contratar pruebas de penetración. Quien la invoque está fabricando urgencia.
• Cotización sin conocer su infraestructura: alcance serio requiere entender primero qué se va a probar. Precio instantáneo = plantilla.
• «Le garantizamos que no lo hackean más»: nadie serio promete eso.
• Solo escáner, sin explotación: si no hay prueba manual de impacto, no es pentesting.
• Sin informe ejecutivo: si la gerencia no puede decidir con el informe, el informe no sirve.

Panorama de amenazas para Riohacha

El riesgo guajiro tiene tres caras: la cadena minera (proveedores con accesos a sistemas de la operación, ransomware que busca detener procesos críticos), el comercio fronterizo (fraude por correo contra pagos a proveedores, suplantación en negociaciones) y el turismo (datos de tarjetas de visitantes, sitios de reserva vulnerables). A eso se suma una particularidad regional: muchas empresas dependen de conectividad limitada y de un solo proveedor de servicios de TI local —si ese proveedor cae o es comprometido, caen todos sus clientes. Probar al proveedor es tan importante como probarse a sí mismo.

Normativa colombiana que sí aplica

• Ley 1581 de 2012: medidas técnicas de seguridad para quien trate datos personales; la SIC multa hasta con 2.000 salarios mínimos mensuales. Texto oficial.
• Ley 1273 de 2009: delitos informáticos en Colombia. Texto oficial.
• PCI DSS 11.3: pentesting anual para quien procese datos de tarjetas.
• Exigencias de la cadena minera: las operadoras grandes trasladan requisitos de seguridad a sus contratistas; un informe de pentesting reciente es ventaja competitiva para contratar.

Preguntas frecuentes antes de contratar en Riohacha

¿Somos muy pequeños para un pentesting?

Si factura electrónicamente, coordina pagos por correo o maneja datos de clientes, tiene superficie atacable. Hay alcances acotados para pymes.

¿La prueba afecta la operación?

No: ventanas, exclusiones y protocolos de parada se pactan por escrito antes de empezar.

¿Cada cuánto?

Una vez al año como base y tras cambios relevantes. Los proveedores de la cadena minera suelen necesitarlo anual por exigencia contractual.

¿Qué recibimos?

Informe ejecutivo para la gerencia e informe técnico con evidencia y remediación por hallazgo, más re-test.

¿DragonJAR trabaja en Riohacha y La Guajira?

Sí. DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— atiende organizaciones en Riohacha y La Guajira de forma remota y presencial, con informes en español y re-test incluido.

Hablemos del alcance para su empresa en Riohacha

Si opera en Riohacha —proveeduría minera, comercio, turismo o sector público—, agende una llamada de descubrimiento sin costo: revisamos su operación, le recomendamos el alcance que de verdad necesita y recibe una cotización clara, sin compromiso. En una región donde una sola industria mueve medio PIB departamental, probar sus defensas no es un lujo: es continuidad del negocio.