Ciberseguridad en Risaralda

Ciberseguridad en Risaralda: guía para comprar pentesting sin que te vendan humo

Risaralda cultiva unas 45.127 hectáreas de café y sostiene a cerca de 19.000 familias caficultoras, y el Paisaje Cultural Cafetero —que incluye parte del departamento— fue inscrito por la UNESCO en su Lista de Patrimonio Mundial el 25 de junio de 2011. Detrás de esa postal hay una economía que se movió a lo digital: Pereira, capital de los 14 municipios del departamento, concentra cooperativas cafeteras, comercializadoras, clínicas, universidades y un sector de servicios que factura en línea, vende en línea y opera redes corporativas que un atacante no distingue de las de una capital grande. Este artículo no es un catálogo de servicios: es una guía para que una empresa risaraldense contrate una prueba de seguridad sabiendo exactamente qué exigir, qué señales de alerta evitar y qué ley la obliga a cuidar los datos.

Panorama de amenazas para empresas risaraldenses

El perfil de riesgo de Risaralda tiene que ver con cómo funciona su economía, no con el tamaño de la ciudad:

• Agroindustria y cooperativas cafeteras: phishing dirigido a administradores y contadores, fraude por correo (BEC) en pagos a proveedores y exportaciones, y portales de comercialización y trazabilidad expuestos a internet.
• Comercio y servicios de Pereira y Dosquebradas: tiendas en línea con pasarelas de pago débiles, formularios que capturan datos personales sin protección y redes Wi-Fi corporativas mal segmentadas.
• Clínicas y salud: historias clínicas y datos sensibles bajo la Ley 1581 de 2012, con infraestructura que suele carecer de equipo de seguridad dedicado.
• Instituciones educativas y universidades: grandes volúmenes de cuentas de estudiantes, plataformas académicas y trabajo de investigación con acceso remoto.
• Pymes de todos los sectores: ransomware que cifra los sistemas de facturación y nómina, y credenciales débiles reutilizadas entre servicios.

Un Pentesting no «mide» la seguridad: la pone a prueba de verdad. La diferencia con un análisis de vulnerabilidades es concreta: el escaneo lista posibles brechas; el pentesting las explota de forma controlada, como haría un atacante, para demostrar qué daño real podrían causar.

Cómo elegir un proveedor de pentesting (checklist de compra)

Pida esto antes de firmar, por escrito:

• Informe de ejemplo anonimizado: un proveedor serio le muestra un informe real (sin datos del cliente) para que juzgue calidad antes de comprar. Fíjese en si los hallazgos están clasificados por riesgo con evidencia, y si las recomendaciones son accionables por un técnico, no frases genéricas.
• Cero falsos positivos: cada hallazgo reportado debe haber sido verificado con explotación manual o prueba adicional, no solo con la salida de un escáner automatizado.
• Re-test incluido: después de corregir, el proveedor debe re-verificar que las vulnerabilidades quedaron cerradas. Sin re-test, el informe es una foto, no una solución.
• Metodología y equipo declarados: pregunte quién hace la prueba (experiencia, trayectoria), qué metodología sigue y si el trabajo es manual o solo automatizado.
• Reglas de juego por escrito: alcance exacto, ventanas de prueba, sistemas excluidos, canal de comunicación durante el ejercicio y responsable de cada lado. Un acuerdo de este tipo protege a ambas partes.

Señales de alerta: cuándo salir corriendo

• «Normativas locales de Risaralda/Pereira» que exigen pentesting: no existen. No hay decreto departamental ni municipal que obligue a empresas risaraldenses a contratar pruebas de penetración. Quien le venda una supuesta «normativa de ciberseguridad de Pereira» le está inventando urgencia para cerrarle la venta. Desconfíe de inmediato.
• Precio sin preguntas: un alcance serio requiere entender la infraestructura primero. Cotización instantánea = plantilla, no prueba.
• Solo escáner automatizado: si no hay explotación manual, no es pentesting: es un análisis de vulnerabilidades con otro nombre.
• Informe de dos páginas: un pentest real genera hallazgos con evidencia, riesgo y remediación detallada.
• Sin re-test: pagó por un diagnóstico que nadie verificó.
• Garantías imposibles: nadie puede prometer «seguridad total» ni «cero ataques». La seriedad se mide en honestidad sobre los límites.

Alcance mínimo según el perfil de su empresa

• Pyme comercial o de servicios en Pereira: prueba externa a aplicaciones web y presencia digital (sitio, tienda en línea, formularios), más revisión de la seguridad del correo corporativo y de las cuentas expuestas.
• Cooperativa o comercializadora cafetera: alcance anterior más prueba de los sistemas internos de facturación y pagos, y segmentación de la red corporativa respecto de la red de producción.
• Clínica o entidad de salud: todo lo anterior más pruebas sobre los sistemas que manejan datos sensibles de pacientes, con énfasis en controles de acceso y cumplimiento de la Ley 1581 de 2012.
• Institución educativa: plataformas académicas, portales de estudiantes y servicios publicados en internet, con atención a gestión de identidades.
• Empresa que procesa tarjetas: pentesting anual o tras cambios significativos en la infraestructura, tal como lo exige el requisito 11.3 de PCI DSS para quienes operan con datos de tarjetas.

Normativa colombiana que sí aplica

En Colombia no existe una ley que obligue de forma general a contratar pentesting, pero sí un marco que lo vuelve necesario en la práctica:

• Ley 1581 de 2012 (protección de datos personales): obliga a toda organización que trate datos personales —clientes, empleados, pacientes, estudiantes— a implementar medidas técnicas y humanas de seguridad. Un pentesting es la forma de demostrar que esas medidas funcionan. Texto oficial: Ley 1581 de 2012, Secretaría del Senado.
• Ley 1273 de 2009: tipifica los delitos informáticos en Colombia (acceso abusivo a sistemas, hurto por medios informáticos, interceptación de datos, daño informático, entre otros). Texto oficial: Ley 1273 de 2009, Secretaría del Senado.
• PCI DSS, requisito 11.3: si su empresa procesa, almacena o transmite datos de tarjetas de pago, el estándar exige pruebas de penetración anuales o después de cambios significativos en la infraestructura.

Si un comercial le menciona «la norma de Risaralda» o «el decreto de Pereira» para apurar la compra, vuelva a la sección de señales de alerta.

Contexto risaraldense: por qué el detalle local importa en el alcance

Risaralda es el cuarto departamento menos extenso del país y, al mismo tiempo, uno de los más densamente poblados, con su capital Pereira como ciudad más importante del Eje Cafetero (Wikipedia: Risaralda). Esa concentración urbana significa redes corporativas pequeñas compartiendo infraestructura con proveedores locales, y que un incidente en un comercio de Dosquebradas se contagia rápido por cadenas de proveedores. Además, la identidad cafetera —las 45.127 hectáreas y las 19.000 familias caficultoras del departamento (Specialty Coffee Magazine, con datos del Comité de Cafeteros de Risaralda)— implica que las cooperativas manejan flujos de dinero reales, anticipos y liquidaciones que son objetivos atractivos para el fraude por correo. Y el componente turístico del Paisaje Cultural Cafetero, Patrimonio Mundial de la UNESCO desde 2011, sostiene hoteles y operadores que cobran en línea con datos de tarjetas de huéspedes. El alcance de la prueba debe reflejar esta realidad, no una plantilla nacional.

Preguntas frecuentes antes de contratar

¿Un análisis de vulnerabilidades sirve igual que un pentesting?

No. El análisis lista posibles vulnerabilidades (muchas veces con falsos positivos); el pentesting las explota de forma controlada para demostrar el impacto real. Para decisiones de inversión en seguridad y para PCI DSS, necesita el segundo.

¿Cuánto tarda una prueba?

Depende del alcance: una prueba externa sobre una aplicación web de una pyme suele tomar entre una y dos semanas entre ejecución e informe. Desconfíe de entregas de 24 horas: indican automatización sin análisis manual.

¿La prueba puede tumbar mis sistemas?

Un pentesting profesional trabaja con reglas pactadas por escrito: ventanas de prueba, sistemas excluidos y protocolos de parada. Por eso las reglas por escrito del checklist son innegociables.

¿Qué recibo al final?

Un informe ejecutivo para la gerencia (riesgos priorizados, en lenguaje de negocio) y un informe técnico para su equipo (evidencia por hallazgo, pasos de reproducción y recomendaciones de remediación), más el re-test posterior a las correcciones.

¿DragonJAR trabaja en Risaralda?

Sí. DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— atiende organizaciones en Risaralda de forma remota y presencial, con cobertura en todo el Eje Cafetero. Los informes se entregan en español, con hallazgos verificados manualmente, cero falsos positivos y re-test incluido.

Hablemos del alcance de su empresa

Si opera en Risaralda —Pereira, Dosquebradas, Santa Rosa de Cabal o cualquiera de los 14 municipios—, agende una llamada de descubrimiento sin costo: revisamos su infraestructura, le recomendamos el alcance que de verdad necesita y recibe una cotización clara, sin compromiso. Sin plantillas nacionales aplicadas a ciegas: un alcance pensado para cómo opera una empresa risaraldense.