Descubra lo que un atacante vería en su empresa en Costa Rica, antes de que lo explote.
Pentesting Continuo real para empresas de Costa Rica: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Costa Rica aprendió por las malas lo que significa operar sin evaluar la seguridad de forma recurrente: en 2022, una ola de ransomware paralizó decenas de instituciones públicas y llevó al país a declarar emergencia nacional. Para las empresas que operan allí —servicios tecnológicos, zonas francas, turismo digital, banca—, la lección es clara: una evaluación puntual queda desactualizada en semanas. El Pentesting continuo en Costa Rica convierte la seguridad en una práctica operativa: cada vez que lanza una funcionalidad, integra un proveedor o expandes su presencia digital, verifica si esos cambios introdujeron debilidades explotables antes de que un atacante las descubra.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de Costa Rica, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Guía de compra: cómo elegir un proveedor de pentesting continuo en Costa Rica
Contratar pentesting continuo no es comprar un informe al año: es elegir un socio que va a probar sus sistemas una y otra vez, ciclo tras ciclo. En nuestra experiencia, estas son las preguntas que separan una buena decisión de un gasto inútil.
Primero, la metodología. Pregunte si las pruebas son manuales o solo escaneos automatizados. Un escáner encuentra vulnerabilidades conocidas; un pentester manual encadena hallazgos, prueba lógica de negocio y valida cada resultado. Exija saber quién ejecuta las pruebas y con qué experiencia verificable —no basta el nombre de la empresa.
Segundo, el ciclo de trabajo. El pentesting continuo funciona por iteraciones: pruebas, informe, remediación por su parte y re-test para confirmar que la corrección funcionó. Si la propuesta no incluye re-tests, no es continua: es una serie de diagnósticos sueltos. Pregunte cuántos ciclos incluye el contrato, qué dispara un ciclo extraordinario (un despliegue mayor, un incidente, un cambio de proveedor) y en cuánto tiempo recibe el informe después de cada ciclo.
Tercero, las reglas de engagement. Todo proveedor serio trabaja con autorización escrita, alcance definido, ventanas de prueba acordadas y un canal de comunicación directo durante la evaluación. Sin esos papeles, no hay pentesting profesional: hay un riesgo legal para ambas partes.
Cuarto, el informe. Pida un ejemplo anonimizado antes de firmar. Un buen informe trae resumen ejecutivo para gerencia, detalle técnico con pasos de remediación y evidencia de cada hallazgo validado manualmente. Si el «informe» es un volcado del escáner con cientos de alertas sin priorizar, su equipo perderá semanas separando ruido de riesgo real.
El alcance mínimo que debería exigir en cada ciclo
El alcance de cada ciclo debe moverse con su negocio, pero hay un mínimo que en nuestra experiencia ninguna empresa costarricense debería negociar a la baja:
- Superficie expuesta a internet: dominios, subdominios, puertos y servicios visibles desde fuera. Es lo primero que mapea un atacante.
- aplicaciones web y móviles: portales de clientes, banca en línea, aplicaciones móviles de pagos y sus APIs. La lógica de negocio —descuentos, roles, flujos de pago— solo se prueba a mano.
- Infraestructura en la nube: configuraciones de almacenamiento, permisos, identidades y redes. La mayoría de las exposiciones que vemos nacen de una mala configuración, no de un exploit sofisticado.
- Integraciones y terceros: accesos de proveedores, conexiones con clientes corporativos, webhooks y APIs de aliados. La lección del ataque de 2022 es que la cadena de suministro también es superficie de ataque.
- Correo y autenticación: resistencia al phishing dirigido y a la suplantación, con autorización previa y alcance acotado si se incluyen pruebas de ingeniería social.
Entre ciclos, mantén un inventario vivo de activos: cada activo nuevo que entra en producción sin pasar por el siguiente ciclo es una apuesta a ciegas.
Señales de alerta en una propuesta de pentesting
Hay propuestas que se descalifican solas. Desconfíe si ve alguna de estas señales:
- Informe 100% automático, sin validación manual. Garantiza falsos positivos y hallazgos sin contexto de negocio.
- Sin re-tests incluidos. Le entregan el diagnóstico y le dejan solo con la remediación, sin verificar que funcionó.
- Sin acuerdo de confidencialidad ni reglas de engagement por escrito. Un proveedor que no protege sus datos por contrato no los protegerá en la práctica.
- Precio por IP o por «punto», sin entender su negocio. El alcance serio se define por criticidad y superficie real, no por una tarifa plana ciega.
- Sin ventana de pruebas ni contacto durante la evaluación. Si algo sale mal a las 3 de la mañana, necesita a alguien al otro lado.
- Promesas de «hackeo garantizado» o de encontrar un número fijo de vulnerabilidades. Nadie serio promete resultados antes de probar.
Costa Rica: un hub de servicios tecnológicos con superficie de ataque creciente
Costa Rica se ha consolidado como destino para operaciones de tecnología, centros de servicios compartidos y operaciones nearshore que atienden a clientes de toda América, muchas de ellas bajo el régimen de zonas francas. Ese tejido —compañías locales más multinacionales con operaciones regionales— depende de infraestructura digital disponible y confiable de forma permanente: portales de atención al cliente, plataformas de gestión interna e integraciones con terceros que amplían la superficie que un atacante puede explorar.
Los números lo confirman. Según el cierre 2025 de la Coalición Costarricense de Iniciativas de Desarrollo (CINDE), el país atrajo 19 nuevos proyectos de inversión extranjera directa y concretó 48 reinversiones, con el 68% de las nuevas inversiones concentrado en servicios y un enfoque explícito en centros de excelencia, ciberseguridad, analítica avanzada e inteligencia artificial aplicada. La inversión extranjera directa alcanzó los USD 3.800 millones en 2024, con más de 400 multinacionales operando en el país, según datos de CINDE recogidos por la prensa especializada.
El turismo digital es el otro pilar cuya dependencia tecnológica suele subestimarse: reservas en línea, pagos electrónicos, programas de fidelización y datos personales de visitantes de todo el mundo convierten al sector hotelero en un objetivo atractivo. Una filtración en plena temporada alta no solo genera pérdidas directas, sino un daño reputacional difícil de revertir donde la confianza del viajero es el activo principal.
En este contexto, el pentesting continuo deja de ser un ejercicio de cumplimiento para convertirse en práctica operativa: las organizaciones que despliegan a ritmo acelerado necesitan saber, en cada ciclo, si el último cambio introdujo una debilidad explotable.
Panorama de amenazas: la lección del ataque de 2022
El 19 de abril de 2022, el nombre del Ministerio de Hacienda de Costa Rica apareció en el sitio de la dark web del grupo de ransomware Conti: los atacantes afirmaban haber cifrado archivos y robado 1 TB de información, y exigían USD 10 millones de rescate. En los días siguientes, el grupo aseguró haber comprometido al menos ocho entidades costarricenses más, según documentó ESET en su análisis del caso.
El impacto fue nacional: los sistemas de declaración de impuestos y de comercio exterior quedaron secuestrados, las aduanas debieron volver a trámites en papel —con esperas de tres y hasta cuatro días para movilizar contenedores—, se interrumpieron pagos de salarios y servicios digitales del Estado. El 8 de mayo de 2022, al asumir la presidencia, Rodrigo Chaves firmó el Decreto Ejecutivo N.º 43542-MP-MICITT declarando el estado de emergencia nacional por los ciberataques contra el sector público, y días después afirmó que el país estaba «en guerra» contra los atacantes, según recoge la cronología documentada del incidente.
La lección para el sector privado es directa: si eso le ocurrió al Estado, ninguna empresa con operaciones digitales relevantes puede asumir que «a nosotros no nos toca». Los mismos vectores —accesos remotos débiles, sistemas sin parchar, proveedores comprometidos— son los que un pentesting continuo está diseñado para encontrar a tiempo.
Riesgos de ciberseguridad propios del ecosistema costarricense
El perfil de riesgo de Costa Rica está marcado por su rol como proveedor de servicios para terceros. Los ataques a la cadena de suministro y a proveedores de servicios gestionados son una preocupación central: comprometer a un proveedor local puede abrir la puerta a los sistemas de sus clientes, muchos fuera del país. Las evaluaciones deben mirar más allá del perímetro propio e incluir integraciones, accesos remotos y dependencias de terceros.
El ransomware sigue siendo la amenaza con mayor impacto potencial, especialmente para organizaciones que no pueden permitirse interrupciones prolongadas: la combinación de cifrado más amenaza de publicar información sensible pone en jaque tanto a grandes empresas como a medianas con capacidad de respuesta limitada.
El phishing dirigido y el fraude por suplantación aprovechan la digitalización de los servicios financieros: los atacantes imitan portales bancarios y plataformas de pago para capturar credenciales de usuarios. Estas campañas evolucionan con rapidez y se adaptan a eventos locales y temporadas turísticas, por lo que una evaluación puntual queda desactualizada en semanas.
Finalmente, la exposición de servicios en la nube y de aplicaciones desarrolladas a ritmo acelerado genera configuraciones erróneas que solo se detectan con pruebas sistemáticas y repetidas. Donde el despliegue es continuo, la seguridad también debe serlo.
Normativa aplicable en Costa Rica
Costa Rica no tiene una ley que diga «toda empresa debe hacer pentesting», y conviene decirlo con claridad: nadie serio debería venderle el servicio como una obligación legal general. Lo que sí existe es un marco que hace del pentesting continuo la forma más sólida de demostrar diligencia.
La Ley N.º 8968 de 2011, de Protección de la Persona frente al Tratamiento de sus Datos Personales, creó la Agencia de Protección de Datos de los Habitantes (PRODHAB) y obliga a quien administre bases de datos a mantener medidas de seguridad administrativas, físicas y lógicas para proteger los datos personales. Si su empresa maneja datos de clientes o empleados —y en servicios, turismo y banca es inevitable—, evaluar periódicamente esas medidas con pruebas reales es la evidencia más fuerte de cumplimiento.
Tras el ataque de 2022, el país construyó institucionalidad: la Estrategia Nacional de Ciberseguridad 2023-2027, presentada por el presidente Rodrigo Chaves y la ministra del MICITT Paula Bogantes, fijó la hoja de ruta con cinco pilares y decenas de líneas de acción para sector público y privado. El propio MICITT informó que aquel ataque impidió la labor de 45.335 funcionarios y la realización de 49 trámites virtuales, y hoy el CSIRT-CR opera con monitoreo 24/7. El mensaje del Estado es inequívoco: la ciberseguridad es prioridad nacional, y las empresas que operan en el país hacen bien en tratarla con la misma seriedad.
En la práctica, además, los contratos con multinacionales y clientes corporativos en zonas francas exigen cada vez más evidencia de evaluaciones de seguridad periódicas. Un programa de pentesting continuo con informes por ciclo es exactamente la evidencia que esos procesos de debida diligencia piden. Si su empresa apunta a certificaciones como ISO 27001, las pruebas de penetración alimentan la gestión de vulnerabilidades técnicas que la norma requiere —ver nuestra guía de pentesting para cumplir con ISO 27001.
Preguntas frecuentes sobre pentesting continuo en Costa Rica
¿Cada cuánto se ejecuta un ciclo de pentesting continuo?
Depende de su ritmo de cambio, y eso se define con usted. En nuestra experiencia, las empresas con despliegues frecuentes trabajan con ciclos trimestrales más ciclos extraordinarios ante cambios mayores —un lanzamiento importante, una migración a la nube, un incidente o la entrada de un proveedor crítico—. Las operaciones más estables pueden espaciar los ciclos, pero nunca tanto como para que el último informe hable de un sistema que ya no existe.
¿Las pruebas pueden afectar nuestras operaciones o tumbar servicios en producción?
Es la primera preocupación de todo gerente de operaciones, y con razón. Las pruebas se ejecutan con reglas de engagement firmadas: ventanas de prueba acordadas, técnicas de denegación de servicio excluidas salvo solicitud expresa y un canal de comunicación directo durante toda la evaluación. Si una prueba conlleva algún riesgo, se avisa antes y se decide con usted. La continuidad operativa no se negocia.
¿Qué recibimos al final de cada ciclo?
Un informe accionable por ciclo: resumen ejecutivo para la gerencia, detalle técnico de cada hallazgo con pasos de remediación y evidencia validada manualmente —con hallazgos validados, para que su equipo no pierda tiempo en alertas falsas a su equipo—. Y después de que corrija, el re-test que confirma que cada vulnerabilidad quedó efectivamente cerrada antes de que empiece el siguiente ciclo.
¿Cómo evaluamos una propuesta de pentesting continuo antes de firmar?
Pida un ejemplo anonimizado de informe de ciclo, pregunte quién ejecuta las pruebas y con qué experiencia verificable, confirma cuántos re-tests incluye el contrato, exija las reglas de engagement y el acuerdo de confidencialidad por escrito, y verifique cómo se dispara un ciclo extraordinario y en cuánto tiempo recibe resultados. Una propuesta seria responde todo esto sin rodeos.
¿Es legal? ¿Qué autorizaciones necesitamos?
Sí, con autorización expresa y por escrito del responsable de los sistemas. Sin ella, acceder a sistemas ajenos es un delito en casi cualquier jurisdicción, incluida Costa Rica. Todo programa profesional parte de un contrato que define alcance, técnicas permitidas, ventanas y contactos. Desconfíe de quien ofrezca «probar» sus sistemas sin papeles firmados.
¿Cuándo el pentesting continuo NO es lo que necesitamos?
Honestidad primero: si su empresa aún no tiene un inventario claro de sus activos digitales, conviene empezar por un análisis de vulnerabilidades o un levantamiento de superficie. Si no hay nadie —ni interno ni externo— que vaya a corregir los hallazgos entre ciclos, el programa continuo se convierte en una suscripción a informes que nadie lee. Y si su operación es pequeña y estable, un pentesting puntual bien hecho puede ser suficiente. Se lo diremos de frente en la evaluación inicial si es su caso.
¿Cómo se garantiza la confidencialidad de nuestra información?
Con acuerdo de confidencialidad firmado antes de la primera prueba, manejo mínimo necesario de credenciales y datos de prueba, y políticas estrictas de custodia de la evidencia. Todo el personal involucrado opera bajo NDA, y al cierre de cada ciclo se define con usted la retención o destrucción de los materiales de la evaluación.
¿Cuánto cuesta y cuánto tarda un pentesting Continuo en Costa Rica?
Depende del alcance: cuántas aplicaciones, APIs, direcciones IP o sedes entran, la profundidad de la prueba y las ventanas disponibles. El costo y el plazo se confirman en la propuesta que recibe tras solicitarla. Solicitar cotización.
Evalúe la seguridad de su empresa en Costa Rica con DragonJAR
Si su organización opera en Costa Rica —servicios tecnológicos, zonas francas, turismo digital, banca o sector público—, el pentesting continuo es la forma más efectiva de mantener su superficie de ataque bajo control mientras su negocio crece. Los servicios de seguridad informática de DragonJAR están diseñados para acompañar ese crecimiento: evaluaciones periódicas ejecutadas por expertos, con metodología manual a profundidad, informes accionables con hallazgos validados manualmente y re-tests que cierran cada ciclo.
Al llenar el formulario nos cuentas a qué se dedica su empresa y cuál es su ritmo de cambios tecnológicos; con eso diseñamos un programa de ciclos adaptado a su realidad —alcance, frecuencia y metodología—, sin compromiso. Si un programa continuo no es lo que necesita ahora mismo, también se lo diremos.
También puede escribirnos directamente a través de nuestra página de contacto para empresas.