Descubra lo que un atacante vería en su empresa en Cundinamarca, antes de que lo explote.
Ciberseguridad real para empresas de Cundinamarca: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza ciberseguridad real para empresas de Cundinamarca, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Ciberseguridad en Cundinamarca: por qué el departamento que alimenta al mundo es objetivo de los atacantes
Cundinamarca concentra el 71% de las hectáreas de flores cultivadas en Colombia, genera 115.500 empleos directos en floricultura y despachó 60.000 toneladas de flores por vía aérea en 2025 (Bogotá.gov.co: Cundinamarca, corazón de la floricultura). Colombia es el segundo exportador mundial de flores, solo detrás de Países Bajos. Detrás de cada tallo exportado hay software: trazabilidad fitosanitaria exigida por el ICA, facturación electrónica, pagos internacionales, logística refrigerada coordinada por sistemas. Y cada uno de esos sistemas es una superficie que un atacante puede explotar. Esta guía explica por qué las empresas cundinamarquesas —floricultoras, agroindustria, industria de la Sabana— son objetivo, qué errores vemos una y otra vez en la región y cómo elegir una prueba de penetración que sirva de verdad.
Por qué las empresas de Cundinamarca son objetivo
El atacante no elige víctimas por simpatía: las elige por dinero y por facilidad. Cundinamarca ofrece ambas cosas:
- Flujos de exportación reales: la floricultura mueve más de 2.400 millones de dólares anuales en exportaciones (La Gran Noticia, con datos del MinCIT y Asocolflores). Donde hay pagos internacionales hay fraude por correo (BEC): suplantar a un comprador en Miami para desviar un pago es el ataque más rentable y más común contra exportadores.
- Cadenas de suministro encadenadas: cultivador, comercializadora, transportador refrigerado, agente de carga en El Dorado. Comprometer al eslabón más débil —muchas veces un proveedor pequeño— abre la puerta a los demás.
- Industria de la Sabana con OT olvidada: plantas de producción, cuartos fríos, sistemas de riego automatizado. La tecnología operativa que nadie parchea porque «no se puede parar la planta».
- Pymes proveedoras sin equipo de seguridad: el tejido empresarial de los 116 municipios del departamento incluye miles de pymes que sostienen a las grandes empresas y que operan con un computador compartido y la misma contraseña en todo.
Errores típicos que vemos en empresas de la región
- El correo es la caja fuerte y nadie lo cuida: sin doble factor en el correo corporativo, un phishing bien hecho entrega al atacante las negociaciones, los pagos y los contactos comerciales completos.
- El «sistema» es un Excel compartido por WhatsApp: trazabilidad, nómina y pagos circulando en archivos sin control de acceso. Se filtra un teléfono y se filtra el negocio.
- Proveedores con acceso total y sin contrato de seguridad: el técnico del software de riego o del sistema contable entra por TeamViewer con una contraseña que no ha cambiado en tres años.
- Respaldos que nadie ha restaurado: el backup existe en teoría. Cuando el ransomware cifra los servidores un viernes en la noche, descubren que la última copia íntegra es de hace cuatro meses.
- Sitios web hechos para vender, no para resistir: catálogos en línea, formularios de cotización y tiendas con plugins desactualizados desde 2021.
Tipos de prueba recomendados según su empresa
- Floricultora o agroexportadora: prueba externa a los sistemas de cara al cliente y al comercio exterior, más ingeniería social dirigida al personal administrativo y comercial (el BEC entra por correo, no por firewall).
- Industria de la Sabana (Madrid, Facatativá, Funza, Tocancipá): prueba interna de red y segmentación, con atención a los sistemas de planta y a la separación entre la red corporativa y la de producción.
- Comercializadora o pyme de servicios: prueba externa a la presencia digital más revisión de la seguridad del correo y las cuentas en la nube.
- Empresa que procesa tarjetas: Pentesting anual o tras cambios significativos, como exige el requisito 11.3 de PCI DSS.
Cómo trabaja DragonJAR en Cundinamarca
DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— atiende organizaciones en Cundinamarca de forma remota y presencial, con cobertura en toda la Sabana de Bogotá. Nuestro criterio es el mismo que aplicamos en cualquier industria: alcance por escrito antes de tocar nada, explotación manual de los hallazgos (no solo salida de escáner), informe en español con evidencia y remediación accionable, y re-test incluido para verificar que las correcciones cerraron las brechas. Si su empresa ya tiene lo básico resuelto —parches al día, doble factor, respaldos probados—, se lo decimos: un pentesting puede esperar y le indicamos qué priorizar primero. Eso también es parte del trabajo honesto.
Normativa colombiana que sí aplica
En Colombia no hay una ley departamental de Cundinamarca que obligue a contratar pentesting —quien le venda una «normativa del departamento» está inventando urgencia. El marco real es nacional:
- Ley 1581 de 2012: obliga a toda organización que trate datos personales a implementar medidas técnicas de seguridad; la SIC puede multar hasta con 2.000 salarios mínimos mensuales. Texto oficial, Secretaría del Senado.
- Ley 1273 de 2009: tipifica los delitos informáticos (acceso abusivo, hurto por medios informáticos, interceptación de datos). Texto oficial, Secretaría del Senado.
- PCI DSS 11.3: pruebas de penetración anuales para quien procese datos de tarjetas.
- Requisitos fitosanitarios del ICA: la trazabilidad que exige la exportación implica sistemas que deben estar disponibles y protegidos; un ransomware en temporada de San Valentín no es un problema de TI, es un problema de negocio.
Preguntas frecuentes antes de contratar en Cundinamarca
¿Un análisis de vulnerabilidades no basta?
Depende de para qué. Si necesita una lista de parches pendientes, un análisis sirve. Si necesita saber qué daño real puede hacer un atacante —desviar un pago de exportación, cifrar los sistemas en temporada alta—, necesita explotación controlada, es decir, pentesting.
¿Cuánto tarda una prueba?
Entre una y tres semanas según el alcance, más el tiempo de informe y re-test. Desconfíe de entregas de 48 horas: indican automatización sin análisis manual.
¿La prueba interfiere con la operación?
Se pactan ventanas y sistemas excluidos por escrito. En agroindustria e industria, las pruebas sobre sistemas de planta se coordinan para no afectar producción.
¿Qué pasa si ya tenemos un área de TI?
Mejor: el pentesting no reemplaza a su equipo, lo pone a prueba. El informe técnico les da a sus ingenieros evidencia concreta para priorizar, y el re-test valida su trabajo de corrección.
¿Atienden fuera de Bogotá?
Sí: Facatativá, Madrid, Mosquera, Funza, Cajicá, Zipaquirá, Fusagasugá y el resto del departamento, en modalidad remota o presencial según el alcance.
¿Cuánto cuesta y cuánto tarda un ciberseguridad en Cundinamarca?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Hablemos del alcance para su empresa en Cundinamarca
Si su empresa opera en Cundinamarca —floricultura, agroindustria, industria de la Sabana, comercio o servicios—, agende una llamada de descubrimiento sin costo: revisamos su operación, le recomendamos el alcance que de verdad necesita y recibe una cotización clara, sin compromiso. Sin plantillas nacionales aplicadas a ciegas: un alcance pensado para cómo opera una empresa cundinamarquesa.