Durante la Semana Santa, Popayán se llena de visitantes que llegan por las procesiones declaradas Patrimonio Cultural Inmaterial de la Humanidad por la UNESCO en 2009 y Patrimonio Cultural de la Nación mediante la Ley 891 de 2004. Esos visitantes reservan hoteles por internet, pagan con tarjeta y coordinan por WhatsApp e Instagram con los operadores turísticos. En la misma ciudad, la Gobernación del Cauca atiende trámites en línea y la Universidad del Cauca —creada en Popayán por decreto del 24 de abril de 1827— gestiona los datos de miles de estudiantes, docentes y administrativos. Tres ecosistemas distintos, una misma dependencia: sistemas web que tienen que funcionar bien justo cuando más se usan.
Ahí es donde una prueba de penetración anual se queda corta. Si tu equipo despliega cambios en el portal de reservas, en el sistema de pagos o en la intranet cada pocas semanas, el pentesting de enero no dice nada sobre lo que se subió en junio. El pentesting continuo en Popayán es otra cosa: un programa de pruebas de penetración ejecutado de forma recurrente sobre tu infraestructura real, con re-test de cada hallazgo remediado, para que la ventana entre «lo desplegamos» y «alguien lo probó como atacante» se mida en días, no en meses.
Tabla de Contenido
Popayán: ciudad universitaria, turística y capital del Cauca
Popayán es la capital del departamento del Cauca y la ciudad más importante del suroccidente colombiano. Conocida como la «Ciudad Blanca» por su centro histórico colonial conservado, su marca turística descansa sobre la Semana Santa: una tradición que se celebra desde 1556, declarada Patrimonio Cultural de la Nación por la Ley 891 de 2004 e inscrita por la UNESCO en la Lista Representativa del Patrimonio Cultural Inmaterial de la Humanidad en 2009. Cada año, entre marzo y abril, esa celebración multiplica la ocupación hotelera, las reservas en línea y los pagos digitales en la ciudad.
El otro pilar es la educación superior. La Universidad del Cauca fue creada en Popayán por decreto del 24 de abril de 1827 y se instaló el 11 de noviembre del mismo año; hoy, junto con otras instituciones de educación superior con sede en la ciudad, concentra miles de estudiantes, docentes y personal administrativo. Sistemas académicos, plataformas de matrícula, correos institucionales y bases de datos de la comunidad universitaria forman una superficie de ataque permanente, con picos de uso en cada inicio de semestre.
El tercer pilar es lo público: Popayán concentra la Gobernación del Cauca, dependencias departamentales, contralorías y entidades judiciales. Portales de trámites, ventanillas únicas, sistemas de contratación y bases de datos de ciudadanos operan aquí todos los días. A eso se suma un tejido de comercio y servicios —hoteles, restaurantes, operadores turísticos, clínicas, empresas de la agroindustria con operación en el Cauca— que vive de la reserva en línea, la facturación electrónica y la reputación en redes sociales.
La consecuencia práctica: instituciones y empresas locales rara vez cuentan con un equipo de seguridad dedicado, así que la exposición se concentra en los portales web de cara al público, las cuentas de correo y los sistemas de pago. Todo eso cambia con frecuencia —un módulo de reservas nuevo, una actualización del portal, una campaña en redes— y cada cambio es una puerta que se abre o se cierra sin que nadie lo verifique.
Riesgos de ciberseguridad por sector en Popayán
Instituciones públicas. Phishing dirigido a funcionarios con correos falsos de radicados, trámites o pagos; defacement o manipulación de portales institucionales; compromiso de cuentas de correo corporativo por contraseñas débiles o reutilizadas. Un portal de la Gobernación alterado en plena jornada de atención al ciudadano es un incidente político, no solo técnico.
Universidades e instituciones educativas. Cuentas de estudiantes y docentes comprometidas por reutilización de contraseñas; ataques contra plataformas académicas en época de matrícula; ransomware contra áreas administrativas con respaldos inexistentes o que nadie ha probado a restaurar. El inicio de semestre es temporada alta también para los atacantes.
Turismo y hotelería. Fraude en sistemas de reservas y pagos en línea; suplantación de la identidad del hotel o del operador en redes sociales y mensajería justo en temporada alta; redes wifi de huéspedes sin segmentar. En Semana Santa, un sistema de reservas caído o una cuenta suplantada se traduce en cancelaciones reales y reseñas que no se borran.
Comercio y servicios. Compromiso de cuentas de correo con interceptación o desvío de pagos a proveedores; fraude en facturación electrónica y banca en línea; suplantación ante clientes por WhatsApp. En nuestra experiencia, el correo comprometido es la puerta de entrada más común en empresas de servicios de la región.
Agroindustria con operación en el Cauca. Sistemas administrativos y de logística expuestos a internet, accesos remotos sin doble factor, ransomware contra empresas que dependen de un solo servidor para operar. La continuidad de la operación —cosecha, despacho, nómina— depende de sistemas que nadie ha probado como lo probaría un atacante.
Qué exige la regulación nacional (sin cuentos)
Seamos directos: no existe una «norma de pentesting de Popayán». Lo que sí existe, y aplica a cualquier empresa que opere en la ciudad, es la regulación nacional. La Ley 1581 de 2012 obliga a quienes traten datos personales —de ciudadanos, estudiantes, clientes o huéspedes— a implementar medidas de seguridad apropiadas para protegerlos. El Decreto 1078 de 2015, que compila la normatividad del sector TIC, enmarca las obligaciones de seguridad de la información para entidades y operadores del sector.
Ninguna de estas normas dice «haga pentesting cada tres meses». Lo que exigen son medidas de seguridad efectivas y, cuando algo sale mal, evidencia de diligencia. Un programa de pentesting continuo produce exactamente esa evidencia: informes fechados, hallazgos priorizados por riesgo, constancia de que cada vulnerabilidad se corrigió y se volvió a probar. Eso es lo que una junta directiva, un auditor o una aseguradora pide ver después de un incidente. Si alguien te vende «la ley exige pentesting», pídele el artículo: no existe; lo que existe es la obligación de proteger los datos, y el pentesting continuo es la forma más seria de demostrar que lo estás haciendo.
Por qué continuo y no una prueba al año
En nuestra experiencia, la mayoría de los hallazgos graves que encontramos en programas continuos aparecen en sistemas que cambiaron después de la última prueba anual: un panel administrativo que quedó expuesto tras una migración, una API nueva sin autenticación adecuada, credenciales de un proveedor que siguen activas meses después de terminar el contrato. La prueba anual fotografía enero; el atacante trabaja todo el año.
El programa continuo cambia la ecuación de tres formas medibles. Primero, la ventana de exposición se acorta: entre despliegue y prueba pasan días, no meses. Segundo, cada hallazgo se cierra de verdad: no entregamos un PDF y desaparecemos; cada vulnerabilidad remediada se vuelve a probar hasta confirmar que quedó corregida. Tercero, la evidencia se acumula: mes a mes construyes un historial de pruebas que demuestra mejora continua ante tu junta, tus clientes y la regulación.
Y hay un argumento de calendario local: en Popayán, la Semana Santa y los inicios de semestre son fechas sin margen para sorpresas, y el programa permite probar a fondo antes de la temporada crítica en lugar de descubrir la falla en plena ocupación.
Cuándo el pentesting continuo NO es lo que necesita
Lo decimos de frente, porque un programa continuo mal contratado es dinero tirado. No lo contrates si no tienes inventario de activos: si nadie sabe con certeza qué sistemas, dominios y aplicaciones pertenecen a la organización, primero hace falta un diagnóstico de superficie. No lo contrates si nadie va a atender las remediaciones: una prueba cuyos hallazgos nadie corrige es un informe decorativo, no seguridad. No lo contrates si el problema son los básicos: si no hay política de contraseñas, ni doble factor, ni respaldos probados, un assessment de madurez rinde más por peso invertido que cualquier prueba de penetración.
En esos casos, lo honesto es empezar por un pentesting puntual bien delimitado o por un diagnóstico previo, y subir al programa continuo cuando haya quién opere las correcciones. Te lo diremos en la llamada de descubrimiento: preferimos un cliente que empieza pequeño y crece, a uno que paga un programa que no puede aprovechar.
Solicita tu prueba de pentesting continuo en Popayán con DragonJAR
Hazte tres preguntas antes de seguir leyendo. ¿Cuándo fue la última vez que alguien probó tus sistemas como lo haría un atacante? ¿Qué cambió desde entonces —un portal nuevo, una actualización, un proveedor con acceso? ¿Qué pasaría si tu portal de trámites o tu sistema de reservas deja de funcionar en la semana de mayor demanda del año?
El costo de no hacer nada también se puede estimar: el informe Cost of a Data Breach 2024 de IBM midió el costo promedio global de una filtración de datos en 4,88 millones de dólares (IBM, Cost of a Data Breach Report 2024), y el 86% de las organizaciones de América Latina y el Caribe sufrieron al menos una intrusión cibernética en 2024, según el Informe Global de Brecha de Habilidades de Fortinet 2025. En Popayán, donde la reputación turística y la confianza ciudadana son activos, el daño reputacional de un incidente suele doler más que la factura técnica.
Si tu organización opera en Popayán o en el Cauca —entidad pública, institución educativa, hotel, operador turístico, comercio o agroindustria—, esto es lo que recibes al llenar el formulario: un diagnóstico de alcance (qué se prueba y qué no, sin letra pequeña), una propuesta escrita con metodología y tiempos, y una llamada de descubrimiento sin compromiso donde definimos si el programa continuo es lo que necesitas o si te conviene empezar por algo más pequeño. DragonJAR es una empresa colombiana de seguridad informática —comunidad de hacking ético desde 2001, empresa desde 2012— con cobertura remota y presencial. Conoce nuestros servicios de seguridad informática y el pentesting que ofrecemos a nivel nacional.
Preguntas frecuentes sobre el pentesting continuo en Popayán
¿En qué se diferencia el pentesting continuo de un pentesting anual?
El anual es una fotografía: evalúa tus sistemas en un momento dado. El continuo es un programa: pruebas recurrentes sobre tu infraestructura real, de modo que los cambios —despliegues, migraciones, nuevos proveedores— se evalúan cuando ocurren. Además, cada hallazgo se vuelve a probar (re-test) hasta confirmar su remediación, algo que la prueba puntual rara vez incluye.
¿Cómo se presta el servicio en Popayán si el equipo trabaja de forma remota?
La mayor parte del programa —pruebas a aplicaciones web, infraestructura expuesta y re-tests— se ejecuta de forma remota con la misma profundidad que en sitio. Cuando el alcance lo requiere (segmentación de red interna, wifi corporativa, ingeniería social presencial), se agenda trabajo presencial. El formato se define en la propuesta, por escrito, antes de empezar.
¿Qué debería incluir el alcance mínimo para una entidad pública o una universidad?
Como mínimo: los portales web de cara al ciudadano o al estudiante, los sistemas de trámites o matrícula en línea, la infraestructura expuesta a internet (correo, VPN, accesos remotos) y una revisión de las cuentas privilegiadas. En nuestra experiencia, el correo corporativo y los accesos remotos son donde más hallazgos críticos aparecen en este tipo de organizaciones.
¿Qué pasa si encuentran algo crítico a mitad del programa?
Se te notifica el mismo día en que se confirma, con evidencia y recomendación de contención. El re-test se agenda cuando tu equipo confirme la corrección.
¿El programa genera evidencia útil frente a la Ley 1581 de 2012?
Sí: informes fechados con hallazgos, niveles de riesgo, recomendaciones y constancia de re-test. Esa trazabilidad es la evidencia técnica que demuestra diligencia en la protección de datos personales ante una auditoría, una junta directiva o la Superintendencia de Industria y Comercio.
Popayán no necesita otra promesa genérica de ciberseguridad: necesita saber, mes a mes, dónde está expuesta y qué ya se corrigió.