Descubra lo que un atacante vería en su empresa en Colombia, antes de que lo explote.
Pentesting continuo real para empresas de Colombia: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En 2025 Colombia registró 10,9 billones de intentos de ciberataques y 7 billones de escaneos activos, lo que lo ubicó como el tercer país más atacado del mundo según el reporte anual de FortiGuard Labs (revistaclevel.com). El mismo informe identificó 41 víctimas de ransomware en el país durante ese año (folou.co). Frente a ese volumen, una prueba de penetración anual es una fotografía: útil, pero desactualizada al mes siguiente. El Pentesting continuo en Colombia es otra cosa: un programa permanente de pruebas ofensivas que acompaña el ritmo real de sus despliegues, con retests sistemáticos, ventanas de prueba recurrentes e integración con su equipo de desarrollo.
Esta página explica la amenaza tal como se ve desde Colombia, qué superficie cubre un programa continuo por sector, en qué se diferencia de una prueba puntual, qué regulación lo respalda y las preguntas que un decisor debería hacer antes de firmar un programa anual.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Colombia, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
La amenaza no hace pausas; su programa de pruebas tampoco debería
El reporte de FortiGuard Labs lo deja claro: el cibercrimen ya no opera con campañas aisladas sino como un ecosistema organizado, con automatización y venta de accesos iniciales. En Colombia eso se traduce en presión constante sobre la banca digital, las plataformas de comercio electrónico, los sistemas de salud y la infraestructura de telecomunicaciones. Cada despliegue que su equipo publica —una nueva versión de la app, una API expuesta, una integración con un tercero— es una ventana que se abre entre su última prueba y la siguiente.
En nuestra experiencia, el hallazgo más caro no es la vulnerabilidad exótica: es la regresión. El parche que se deshizo con la siguiente versión, el endpoint que alguien expuso «temporalmente» y quedó en producción, la credencial de pruebas que nunca se rotó. Un programa continuo existe precisamente para eso: para que el intervalo entre «lo introdujimos» y «lo detectamos» se mida en días, no en meses.
Superficie de ataque por sector en Colombia
Sector financiero y fintech. Banca móvil, banca en línea, APIs de pagos, pasarelas. Es el sector con la regulación más exigente (ver sección de normativa) y el más atacado: el fraude electrónico y el robo de credenciales son el pan de cada día. Aquí el pentesting continuo suele correr en ciclos trimestrales alineados con los releases de la app.
Comercio electrónico y retail. Plataformas de venta en línea, integraciones con pasarelas de pago, programas de lealtad con datos personales de millones de clientes. Cada campaña (día sin IVA, black friday local) trae cambios apresurados al código: justo lo que un programa continuo está diseñado para revisar.
Salud. Historias clínicas, sistemas de citas, telemedicina. Datos sensibles bajo la Ley 1581, con sanciones reales de la Superintendencia de Industria y Comercio.
Energía, telecomunicaciones y gobierno digital. Infraestructura crítica y servicios ciudadanos en línea. Superficies amplias, muchos sistemas legados, y atacantes que saben que una interrupción aquí tiene impacto nacional.
Qué cubre un programa de pentesting continuo (y en qué se diferencia de una prueba puntual)
Una prueba puntual responde «¿qué tan expuesto estoy hoy?». Un programa continuo responde «¿qué cambió desde la última vez y qué se rompió en el camino?». La diferencia práctica está en cuatro piezas.
Primero, ciclos recurrentes: ventanas de prueba programadas (mensuales, trimestrales) que revisan lo nuevo y re-verifican lo corregido. Segundo, retest sistemático: cada hallazgo crítico se vuelve a probar después de su corrección, no queda como «pendiente» en un PDF. Tercero, integración con desarrollo: el programa se conecta con su pipeline —revisión de cambios significativos, pruebas sobre entornos de staging antes de producción, comunicación directa con su equipo técnico en el lenguaje que hablan. Cuarto, memoria del programa: el equipo que le prueba en el ciclo 4 ya conoce su arquitectura del ciclo 1, así que cada ronda es más profunda que la anterior en vez de empezar de cero.
Lo que NO es un programa continuo: un escáner automatizado corriendo cada semana con otro nombre. Si no hay un humano explotando y encadenando hallazgos en cada ciclo, es monitoreo de vulnerabilidades, no pentesting: útil, pero no pague precio de pentesting por un escáner con calendario.
Qué exige la regulación en Colombia
Para el sector financiero la norma tiene nombre propio: la Circular Externa 007 de 2018 de la Superintendencia Financiera impuso requerimientos mínimos de gestión del riesgo de ciberseguridad a las entidades vigiladas —unidad especializada, gestión de vulnerabilidades en plataformas críticas expuestas, monitoreo continuo de la plataforma tecnológica e información a los consumidores sobre incidentes. Es, en la práctica, el mandato regulatorio más cercano a un programa continuo que existe en el país.
Para todos los sectores aplican las dos leyes base: la Ley 1581 de 2012, que obliga a adoptar medidas técnicas de seguridad sobre datos personales, y la Ley 1273 de 2009, que tipifica los delitos informáticos. Ninguna exige literalmente «pentesting continuo» —desconfíe de quien lo afirme—, pero ambas convierten un incidente evitable en un problema legal y reputacional.
Cuándo el pentesting continuo NO es lo que necesita
Dos casos honestos. Si su empresa despliega cambios relevantes una o dos veces al año, un programa continuo es sobreingeniería: una buena prueba puntual anual, más retest, le cubre mejor por menos dinero. Y si todavía no tiene un proceso para corregir lo que una prueba encuentra —sin dueño de remediación, sin ventanas de despliegue—, el programa continuo solo generará informes que nadie actúa. Primero el músculo de corrección, después la cadencia de pruebas.
Preguntas frecuentes sobre el pentesting continuo en Colombia
¿Con qué frecuencia se ejecutan los ciclos de prueba?
Depende de su ritmo de despliegue, no de un calendario rígido. Equipos con releases semanales suelen trabajar con ciclos mensuales de prueba más revisión de cambios críticos; organizaciones con despliegues trimestrales encajan mejor en ciclos trimestrales. La frecuencia se define en el diseño del programa, no se impone.
¿Qué cambia entre un ciclo y otro?
Cada ciclo tiene tres focos: lo nuevo (cambios, funcionalidades, integraciones desde el ciclo anterior), el retest (verificación de que las correcciones cerraron los hallazgos previos) y una rotación de profundidad (cada cierto número de ciclos se hace una revisión más amplia para que nada quede sin mirar por años). El programa tiene memoria: no se repite mecánicamente lo mismo.
¿Cómo se integra con mi equipo de desarrollo?
Con reglas claras desde el día uno: entornos objetivo (staging antes que producción salvo acuerdo), ventanas de prueba, canal directo con su equipo técnico y reportes que distinguen lo urgente de lo importante. En nuestra experiencia, los programas que funcionan son los que el equipo de desarrollo deja de ver como auditoría y empieza a ver como parte del pipeline: hallazgos accionables, sin jerga innecesaria, con severidad honesta.
¿Cuánto cuesta un programa anual frente a una prueba puntual?
Un programa anual cuesta más que una prueba puntual, pero menos por ciclo: compras cadencia, memoria del programa y retest sistemático, no horas sueltas. La comparación honesta no es programa vs. una prueba, sino programa vs. tres o cuatro pruebas puntuales al año sin continuidad entre ellas.
¿El retest está incluido en cada ciclo?
Debe estarlo. Un programa que cobra el retest por separado le incentiva a no corregir. Pregúntelo antes de firmar: retest incluido y sin límite razonable es la señal de que el proveedor quiere que quede seguro, no que vuelva a pagar.
¿Qué pasa si encuentran algo crítico en mitad de un ciclo?
Se lo notificamos de inmediato con una recomendación de contención, sin esperar al cierre del ciclo ni al informe. Esa es una de las ventajas reales de la continuidad: el tiempo entre detección y aviso se mide en horas.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto qué sistemas sostienen su operación y con qué frecuencia despliega cambios. Le respondemos con una llamada de descubrimiento sin costo donde diseñamos el esquema de programa que encaje con su ritmo —o le decimos con franqueza si una prueba puntual le sirve mejor. Sin compromiso.
DragonJAR es una empresa colombiana de seguridad informática ofensiva: comunidad desde 2001, empresa desde 2012. Diseñamos programas continuos con retest incluido, informes que su dirección entiende y hallazgos validados manualmente. Con 10,9 billones de intentos de ataque al año contra objetivos colombianos, la pregunta no es si le van a probar, sino cada cuánto va a probarle usted.