En septiembre de 2023, el ransomware del grupo RansomHouse contra el proveedor IFX Networks dejó sin sistemas al Ministerio de Salud, la SIC, la Supersalud y el Consejo Superior de la Judicatura: unas 760 entidades afectadas en América Latina y más de 55 millones de datos comprometidos solo en el Ministerio de Salud (Pirani Risk). Un año antes, el mismo grupo había tumbado los portales y las citas de EPS Sanitas y Colsanitas, con 0,7 terabytes de información en manos de los atacantes (iTech SAS). Después de episodios así, la pregunta que llega a las juntas directivas es siempre la misma: ¿a quién contratamos para que esto no nos pase? Elegir entre las empresas de ciberseguridad en Colombia es una decisión de compra con consecuencias reales, y esta guía explica cómo tomarla bien: qué exigir en el alcance, qué señales de alerta evitar y qué dice la normativa que le aplica.
Cómo elegir un proveedor de ciberseguridad en Colombia
Colombia tiene polos empresariales consolidados en Bogotá, Medellín, Cali y Barranquilla, además de ciudades intermedias con tejido comercial e industrial en crecimiento. Los sectores que más demandan ciberseguridad —banca y finanzas, telecomunicaciones, industria y agroindustria, salud, educación y entidades del Estado— manejan datos de clientes, pacientes y ciudadanos en operaciones cada vez más digitales: banca en línea, comercio electrónico, trámites digitales y trabajo remoto. Elegir un proveedor con operación en el país facilita trabajar en el mismo idioma y huso horario, entender el contexto regulatorio local y contar con acompañamiento presencial cuando el proyecto lo requiere.
Tabla de Contenido
En nuestra experiencia, la diferencia entre una buena y una mala contratación no está en el precio, sino en el alcance por escrito. Estos son los criterios que recomendamos aplicar a cualquier propuesta —incluidas las de la competencia—:
- Alcance definido por escrito antes de firmar: direcciones IP, aplicaciones, APIs y sedes incluidas y excluidas. Si el alcance es vago, el informe también lo será.
- Metodología y reglas de enfrentamiento claras: qué técnicas se usarán, en qué ventanas horarias y cómo se comunican los hallazgos críticos durante la prueba.
- Hallazgos verificados manualmente: cada vulnerabilidad debe demostrarse con evidencia de explotación o impacto real, no con la salida cruda de un escáner. Cero falsos positivos.
- Informe ejecutivo e informe técnico en español: la gerencia necesita entender el riesgo de negocio; el equipo técnico necesita pasos exactos de remediación.
- Re-test incluido: volver a probar cada hallazgo después de la corrección, sin costo adicional, hasta confirmar que quedó mitigado.
- Equipo identificable: quién ejecuta la prueba, con qué experiencia demostrable. Desconfíe del proveedor que no le presenta a sus consultores.
Qué pedir en el alcance: el mínimo que aceptamos como serio
Una propuesta seria de pruebas de seguridad debería cubrir, como mínimo:
- Superficie expuesta a internet: sitios web, portales, VPN y servicios publicados.
- Red interna y directorio activo: el terreno donde el ransomware se mueve lateralmente.
- aplicaciones web y APIs críticas: donde vive el negocio y los datos de clientes.
- Ingeniería social controlada (phishing): la vía de entrada más común en nuestra experiencia.
- Revisión de la estrategia de respaldos y de la segmentación de red.
- Re-test de cada hallazgo tras la remediación.
Y una nota honesta: si su empresa no tiene un inventario claro de sus activos digitales, un Pentesting todavía no es lo que necesita. Empiece por un análisis de vulnerabilidades y un inventario; el pentesting rinde cuando hay objetivos concretos que atacar y un equipo que pueda corregir lo que se encuentre. Un proveedor serio se lo dirá antes de venderle.
Señales de alerta antes de firmar
- Promete «seguridad 100%» o «blindaje total»: nadie serio promete eso. La seguridad se gestiona, no se compra terminada.
- Vende un escaneo automático como «pentest»: un reporte generado por una herramienta, sin verificación manual, no es una prueba de penetración.
- No incluye re-test, o lo cobra aparte como «fase 2»: sin verificación de la corrección, el informe es papel.
- Entrega el informe solo en inglés: si su equipo no lo entiende, no lo va a corregir.
- Precio cerrado sin conocer su infraestructura: una cotización seria requiere una llamada de descubrimiento previa.
- No habla de reglas de enfrentamiento: una prueba sin ventanas acordadas ni un canal de comunicación para hallazgos críticos es un riesgo operativo.
Panorama de amenazas en Colombia
Las organizaciones en el país enfrentan un panorama conocido: phishing y fraude en línea contra clientes y empleados, ransomware contra empresas e instituciones, robo de datos personales y financieros, ataques a aplicaciones web y plataformas transaccionales, compromiso de redes corporativas y accesos remotos, y daño a la reputación cuando una brecha se hace pública. Los sectores con mayor interacción digital con el público —banca, retail, telecomunicaciones y servicios— concentran la mayor exposición, mientras que la industria y el Estado enfrentan riesgos sobre sus sistemas operativos y de gestión.
Los casos públicos ponen cifras al panorama:
- IFX Networks / RansomHouse (septiembre de 2023): unas 760 entidades afectadas en América Latina; en Colombia, el Ministerio de Salud y Protección Social (más de 55 millones de datos afectados), la SIC, la Supersalud y el Consejo Superior de la Judicatura (Pirani Risk, Asobancaria).
- Keralty (noviembre-diciembre de 2022): RansomHouse dejó caídos los portales y el sistema de citas de EPS Sanitas y Colsanitas y filtró datos de pacientes; el CEO Sergio Martínez confirmó que los atacantes tenían 0,7 terabytes de información (iTech SAS).
- Costo de una brecha (IBM, 2025): 4,44 millones de dólares de costo promedio global, por debajo de los 4,88 millones de 2024; en América Latina, 4,65 millones, con 328 días de media para identificar y contener la brecha y 40.300 registros comprometidos en promedio (IBM).
Contar con evaluaciones periódicas de seguridad permite identificar estas exposiciones antes de que un atacante las explote, con un alcance ajustado al tamaño y sector de cada organización.
La normativa colombiana que le aplica
- Ley 1581 de 2012: protección de datos personales; exige a las organizaciones medidas técnicas y administrativas para garantizar la seguridad de los datos. Su autoridad de vigilancia es la Superintendencia de Industria y Comercio.
- Ley 1273 de 2009: tipifica los delitos informáticos y establece sus penas (texto de la ley, SIC).
- CONPES 3995 de 2020: la Política Nacional de Confianza y Seguridad Digital, aprobada el 1 de julio de 2020, fija la hoja de ruta del país en seguridad digital (Colombia Aprende).
- Superfinanciera, Circular Externa 007 de 2018 (5 de junio de 2018): establece los requerimientos mínimos de gestión del riesgo de ciberseguridad para las entidades vigiladas (Normograma).
Si su empresa maneja datos personales —y casi todas lo hacen—, la Ley 1581 ya le exige medidas de seguridad demostrables. Si es vigilada por la Superfinanciera, la Circular 007 concreta esa exigencia. Una evaluación de seguridad documentada es la evidencia más directa de cumplimiento.
Diferencia entre un análisis de vulnerabilidades y una prueba de pentesting
El análisis de vulnerabilidades identifica, cuantifica y prioriza las vulnerabilidades de sus sistemas de forma amplia y periódica: es el mapa. La prueba de penetración, en cambio, toma ese mapa —o parte de él— y lo ataca de forma controlada para demostrar qué podría lograr un atacante real y qué impacto tendría en el negocio: es la comprobación de que el mapa sirve. Son servicios complementarios: el análisis le dice dónde mirar cada mes; el pentesting le demuestra qué pasaría si alguien mirara antes que usted.
Servicios de ciberseguridad de DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. Nuestro portafolio incluye:
- Pentesting de Aplicaciones Web
- Revisión de Seguridad en Código Fuente
- Pentesting de Aplicaciones Móviles
- Simulaciones de Ataque Red Team y Pentesting Físico
- Pentesting de APIs
- Pentesting Interno y Externo
- Pruebas de Ingeniería Social
- Pentesting de Infraestructura en la Nube
- Pentesting de Sistemas de Control Industrial (ICS/SCADA)
- Pruebas de Estrés (Stress Testing)
- Pentesting continuo
- Pentesting de Redes Inalámbricas
- Formación y Capacitación en Seguridad Informática
En cada servicio aplicamos los criterios de esta guía: alcance por escrito, hallazgos verificados manualmente, informe ejecutivo y técnico en español, y re-test de cada hallazgo hasta confirmar la mitigación. Atendemos organizaciones en toda Colombia, de forma remota y presencial.
Preguntas frecuentes sobre empresas de ciberseguridad en Colombia
¿Qué debe incluir el alcance mínimo de una prueba de penetración?
Superficie expuesta a internet, red interna y directorio activo, aplicaciones web y APIs críticas, ingeniería social controlada y revisión de respaldos y segmentación —con re-test incluido tras la remediación. Todo por escrito antes de firmar: si el alcance es vago, el informe también lo será.
¿Cómo sé si necesito un pentesting o un análisis de vulnerabilidades primero?
Si no tiene un inventario claro de sus activos digitales, empiece por el análisis de vulnerabilidades: es más amplio, más económico y le entrega el mapa. El pentesting rinde cuando hay objetivos concretos que atacar y un equipo que pueda corregir los hallazgos. Si un proveedor le vende un pentest sin preguntarle por su inventario, dude.
¿Cuánto cuesta contratar una empresa de ciberseguridad en Colombia?
Depende del tamaño y la complejidad de su infraestructura: direcciones IP, aplicaciones, APIs, sedes y si incluye ingeniería social. No publicamos una tarifa única porque sería engañosa; después de una llamada de descubrimiento sin costo le enviamos una cotización clara por escrito con el alcance exacto.
¿Qué señales de alerta indican que un proveedor no es serio?
Que prometa «seguridad 100%», que venda un escaneo automático como pentest, que no incluya re-test, que entregue el informe solo en inglés o que le dé un precio cerrado sin conocer su infraestructura. Cualquiera de esas es razón suficiente para seguir buscando.
¿Qué norma colombiana me obliga a evaluar la seguridad de mi empresa?
La Ley 1581 de 2012 exige medidas técnicas y administrativas para proteger los datos personales, bajo vigilancia de la SIC. Si su empresa es vigilada por la Superfinanciera, la Circular Externa 007 de 2018 le exige una gestión mínima del riesgo de ciberseguridad. La Ley 1273 de 2009, por su parte, tipifica los delitos informáticos.
¿Qué empresas de ciberseguridad en Colombia son reconocidas?
Hay varias firmas serias operando en el país. Nuestra recomendación es evaluarlas con los criterios de esta guía —alcance por escrito, hallazgos verificados manualmente, informe en español y re-test incluido— en lugar de guiarse por publicidad. DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012, y aplicamos esos mismos criterios en cada proyecto.
Solicita tu cotización de ciberseguridad en Colombia
Si su organización opera en Colombia —en la banca, la industria, el comercio, la salud, la educación o el sector público—, complete el formulario y cuéntenos brevemente qué sistemas quiere evaluar. Un especialista le responderá en un máximo de 24 horas hábiles para agendar una llamada de descubrimiento sin costo: revisamos su infraestructura, le proponemos un alcance ajustado a su realidad y a la regulación que le aplica, y le enviamos una cotización clara. Sin compromiso y sin presión comercial.
Conclusión
Contratar una empresa de ciberseguridad en Colombia no es comprar un producto: es elegir a quién le confía la tarea de encontrar sus vulnerabilidades antes que los criminales. Los casos de IFX y Keralty muestran lo que está en juego; los criterios de esta guía le dan cómo evaluarlo. Si quiere una propuesta con alcance claro y precio por escrito, el siguiente paso es una conversación.