Pentesting continuo en Pasto: por qué la capital de Nariño necesita probar sus defensas todo el año
Pasto concentra 415.937 habitantes proyectados para 2025 y una economía donde el sector terciario aporta alrededor del 76% del valor agregado municipal: comercio, servicios, construcción y una industria incipiente en alimentos, bebidas y farmacéuticos. Es además la puerta comercial con Ecuador y la sede de eventos como Bioexpo 2025, que generó más de 8,6 millones de dólares en expectativas y ventas con compradores de Ecuador, Chile, Estados Unidos, Venezuela y Perú. Esa vitrina internacional tiene un reverso: cada empresa pastusa que exporta café —84,44 millones de dólares FOB solo en 2024—, factura electrónicamente o vende en línea opera sobre sistemas que los atacantes prueban todos los días. Una prueba anual es una foto; el pentesting continuo es la cámara encendida.
Tabla de Contenido
Pasto: economía terciaria, frontera y digitalización acelerada
El tejido empresarial de Pasto es de comercio y servicios con vocación regional: distribuidoras, cooperativas, entidades públicas, clínicas, universidades y una agroindustria que procesa papa, café, caña panelera y lácteos. El comercio fronterizo con Ecuador —con sus ciclos cambiarios y su logística binacional— mueve sistemas de facturación, pagos y aduanas que concentran datos sensibles de clientes y proveedores. Las empresas nariñenses más grandes están en Pasto, y la manufactura artesanal concentra cerca de la mitad de las microempresas de la ciudad. Todas comparten algo: dependen cada vez más de la operación digital continua, y ninguna puede darse el lujo de descubrir una vulnerabilidad por un incidente.
Riesgos por sector: dónde muerden los atacantes en Pasto
- Comercio y distribución: sistemas de facturación electrónica, inventarios y plataformas de venta en línea. El fraude por correo (BEC) dirigido a pagos a proveedores es el patrón más rentable contra distribuidoras.
- Agroexportadoras (café y agroalimentos): con exportaciones concentradas en café y mercados en cinco países, un compromiso del correo comercial puede redirigir pagos internacionales o robar contratos. Donde hay pagos internacionales hay fraude por correo.
- Entidades públicas y cooperativas: trámites y servicios digitales para ciudadanos y asociados; bases de datos personales bajo la Ley 1581. Un incidente aquí es noticia regional, no solo un problema técnico.
- Salud y educación: historias clínicas, plataformas de matrícula y pagos en línea. Datos sensibles con obligación legal de protección y alto valor en el mercado negro.
Qué dice la regulación colombiana sobre probar sus defensas
Ninguna norma obliga literalmente a contratar pentesting continuo. Pero el marco colombiano apunta en esa dirección para quien maneje datos o preste servicios críticos:
- Ley 1273 de 2009: tipifica en el Código Penal el acceso abusivo a sistemas (art. 269A) y la suplantación de sitios web para capturar datos (art. 269G), con penas de 48 a 96 meses. Texto en Secretaría del Senado.
- Ley 1581 de 2012: exige medidas técnicas, humanas y administrativas para proteger los datos personales que trata su empresa. Ley 1581 de 2012.
- CONPES 3854 de 2016 y 3995 de 2020: Política Nacional de Seguridad Digital con enfoque de gestión de riesgos para el sector privado. Documentos CONPES en el DNP.
- Circular Externa 007 de 2018 de la Superfinanciera: si su organización es vigilada (cooperativas financieras, por ejemplo), debe tener sistema de gestión del riesgo de ciberseguridad y evaluaciones periódicas. Circular 007 de 2018.
Lo que un programa continuo mide y le devuelve
La diferencia entre un pentest anual y un programa continuo no es la frecuencia: es lo que usted puede demostrar. Un programa serio le entrega métricas que la gerencia entiende: tiempo medio entre el hallazgo y la corrección, vulnerabilidades recurrentes (las que vuelven porque la causa raíz no se corrigió), superficie cubierta por el programa frente a la superficie real, y validación de que cada corrección quedó bien cerrada. Para una exportadora pastusa que negocia con compradores internacionales, poder mostrar un programa de pruebas continuo es una ventaja comercial concreta: los clientes extranjeros preguntan por seguridad antes de firmar, y «hacemos pentest una vez al año» suena muy distinto a «probamos continuamente con re-test verificado».
Cómo trabaja DragonJAR en programas continuos
DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— opera programas de pentesting continuo para organizaciones en Pasto y Nariño con ciclos de prueba manual recurrente, alcance vivo que incorpora sus sistemas nuevos, reporte inmediato de hallazgos críticos e informes ejecutivos periódicos para la gerencia. Todo en español, con re-test integrado en cada ciclo y reglas de juego por escrito desde el día uno. Y con honestidad: si su organización todavía no tiene lo básico —inventario de activos, parches, doble factor—, se lo decimos primero. Un programa continuo sobre una base rota es maquillaje.
Preguntas frecuentes sobre pentesting continuo en Pasto
¿No basta con un pentest anual más un escáner automático?
El escáner encuentra lo conocido; el atacante explota lo encadenable. Sin explotación manual recurrente usted tiene visibilidad parcial con confianza total: la combinación más peligrosa.
¿El programa interfiere con la operación diaria?
Se opera con ventanas, exclusiones y protocolos de parada pactados por escrito, igual que una prueba puntual —pero de forma sostenida.
¿Qué cambia frente a contratar pentests puntuales cada año?
La continuidad del conocimiento: el equipo que prueba conoce su infraestructura en profundidad, el alcance evoluciona con su negocio y los hallazgos se cierran en semanas, no en años.
¿Sirve para cumplir la Ley 1581 de protección de datos?
Es la evidencia técnica más directa de que sus medidas de seguridad son reales: demuestra prueba activa y recurrente de sus controles, no solo políticas en papel.
¿Atienden fuera de Pasto?
Sí: Ipiales, Tumaco y todo Nariño, en modalidad remota con ciclos presenciales cuando el alcance lo requiere.
Hablemos de un programa continuo para su empresa en Pasto
Si su organización opera en Pasto —comercio, agroindustria, servicios, salud o sector público—, agende una llamada de descubrimiento sin costo: revisamos su superficie actual, le proponemos la cadencia que de verdad necesita y recibe una cotización clara, sin compromiso. El atacante no espera al próximo pentest anual; su programa de pruebas tampoco debería.