Descubra lo que un atacante vería en su empresa en Cartago, antes de que lo explote.
Pentesting Continuo real para empresas de Cartago: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
El 26 de marzo de 2026, los gobernadores del Valle del Cauca y Risaralda priorizaron una inversión de $92.000 millones para la variante Zaragoza-aeropuerto Santa Ana en Cartago, dentro del programa Vías del Samán (Gobernación del Valle del Cauca). Cartago se está consolidando como el punto de enlace logístico entre el Eje Cafetero y el Valle: más carga, más comercio, más empresas instalándose en el corredor. Y cada empresa que llega trae sistemas: facturación electrónica, nómina, inventarios, cámaras, accesos remotos. Un pentesting continuo en Cartago parte de esa realidad: la ciudad crece como nodo regional y su superficie digital crece con ella, mucho más rápido que los equipos de seguridad que la protegen.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Cartago, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cartago: comercio regional, salud y educación en el norte del Valle
Cartago articula el comercio del norte del Valle del Cauca con el Eje Cafetero: agro (café y cítricos), manufactura ligera, clínicas y centros de salud, instituciones educativas y un comercio regional que factura cada vez más por canales digitales. Pymes, IPS y colegios gestionan historias clínicas, pagos, matrículas y proveedores sobre aplicaciones web y redes con varias sedes. Esa digitalización de servicios esenciales amplía la superficie de ataque y exige validar de forma continua los sistemas que manejan salud, dinero y datos personales.
La ciudad tiene una base concreta para esa afirmación. En salud, Cartago cuenta con el Hospital Departamental de Cartago —con unidad de cuidados intensivos y unidad renal—, las clínicas Comfandi y Nueva de Cartago SAS, la sede de la IPS del Municipio de Cartago y una sede de la Liga Colombiana contra el Cáncer (Cartago, Valle del Cauca). En educación, la Universidad del Valle tiene sede en Cartago, además de institutos técnicos y el SENA. La Corporación Autónoma Regional del Valle (CVC) describe a Cartago como el punto de enlace de la región con el exterior, con el Aeropuerto Internacional Santa Ana como su opción de progreso (CVC). Ese aeropuerto opera hoy vuelos regulares a Medellín, Bahía Solano y Nuquí, y su pista de 2.400 metros lo posiciona para carga y exportación regional. Salud, educación, logística y comercio: cuatro sectores que manejan datos sensibles y operan sobre sistemas conectados, en una ciudad donde el tejido empresarial es mayoritariamente pyme.
Riesgos de ciberseguridad para las empresas en Cartago
De forma cualitativa: ransomware contra clínicas y centros de salud con respaldos insuficientes, phishing dirigido a comercios y entidades educativas, fraude en pagos electrónicos, y accesos remotos de personal administrativo a sistemas internos sin controles adecuados. Las organizaciones con menor madurez en seguridad quedan expuestas a interrupciones de servicios críticos y pérdida de información sensible de pacientes y clientes. Un pentesting continuo en Cartago permite comprobar de forma recurrente si un atacante podría comprometer sistemas o datos antes de que ocurra un incidente real.
Salud. Las clínicas cartagüeñas operan sistemas de información con historias clínicas, agendas, facturación a EPS y portales de resultados. El patrón que más se repite: respaldos que existen pero nunca se probaron, y accesos de personal que rota sin que las cuentas se den de baja. Un ransomware en una clínica no solo cifra archivos: detiene cirugías programadas, consultas y facturación. Con la interoperabilidad de la historia clínica electrónica en marcha a nivel nacional, cada integración con la plataforma es un punto de intercambio de datos sensibles que alguien debe probar.
Educación. Universidades e institutos con plataformas virtuales, sistemas de matrícula y pagos en línea, y bases de datos de miles de estudiantes. Suelen administrarse con equipos de TI pequeños, contraseñas compartidas entre áreas y portales desarrollados por terceros que nadie volvió a auditar. Los datos de menores y jóvenes son especialmente sensibles ante una filtración.
Comercio y logística. El comercio regional factura con sistemas POS, tiendas en línea y pasarelas de pago; las empresas de logística y transporte del corredor Cartago-Pereira manejan manifiestos, clientes y pagos a transportadores. El fraude por suplantación de proveedores y el robo de credenciales de acceso a los sistemas contables son los incidentes más frecuentes que vemos en este segmento.
Servicios profesionales y pymes. Contadores, abogados, consultoras y agencias con datos de decenas de clientes en un solo servidor o en la nube sin configuración revisada. Una pyme comprometida se convierte en la puerta de entrada a sus clientes: el ataque ya no es contra usted, es a través de usted.
Qué exige la regulación nacional (y cómo le ayuda un pentesting)
Seamos directos: ninguna norma colombiana obliga a contratar un pentesting por estar en Cartago o en cualquier otra ciudad. Lo que la ley sí exige son medidas de seguridad efectivas, y el pentesting es la evidencia de que existen y funcionan:
- Ley 1581 de 2012 (protección de datos personales): obliga a todo responsable del tratamiento de datos —clínicas, colegios, comercios, IPS— a adoptar medidas técnicas, humanas y administrativas para evitar adulteración, pérdida, consulta o acceso no autorizado. El informe de un pentesting es la prueba documentada de que esas medidas se sometieron a un ataque simulado real, útil ante la Superintendencia de Industria y Comercio y ante sus propios clientes.
- Ley 2015 de 2020 (historia clínica electrónica interoperable): si es prestador de salud en Cartago, debe interoperar la historia clínica en la plataforma nacional. Esa interoperabilidad multiplica los puntos donde viajan datos de pacientes: cada integración es una superficie nueva que conviene probar antes de que un atacante la encuentre.
- Ley 1273 de 2009 (delitos informáticos): tipifica el acceso abusivo, el daño informático y el hurto por medios informáticos. No le exige pentesting, pero cuando documenta sus controles y denuncias un incidente, contar con evidencia técnica de pruebas previas fortalece su posición jurídica.
En la práctica, esto significa que el pentesting no es un gasto de cumplimiento: es el documento que convierte sus «medidas de seguridad» en algo demostrable. Cuando una EPS, un aliado comercial o un ente de control le pregunte qué hace por la seguridad de los datos, «tenemos un informe de pentesting con re-test» es una respuesta; «tenemos antivirus» no lo es.
Beneficios medibles de un pentesting continuo en Cartago
El beneficio de la seguridad se mide en lo que no pasa, pero hay formas concretas de cuantificarlo:
- Costo evitado por incidente. El informe Cost of a Data Breach 2025 de IBM calculó en 3,81 millones de dólares el costo promedio de una filtración de datos en Latinoamérica (fuente: IBM). Para una clínica o un comercio cartagüeño, un solo incidente de ransomware o filtración puede equivaler a meses de operación. Cada vulnerabilidad crítica cerrada antes de ser explotada es una fracción de ese costo que no se paga.
- Continuidad operativa. En salud y educación, la disponibilidad es el activo: una clínica sin sistema de citas o un instituto sin plataforma virtual en semana de matrículas pierde ingreso y reputación por cada hora caída. El pentesting continuo identifica los puntos únicos de falla antes de que fallen solos.
- Ventaja comercial verificable. Cada vez más contratos —con EPS, con el Estado, con empresas grandes del corredor— exigen evidencia de seguridad. Un informe técnico serio con re-test le pone por delante de competidores que solo declaran «cumplimos la ley» sin probarlo.
- Reducción del riesgo de terceros. Probar los accesos de sus proveedores y contratistas cierra la puerta más común de los incidentes en pymes: la cuenta externa que nadie dio de baja.
- Mejora continua real, no anual. El esquema continuo significa que cada cambio —un portal nuevo, una integración con la historia clínica, una migración— se prueba cuando ocurre. La seguridad deja de ser el informe que se archiva en enero y se olvida en febrero.
Escenarios reales anonimizados del norte del Valle
La clínica con los respaldos que no existían. Un prestador de salud de la zona aseguraba tener respaldo diario de su sistema de historias clínicas. La prueba incluyó un ejercicio de recuperación: los respaldos llevaban tres meses fallando en silencio. Se corrigió el proceso y hoy la restauración se verifica cada mes. Un ransomware habría llegado primero a ese descubrimiento.
El instituto con el portal de pagos abierto. Una institución educativa tenía su plataforma de pagos de matrícula con un error de control de acceso: manipulando un parámetro se veían los pagos de otros estudiantes, con nombres y valores. Una tarde de pruebas lo evidenció; el proveedor lo corrigió en días. Los padres de familia nunca se enteraron, y así debe seguir siendo.
El comercio que pagó dos veces. Un distribuidor regional recibió la «nueva cuenta bancaria» de un proveedor por correo, con membrete y firma correctos. Transfirió un pago importante antes de sospechar. El ejercicio de phishing simulado posterior mostró al equipo financiero exactamente cómo se había construido el engaño; hoy toda novedad de cuenta bancaria se confirma por llamada.
Preguntas frecuentes sobre el pentesting continuo en Cartago
¿Cuánto cuesta un pentesting continuo en Cartago?
Depende del alcance: cuántas aplicaciones, IPs, sedes y si incluye ingeniería social o pruebas presenciales. Una pyme comercial con un sistema web y una red pequeña invierte una fracción de lo que invierte una clínica con historia clínica, portal de pacientes y varias sedes. La forma seria de cotizar es con una llamada de descubrimiento donde se levanta el inventario real; desconfíe de precios cerrados sin preguntas.
¿Cada cuánto se hacen las pruebas?
En el esquema continuo, cada cambio relevante se prueba cuando ocurre —portal nuevo, integración, migración— más ciclos de revisión programados. Como mínimo, una revisión profunda anual. En salud, cada integración nueva con la plataforma de historia clínica interoperable justifica una prueba focalizada.
¿Tienen que desplazarse a Cartago o todo es remoto?
La mayoría de las pruebas —aplicaciones web, red externa, phishing simulado— se ejecutan de forma remota con la misma eficacia. Las pruebas de red interna o de ingeniería social presencial se coordinan con visitas programadas al norte del Valle. DragonJAR atiende empresas en toda Colombia en ambas modalidades.
¿El pentesting me sirve para cumplir la Ley 1581 de 2012?
Sí, como evidencia. La ley exige medidas de seguridad efectivas para los datos personales que trata; el informe demuestra ante la Superintendencia de Industria y Comercio —y ante sus clientes— que esas medidas se probaron contra ataques simulados. Es la diferencia entre declarar seguridad y demostrarla.
¿Qué incluye exactamente el re-test?
Después de que su equipo corrige los hallazgos con nuestras recomendaciones, volvemos a probar cada vulnerabilidad para confirmar que quedó cerrada y que la corrección no abrió otra puerta. En el esquema continuo, ese ciclo se repite ante cada cambio relevante de sus sistemas. Sin re-test, un informe es solo una foto; con re-test, es un proceso.
¿El pentesting puede tumbar nuestros sistemas en horario de atención?
No, si está bien contratado. Se acuerdan horarios, ventanas de bajo tráfico —clave en clínicas— y límites explícitos: no se ejecutan ataques de denegación de servicio contra producción. Si un proveedor normaliza las caídas durante la prueba, ese proveedor es el riesgo.
¿Y si nunca hemos hecho nada de seguridad? ¿Empezamos por un pentesting?
A veces sí, a veces no. Si no tiene inventario de activos ni aplica parches regularmente, una revisión de configuración con plan de remediación priorizado le da más valor inicial por menos dinero. En la llamada de descubrimiento se lo decimos con honestidad: preferimos un cliente que avance por etapas a uno que pague por un informe que no puede ejecutar.
Solicite su pentesting continuo en Cartago con DragonJAR
Si su empresa opera en Cartago o en el norte del Valle —salud, educación, comercio, logística o servicios—, un pentesting continuo adaptado a su operación revela con precisión dónde está expuesto: aplicaciones web, redes, accesos de terceros y el factor humano. DragonJAR trabaja en ciberseguridad desde su comunidad fundada en 2001 y como empresa desde 2012, auditando organizaciones de sectores como salud, educación, financiero y gobierno en toda Colombia.
Llene el formulario y reciba una llamada de descubrimiento sin costo: revisamos su caso, definimos el alcance recomendado para su infraestructura y le enviamos una propuesta con precio cerrado. Sin compromiso, y con la honestidad de decirle si lo que necesita hoy es un pentesting o un paso previo más básico.
Diferencia entre análisis de vulnerabilidades y pentesting
El análisis de vulnerabilidades es un inventario automatizado: lista fallos conocidos en sus sistemas. El pentesting va más allá: un especialista intenta explotarlos para medir el impacto real —qué datos alcanza, qué sistemas controla, cuánto daño podría hacer—. Para decidir inversiones en seguridad necesita lo segundo; para el seguimiento operativo entre ciclos, lo primero como complemento.