Ethical Hacking en San José de Costa Rica

Ethical hacking en San José de Costa Rica: el país que declaró emergencia nacional por ransomware ya aprendió la lección

El 8 de mayo de 2022, el presidente Rodrigo Chaves decretó el estado de emergencia nacional en Costa Rica por los ciberataques del grupo Conti: 27 instituciones de gobierno afectadas, el Ministerio de Hacienda con sus sistemas de impuestos dados de baja y un rescate de 10 millones de dólares que el país se negó a pagar (Wikipedia: Ciberataque al Gobierno de Costa Rica). Semanas después, el ransomware Hive atacó a la Caja Costarricense de Seguro Social y obligó a apagar el expediente digital de salud de todo el país. Fue la primera vez en la historia que un país declaraba emergencia nacional por ransomware (WeLiveSecurity, ESET). San José —sede del gobierno, la banca y el sector servicios— quedó en el centro de la tormenta. Cuatro años después, la pregunta para cada empresa josefina no es si puede pasarle, sino si ya probó sus defensas antes de que un atacante lo haga. Esta guía explica el contexto, los riesgos por sector y qué exige de verdad la regulación costarricense.

Contexto económico y digital de San José

San José concentra el poder político y económico del país: gobierno central e instituciones autónomas, la banca supervisada por la SUGEF, sedes regionales de multinacionales de servicios y un ecosistema de zonas francas que sostiene el nearshoring tecnológico. Digitalmente, eso significa trámites estatales en línea usados por toda la población, banca digital masiva, y empresas de servicios que operan con clientes en Estados Unidos y Europa —con los estándares de seguridad que esos clientes exigen. El ataque de 2022 demostró que ni el Estado estaba preparado; muchas empresas privadas de la Gran Área Metropolitana tampoco lo están, aunque ahora operan en un país donde el riesgo cibernético dejó de ser teórico.

Riesgos por sector en San José

• Gobierno e instituciones: el precedente Conti mostró la superficie real: sistemas tributarios, aduanas, seguridad social. Los proveedores y contratistas del Estado heredan ese nivel de exposición.
• Banca y servicios financieros: banca digital, transferencias SINPE, datos sensibles de clientes. El sector más regulado y el más atacado.
• Salud privada: el ataque a la CCSS evidenció el valor de los datos médicos; clínicas y hospitales privados manejan la misma información con menos recursos de defensa.
• Servicios y nearshoring: empresas que procesan datos de clientes extranjeros: un incidente no solo cuesta dinero, cuesta contratos —los clientes internacionales exigen evidencia de pruebas de seguridad.
• Comercio y pymes: facturación electrónica, pagos digitales y la creencia persistente de que «a nosotros no nos pasa», desmentida por el propio Estado en 2022.

Qué exige la regulación costarricense (con honestidad)

Ninguna norma costarricense dice literalmente «su empresa debe contratar Ethical Hacking». Lo que existe es un marco que lo vuelve la forma razonable de cumplir:

• Ley 8968 de 2011 (protección de datos personales): la ley costarricense de protección de la persona frente al tratamiento de sus datos personales exige medidas de seguridad adecuadas; su incumplimiento expone a sanciones de la Agencia de Protección de Datos (PRODHAB).
• Regulación financiera (SUGEF): las entidades supervisadas operan bajo exigencias de gestión del riesgo tecnológico y continuidad del negocio.
• El precedente de 2022: tras la emergencia nacional, el Estado elevó sus propios estándares y los extiende a contratistas y proveedores: demostrar pruebas de seguridad periódicas es cada vez más un requisito comercial, no solo regulatorio.
• Exigencias de clientes internacionales: para el sector servicios, los contratos con clientes de EE. UU. y Europa suelen exigir pentesting periódico con evidencia.

Beneficios medibles del ethical hacking

• Validación antes del incidente: el informe demuestra con evidencia qué podría hacer un atacante hoy: del phishing al empleado hasta los sistemas críticos.
• Cumplimiento evidenciable: frente a la PRODHAB, la SUGEF o un cliente internacional, un informe de pentesting con re-test es diligencia demostrable, no una política en papel.
• Priorización real: las 10 vulnerabilidades que de verdad importan, ordenadas por impacto en el negocio, no una lista de 200 ítems sin dueño.
• Cero falsos positivos: cada hallazgo verificado con explotación manual. Su equipo no pierde tiempo en fantasmas de escáner.
• Re-test incluido: verificamos que las correcciones cerraron las brechas. Sin re-test, el informe es una foto.

Preguntas frecuentes sobre ethical hacking en San José

¿Después de lo de Conti, el gobierno ya no protege a las empresas?

El Estado fortaleció sus propias defensas y la coordinación nacional, pero la seguridad de su empresa sigue siendo su responsabilidad. El ataque de 2022 demostró precisamente que nadie viene a salvarlo a tiempo: la prevención propia es la única garantía.

¿Un análisis de vulnerabilidades no es suficiente?

Para inventariar parches pendientes, sí. Para saber si un atacante puede encadenar fallas y llegar a sus datos críticos —como hizo Conti con los del Estado—, necesita explotación controlada: ethical hacking.

¿La prueba puede afectar nuestros sistemas en producción?

No: alcance, ventanas y exclusiones se pactan por escrito antes de empezar, con protocolos de parada.

¿Cada cuánto deberíamos hacerlo?

Una vez al año como base, tras cambios significativos y cuando un cliente o regulador lo exija. Las empresas de servicios con clientes internacionales suelen necesitarlo anual por contrato.

¿DragonJAR trabaja en Costa Rica?

Sí. DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— atiende organizaciones en San José y la Gran Área Metropolitana de forma remota, con informes en español, hallazgos verificados manualmente y re-test incluido.

Hablemos del alcance para su empresa en San José

Si su organización opera en San José —gobierno, banca, salud, servicios o comercio—, agende una llamada de descubrimiento sin costo: revisamos su superficie real, le recomendamos el alcance que de verdad necesita y recibe una cotización clara, sin compromiso. Costa Rica ya pagó el precio de aprender tarde; su empresa todavía puede aprender a tiempo.