Descubra lo que un atacante vería en su empresa en el Huila, antes de que lo explote.
Pentesting Continuo real para empresas de el Huila: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
En 2024 el Huila produjo 79.876 toneladas de tilapia —el 39% de la producción acuícola nacional— por un valor bruto cercano a 1,1 billones de pesos, y cerca del 95% de las exportaciones colombianas de acuicultura continental salen de este departamento (Gobernación del Huila). A eso súmele una inversión anunciada de Ecopetrol por 512 millones de dólares en los campos Dina-Terciarios y Palogrande, entre Neiva y Aipe, con 82 pozos nuevos programados entre 2025 y 2028 (Ecopetrol). Cuando una economía regional mueve esa escala de dinero con plantas de proceso conectadas, sistemas de facturación en línea, telemetría y contratistas digitales, la pregunta deja de ser si hay sistemas que atacar: es cuántos de esos sistemas ya fueron probados por alguien con malas intenciones. Un pentesting continuo en el Huila responde justo eso, de forma recurrente y autorizada, antes de que la respuesta la dé un incidente real.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting continuo real para empresas de el Huila, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
El Huila: contexto económico y superficie de ataque
El Huila sostiene su economía en la agroindustria (arroz, café y piscicultura), los hidrocarburos, el turismo (San Agustín, el desierto de la Tatacoa) y un tejido de comercio y servicios concentrado en Neiva. Cooperativas, agroexportadoras, entidades públicas y empresas de servicios gestionan facturación, pagos, inventarios y trámites sobre aplicaciones web, sistemas ERP y redes con sucursales. Esa digitalización operativa amplía la superficie de ataque: cada sistema que toca dinero, producción o datos de clientes necesita validación de seguridad continua, no una revisión puntual.
La escala digital del departamento es mayor de lo que parece desde fuera. La piscicultura huilense opera 2.197 unidades productivas, genera alrededor de 15.000 empleos directos y 50.000 indirectos, y crece entre 9 y 10% anual; sus plantas de proceso manejan trazabilidad sanitaria, certificaciones de exportación y pagos internacionales (Gobernación del Huila). En hidrocarburos, Ecopetrol produce hoy 15.800 barriles equivalentes diarios en el Huila y proyecta sumar 9.200 barriles más por día hacia 2030, con toda la cadena de contratistas, facturación y sistemas SCADA que eso implica. A eso se agregan el café de especialidad —el Huila es uno de los principales productores de café del país—, el arroz y un sector turístico con operadores, hoteles y agencias que venden en línea en temporada alta. Neiva, como capital, concentra las sedes administrativas, las entidades financieras regionales y las dependencias públicas que sostienen todos esos trámites.
Riesgos de ciberseguridad para las empresas en el Huila
De forma cualitativa: ransomware contra agroindustrias con sistemas heredados y poca segmentación de red, phishing y suplantación dirigidos a entes públicos y comercios, fraude en pagos digitales y transferencias, y accesos remotos a plantas y oficinas sin controles adecuados. Las organizaciones con menor madurez en seguridad pueden sufrir interrupciones operativas en plena cosecha o temporada turística. Un pentesting continuo en el Huila permite comprobar de forma recurrente si un atacante podría comprometer sistemas o datos antes de que ocurra un incidente real.
Hay patrones que vemos repetirse en regiones agroindustriales. El primero: plantas de proceso con OT y TI mezclados. Donde la red de oficina comparte segmento con los sistemas de la planta —clasificación, empaque, cuartos fríos—, un ransomware no solo cifra archivos: detiene la línea de producción y compromete la cadena de frío o la trazabilidad que exige un comprador extranjero. El segundo: fraude a proveedores y contratistas. En ciclos de cosecha y de perforación, el volumen de pagos crece y los atacantes lo saben: correos de suplantación con «nuevas cuentas bancarias» llegan justo en temporada de pagos. El tercero: accesos de terceros sin rotación. Proveedores de software contable, técnicos de equipos de refrigeración o de perforación y contratistas petroleros mantienen VPN o TeamViewer activos años después de terminado el servicio. Cada uno de esos accesos es una puerta que nadie audita hasta que alguien la usa mal.
Superficie de ataque por sector en el Huila
Agroindustria y piscicultura. Plantas de proceso con sistemas de trazabilidad y certificación, ERPs de inventarios y exportaciones, portales de pago a proveedores y telemetría de estanques. El eslabón típico: el sistema que emite los certificados o las guías de exportación, porque un atacante que lo compromete puede alterar documentación comercial.
Hidrocarburos y cadena de contratistas. Ecopetrol y sus contratistas operan portales de compras, sistemas de nómina y logística, y accesos remotos a facilidades en Dina, Palogrande y Tello. La superficie real no está solo en la operadora: está en los 800 empleos locales y la red de proveedores que la inversión de 512 millones de dólares va a incorporar, cada uno con sus propios sistemas y niveles de madurez.
Turismo, comercio y servicios en Neiva. Hoteles y operadores del desierto de la Tatacoa y San Agustín con reservas en línea y pasarelas de pago; comercios con facturación electrónica y crédito; entidades financieras regionales. En temporada alta, un portal de reservas caído no es un problema técnico: es ingreso perdido día por día.
Sector público y salud. Gobernación, alcaldías y hospitales de Neiva manejan trámites ciudadanos, historias clínicas y bases de datos de beneficiarios. Son objetivos frecuentes de ransomware y de filtración de datos personales, con impacto directo en la ciudadanía.
Qué cubre un pentesting continuo en el Huila
Una prueba seria no es un escáner que genera un PDF: es un equipo intentando entrar a sus sistemas, con reglas claras y sin interrumpir la operación. Para una empresa huilense, el alcance mínimo que recomendamos incluye:
- Aplicaciones web y portales: sistemas de facturación, portales de proveedores, reservas turísticas y áreas administrativas. Se prueban inyección, control de acceso, sesiones y exposición de datos.
- Infraestructura y segmentación: separar la red de oficina de la red de planta o de proceso es la prueba que más incidentes evita en agroindustria. Se verifica wifi, VPN y accesos remotos de terceros.
- Ingeniería social controlada: simulación de phishing al personal administrativo y de planta, con autorización previa. En cosecha y temporada de pagos, el factor humano es la primera brecha.
- Revisión de accesos de contratistas: qué cuentas externas existen, cuáles siguen activas y qué alcanzan. En hidrocarburos y agroexportación, esto suele ser el hallazgo más valioso.
- Informe en español y re-test: hallazgos priorizados por riesgo real para su operación (no solo por CVSS), evidencia reproducible de cada vulnerabilidad, recomendaciones prácticas de remediación y una segunda pasada para confirmar que lo corregido quedó corregido. En pentesting continuo, el ciclo se repite: cada cambio relevante en sus sistemas vuelve a probarse.
La normativa que sí le aplica (y qué exige en la práctica)
Ninguna ley colombiana dice «contrate un pentesting», y quien le venda lo contrario le está vendiendo humo. Lo que sí existe es esto:
- Ley 1581 de 2012 (protección de datos personales): le obliga a adoptar medidas de seguridad técnicas, humanas y administrativas para proteger los datos que trata. Un pentesting es la forma de demostrar, con evidencia, que esas medidas funcionan. Aplica con especial fuerza si maneja datos de clientes, empleados, pacientes o beneficiarios de programas públicos.
- Ley 1273 de 2009 (delitos informáticos): tipifica el acceso abusivo, el daño informático, la interceptación y el hurto por medios informáticos. No le obliga a hacer pentesting, pero define el marco penal que respalda sus sistemas cuando documenta y denuncias un incidente: tener evidencia técnica de sus controles fortalece su posición.
- Ley 2015 de 2020 (historia clínica electrónica interoperable): si es prestador de salud en el Huila, está obligado a interoperar datos clínicos en la plataforma nacional. Cada integración es una puerta nueva que alguien debe probar antes que un atacante.
Escenarios que hemos visto en empresas como la suya
La planta exportadora con el certificado al alcance. Una agroexportadora de la región tenía su sistema de trazabilidad y documentación accesible con credenciales débiles compartidas entre turnos. Una prueba de control de acceso demostró que un usuario de planta podía modificar registros de lote. El arreglo —roles diferenciados y autenticación adecuada— tomó dos semanas; un comprador extranjero auditando esa trazabilidad habría encontrado lo mismo.
El contratista que nunca se fue. Una empresa de servicios vinculada a la cadena petrolera mantenía activas las credenciales VPN de un contratista cuyo proyecto había terminado ocho meses atrás. La cuenta seguía con acceso a la red interna. El pentesting la encontró en la fase de reconocimiento y la empresa implementó un procedimiento de baja de accesos vinculado a la terminación de contratos.
La temporada de pagos que casi cuesta millones. En plena cosecha, el área financiera de una cooperativa recibió la «nueva cuenta» de un proveedor habitual por correo. El dominio era casi idéntico al real. La transferencia se detuvo porque alguien llamó a confirmar; un ejercicio de phishing simulado posterior mostró que el 40% del personal habría hecho clic. Hoy ese procedimiento de confirmación telefónica es política interna.
El hospital con el portal de citas expuesto. Un prestador de salud de Neiva tenía su portal de citas en línea con un identificador secuencial: cambiando un número en la URL se accedía a datos de otros pacientes. Lo encontró una prueba de control de acceso en una tarde. Con la interoperabilidad de la historia clínica en marcha, ese tipo de exposición se multiplica por cada integración.
Preguntas frecuentes sobre el pentesting continuo en el Huila
¿Cuánto cuesta un pentesting continuo para una empresa en el Huila?
Depende del alcance: número de aplicaciones, IPs, sedes y si incluye ingeniería social. Una pyme con un par de sistemas web paga una fracción de lo que paga una agroexportadora con planta, ERP y múltiples sedes. Lo honesto es pedir una propuesta con alcance y precio cerrados después de una llamada de descubrimiento: desconfíe de quien le cotiza sin preguntar qué sistemas tiene.
¿Cada cuánto se hacen las pruebas en un esquema continuo?
El modelo continuo no es «un pentesting al año»: es un ciclo donde cada cambio relevante —un portal nuevo, una integración, una migración— se prueba cuando ocurre, más revisiones periódicas programadas. Como mínimo, una revisión profunda anual y pruebas focalizadas ante cada cambio. En agroindustria, recomendamos alinear los ciclos con las temporadas de cosecha y exportación, no contra ellas.
¿Necesitan venir presencialmente a Neiva o a la planta?
La mayoría de las pruebas —aplicaciones web, red externa, phishing simulado— se hacen de forma remota con la misma eficacia. Las pruebas de red interna de planta o de ingeniería social presencial se coordinan con visitas programadas. DragonJAR atiende empresas en toda Colombia con ambas modalidades.
¿El pentesting interrumpe la operación de la planta o del negocio?
No, si está bien hecho. Las pruebas se acuerdan por horarios y con límites claros: no se lanzan ataques de denegación de servicio contra producción y en entornos de planta se trabaja en ventanas coordinadas con su equipo. Si un proveedor le dice que «es normal que se caiga algo», busque otro proveedor.
¿El informe me sirve ante la Superintendencia de Industria y Comercio?
Sí, como evidencia. La Ley 1581 de 2012 exige medidas de seguridad efectivas; el informe de un pentesting demuestra ante la SIC —y ante sus clientes y compradores extranjeros— que sus medidas se probaron contra ataques simulados, no que existen solo en un documento.
¿Qué pasa si aparecen vulnerabilidades críticas? ¿Me dejan solo con el informe?
No debería ser así. Un servicio serio incluye acompañamiento en la remediación: explicar a su equipo técnico cómo corregir cada hallazgo y luego el re-test para verificarlo. En el esquema continuo, esa verificación es parte del ciclo, no un extra. Pregunte por esto antes de contratar.
¿Y si nuestra empresa nunca ha hecho nada de seguridad? ¿Un pentesting es lo primero?
Honestamente, a veces no. Si no tiene inventario de activos, no aplica parches con regularidad ni tiene segmentación básica, un pentesting completo puede ser prematuro: una revisión de configuración y un plan de remediación priorizado le dan más valor por menos dinero. Se lo diremos en la llamada de descubrimiento si es su caso; preferimos un cliente que avance por etapas a uno que pague por un informe que no puede actuar.
Solicite su pentesting continuo en el Huila con DragonJAR
Si su empresa opera en el Huila —agroindustria, piscicultura, hidrocarburos, turismo, comercio, salud o sector público—, un pentesting continuo adaptado a su operación muestra con precisión dónde está expuesto: aplicaciones, infraestructura, accesos de terceros y el factor humano. DragonJAR trabaja en ciberseguridad desde su comunidad fundada en 2001 y como empresa desde 2012, auditando organizaciones de sectores como salud, hidrocarburos, financiero y gobierno.
Llene el formulario y reciba una llamada de descubrimiento sin costo: revisamos su caso, definimos el alcance recomendado para su infraestructura —planta, oficinas, portales— y le enviamos una propuesta con precio cerrado. Sin compromiso, y con la honestidad de decirle si lo que necesita hoy es un pentesting o un paso previo más básico.
Diferencia entre análisis de vulnerabilidades y pentesting
El análisis de vulnerabilidades es un inventario automatizado: lista fallos conocidos en sus sistemas. El pentesting va más allá: un especialista intenta explotarlos para medir el impacto real —qué datos alcanza, qué sistemas controla, cuánto daño podría hacer—. Para decidir inversiones en seguridad necesita lo segundo; para el seguimiento operativo entre ciclos, lo primero como complemento.