Descubra lo que un atacante vería en su empresa en Cartagena, antes de que lo explote.
Pentesting continuo real para empresas de Cartagena: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El Grupo Puerto de Cartagena es, según la CEPAL, el puerto con mayor movimiento de carga de América Latina, y según la UNCTAD, el de mayor conectividad de la región: es el principal puerto exportador de Colombia. Sus terminales operan 24 horas, 7 días, moviendo contenedores, cruceros y carga a granel mientras los sistemas de gestión, reservas y control no se detienen nunca. Y sin embargo, la mayoría de las empresas que sostienen esa operación evalúan su seguridad una vez al año —si acaso—. Entre el 9 de enero y el 24 de marzo de 2026, el ColCERT documentó nueve actores maliciosos que comprometieron más de 40 organizaciones colombianas, incluyendo puertos. Un pentesting continuo en Cartagena existe para cerrar esa brecha: la seguridad validada al ritmo en que cambian sus sistemas, no al ritmo de su calendario anual.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Cartagena, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Por qué Cartagena opera 24/7 —y por qué la prueba puntual no alcanza
La economía cartagenera no duerme. El puerto mueve carga todos los días del año con sistemas de gestión de terminales, trazabilidad y aduanas. En Mamonal, la Refinería de Cartagena —establecida en 1957 y adquirida por Ecopetrol en 1974— opera con más de 3.500 personas y un clúster petroquímico que genera cerca de 12.000 empleos según el CEDEC y la Cámara de Comercio de Cartagena: entornos donde lo digital y lo físico están conectados. El turismo suma reservas, pagos y datos de visitantes en flujo constante. Zonas francas y logística completan el cuadro.
Una prueba puntual evalúa una foto; la operación es una película. Entre una prueba anual y la siguiente, su empresa despliega cambios, integra proveedores, abre APIs, rota personal y conecta nuevos sistemas. Cada cambio es una posible puerta nueva. En agosto de 2026, Ecopetrol y el Ministerio de Justicia sufrieron ataques de ransomware con días de diferencia: los atacantes no esperan a su próxima ventana de evaluación.
Errores típicos en empresas de operación continua
Cambios sin re-test: se corrige una vulnerabilidad y nadie verifica; se despliega una actualización y nadie la prueba. El 80% del valor de una prueba se pierde si no se cierra el ciclo. APIs logísticas y portales de clientes que crecen en funcionalidad sin revisión de seguridad. Redes de tecnología operativa en entornos industriales conectadas a la red corporativa sin segmentación real: un ransomware que entra por una oficina no debería poder llegar a planta, pero casi siempre puede. Credenciales de larga vida en integraciones entre sistemas —proveedores logísticos, navieras, agentes de aduana— que nadie rota. Terceros con acceso permanente que se concedió para un proyecto y nunca se revocó.
En nuestra experiencia, el hallazgo más común en programas continuos no es una vulnerabilidad exótica: es algo que se corrigió hace meses y reapareció con el siguiente despliegue. La seguridad no se degrada por ataques sofisticados; se degrada por rutina.
Qué cubre un programa de pentesting continuo
No es «un pentest cada mes»: es un modelo distinto. Validación por ciclos: pruebas recurrentes sobre los activos críticos, priorizando lo que cambió desde el ciclo anterior. Re-test integrado: cada corrección se verifica como parte del programa, sin cotizaciones nuevas cada vez. Monitoreo de superficie de ataque: detección de nuevos activos expuestos —subdominios, paneles, servicios— a medida que aparecen. Ventanas coordinadas con la operación: en un puerto o una refinería no se prueba a ciegas; se acuerda qué, cuándo y con qué salvaguardas. Informe vivo: en lugar de un PDF anual, un estado de seguridad actualizado que la gerencia puede leer cada ciclo.
La pregunta honesta: ¿su empresa lo necesita? Si despliega cambios con frecuencia, opera 24/7, maneja datos de clientes o carga crítica, o depende de integraciones con terceros —el perfil típico cartagenero—, sí. Si su infraestructura cambia una vez al año, una prueba anual bien hecha basta, y se lo diremos.
Cómo se diseña el primer ciclo
Un programa continuo bien diseñado no empieza probando todo: empieza estableciendo la línea base. Primera fase, inventario: qué activos existen, cuáles son críticos y qué cambió recientemente. Muchas empresas descubren en esta fase sistemas que ni sabían que estaban expuestos. Segunda fase, prueba inicial profunda sobre lo crítico: aplicaciones, red, accesos remotos. Tercera fase, ciclos recurrentes enfocados en lo que cambió: cada despliegue, cada integración, cada corrección se valida en el siguiente ciclo.
La cadencia se ajusta a su ritmo: si despliega semanalmente, los ciclos son cortos; si su cambio es trimestral, también. Lo que no se negocia es el principio: ningún cambio relevante queda sin validar. Esa es la diferencia entre «hacemos pentest» y «estamos probados».
Tres métricas que su junta debería ver cada ciclo
Si la seguridad no se mide, no se gestiona. En cada ciclo, su junta debería ver tres números. Tiempo medio de corrección: ¿cuánto tarda una vulnerabilidad crítica en cerrarse desde que se reporta? Si sube, su proceso de remediación está roto. Reincidencia: ¿qué porcentaje de hallazgos reaparece en ciclos siguientes? Si es alto, está corrigiendo síntomas, no causas. Superficie expuesta: ¿cuántos activos nuevos aparecieron sin revisión de seguridad? Si crece sin control, su inventario está desactualizado.
Estas tres métricas convierten la seguridad en gestión, no en superstición. Y son la respuesta a la pregunta que todo gerente hace después del primer informe: «¿esto está mejorando o no?».
El costo de una hora detenida
Haga la cuenta para su operación: ¿qué pierde su empresa por cada hora que sus sistemas críticos están caídos o comprometidos? En un terminal portuario, una hora de indisponibilidad retrasa buques, camiones y aduanas en cadena. En una planta, detiene turnos enteros. En turismo, son reservas que se van a la competencia. El ransomware no solo pide rescate: cobra el lucro cesante de cada hora que tarda en recuperarte, más el costo reputacional con clientes que no esperan.
Un programa continuo no elimina el riesgo —nadie honesto promete eso—, pero cambia la aritmética: detectar la vulnerabilidad en el ciclo de este mes cuesta una corrección; descubrirla durante un incidente cuesta la operación. En nuestra experiencia, las empresas que operan 24/7 entienden esta cuenta más rápido que nadie: ya viven con el costo de cada hora.
Tres preguntas de autodiagnóstico
Primera: de todo lo que su empresa desplegó o cambió en los últimos seis meses, ¿qué proporción pasó por una validación de seguridad? Segunda: si hoy aparece una vulnerabilidad crítica en un sistema que usa —como ha pasado con tantas—, ¿en cuántos días la tendría identificada y cerrada? Tercera: ¿sabe cuántos activos suyo están expuestos en internet en este momento, incluyendo los que no recuerda haber publicado? Si alguna respuesta le incomoda, su programa de seguridad va detrás de su operación. Y en Cartagena, la operación no espera.
Continuo no significa invasivo
La objeción más común que escuchamos en Cartagena es razonable: «no pueden estar probando mientras operamos». Y tienen razón: un programa continuo mal diseñado es un riesgo operativo. Bien diseñado, es lo contrario. Las pruebas se planifican en ventanas acordadas con su operación, los sistemas que no admiten pruebas intrusivas se evalúan con técnicas no disruptivas, y cualquier prueba con potencial de afectar disponibilidad se coordina antes —nunca se ejecuta a ciegas—.
La clave está en la segmentación del programa: validación continua de lo que cambia —aplicaciones, APIs, accesos— con pruebas profundas periódicas de lo crítico. Así conviven la operación 24/7 y la validación permanente sin que una estorbe a la otra. Si un proveedor le propone «probar todo, todo el tiempo, sin coordinación», no le está ofreciendo continuidad: le está ofreciendo un incidente con factura.
Cómo trabaja DragonJAR
DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012. En programas continuos, cada ciclo incluye alcance actualizado, explotación manual controlada, informe ejecutivo en español con hallazgos priorizados por riesgo y re-test ilimitados dentro del programa: las correcciones se verifican sin fricción. Hallazgos validados: lo reportado está demostrado con evidencia.
Atendemos empresas en Cartagena de forma remota, con cobertura en toda Colombia. El programa arranca con una llamada de descubrimiento sin costo donde levantamos sus activos críticos y diseñamos los ciclos según su ritmo de cambio. Sin compromiso.
La normativa que aplica
La Ley 1581 de 2012 obliga a las empresas a garantizar la seguridad de los datos personales que manejan —clientes del puerto, huéspedes, empleados—, con multas de hasta 2.000 salarios mínimos mensuales legales vigentes. Un programa continuo convierte esa obligación en evidencia permanente: no demuestra diligencia una vez al año, la demuestra en cada ciclo. Y la Ley 1273 de 2009 tipifica el acceso abusivo a sistemas: todas las pruebas se ejecutan con autorización escrita y alcance firmado.
Preguntas frecuentes sobre pentesting continuo en Cartagena
¿En qué se diferencia del pentest anual que ya contrato?
El anual es una foto; el continuo es una película. Valida cada ciclo de cambios, verifica correcciones sin costo adicional y detecta activos nuevos expuestos. Si entre su prueba anual y hoy desplegó tres cambios, el informe anual ya describe una empresa que no existe.
¿Las pruebas pueden afectar la operación del puerto o la planta?
No. Los ciclos se coordinan con ventanas acordadas, sistemas excluidos y reglas de enfrentamiento. En entornos críticos —terminales, refinería, logística— esa coordinación es parte del diseño del programa, no un favor.
¿Qué pasa si encuentran algo crítico un viernes a las 11 de la noche?
Le enteras de inmediato, no en el informe del ciclo. Los hallazgos críticos se notifican en cuanto se confirman, con evidencia y recomendación de contención. La velocidad de aviso es una de las razones de existir del modelo continuo.
¿El programa incluye a nuestros proveedores?
Se puede incluir, y en Cartagena debería considerarse: el ataque a IFX Networks demostró que el riesgo entra por terceros. El alcance de cada ciclo puede cubrir integraciones y accesos de proveedores críticos, siempre con las autorizaciones correspondientes.
¿Puedo empezar con una prueba puntual y migrar a continuo?
Sí, y es lo recomendable. La primera prueba establece la línea base; el programa continuo la mantiene. Empezar por lo puntual también le permite evaluar al proveedor antes de comprometerse con un programa.
Implemente pentesting continuo en Cartagena con DragonJAR
Si su empresa opera 24/7 en Cartagena —puerto, logística, industria, turismo—, completa el formulario y agenda una llamada de descubrimiento sin costo. Diseñamos los ciclos según su ritmo de cambio, con informe ejecutivo en español y re-test integrado. Sin compromiso.
Sus sistemas no descansan. Sus atacantes tampoco. Su validación de seguridad no debería ser la única que trabaja por turnos anuales.