Pentesting en Cartago

Cómo elegir un proveedor de pentesting en Cartago: guía de compra local

Qué pedir antes de firmar nada

Un proveedor serio no le da precio con dos datos por WhatsApp. Exija esto:

• Alcance escrito y firmado. Qué sistemas se prueban (sitio web, APIs, correo corporativo, red interna), qué técnicas están permitidas y cuáles no (denegación de servicio, ingeniería social a empleados), ventanas horarias de prueba y un canal directo para reportar hallazgos críticos apenas aparezcan.
• Explotación manual, no solo escáner. Un escáner encuentra síntomas; un pentester demuestra qué es realmente explotable y cómo llegar al dato.
• Informe ejecutivo y técnico en español. La gerencia necesita decisiones; el equipo técnico necesita evidencia y pasos de reproducción.
• Re-test incluido. Después de corregir, el proveedor vuelve a probar las vulnerabilidades para confirmar que quedaron cerradas.
• Acuerdo de confidencialidad y reglas de enfrentamiento. Documentos firmados antes de que el primer paquete llegue a su red.

Señales de alerta: cómo reconocer a un mal proveedor

Estas son las banderas rojas que más se repiten en nuestra experiencia:

1. Le da precio sin hacerle preguntas. Sin inventario de activos no hay cotización seria; hay un paquete empaquetado.
2. El «informe» es una exportación de escáner. Cientos de alertas con severidades genéricas, sin evidencia de explotación ni pasos de reproducción, sin contexto de su negocio.
3. Promete «quedar 100 % seguro». Nadie serio promete eso. La seguridad es un proceso; quien la venda como producto terminado está vendiendo humo.
4. No firma nada. Sin NDA ni reglas de enfrentamiento, la prueba es un riesgo legal para usted, no para ellos.
5. No ofrece re-test. Quien no verifica las correcciones no está vendiendo seguridad: está vendiendo un documento.
6. El equipo es invisible. No sabe quién prueba ni con qué metodología. Los perfiles del equipo deberían ser transparentes.

Cuándo un pentest NO es lo adecuado

Honestidad profesional: si su empresa nunca hizo un inventario de sus activos digitales —qué dominios, servidores, aplicaciones y cuentas existen—, el primer paso no es un pentest: es levantar ese inventario. Un pentest sobre una base desconocida desperdicia buena parte del presupuesto en lo obvio. Primero ordena la casa; después prueba qué tan bien la cerró.

Panorama de amenazas para las empresas cartagueñas

Cartago no es un objetivo por ser famoso: lo es por estar conectado. La ciudad concentra comercio, servicios, educación y actividad administrativa para varios municipios del norte del Valle, y su ubicación la conecta con Pereira, Armenia y el Eje Cafetero. Su economía —agricultura, ganadería, comercio y los bordados— se digitaliza a buen ritmo: tiendas como tiendadebordados.com venden los famosos bordados y calados cartagueños hechos a mano en línea, con pagos electrónicos y datos de clientes circulando por internet. Además, el aeropuerto internacional de carga Santa Ana es punto de enlace con el exterior y motor económico del norte del Valle y el Eje Cafetero.

Y el panorama nacional no invita a la calma:

• El correo corporativo es la puerta principal. En Colombia, el 74 % de los ciberataques registrados en 2024 se originó en un correo electrónico fraudulento, con más de 36.000 millones de intentos de ciberataques en el año y 77.666 denuncias por delitos informáticos, un 23 % más que el año anterior.
• El fraude a proveedores es caro. La suplantación de proveedor le cuesta a una pyme colombiana en promedio 260 millones de pesos por incidente. Un correo comprometido basta para desviar un pago a la cuenta de un atacante.
• El ransomware golpea donde duele. Las pymes son el 95 % del tejido empresarial colombiano y pueden enfrentar pérdidas de hasta 520 millones de pesos por incidente. El caso de septiembre de 2023 lo dejó claro: el ransomware contra el proveedor IFX Networks dejó fuera de línea a más de 50 entidades del Estado colombiano y obligó a instalar un Puesto de Mando Unificado Ciber. La lección para Cartago: el ataque puede llegar por su cadena de suministro, aunque usted no sea el objetivo directo.
• El factor humano es el eslabón débil. El 42 % de las empresas colombianas no capacita a sus empleados para detectar estafas en línea, y los atacantes ya usan inteligencia artificial para personalizar correos maliciosos.

En nuestra experiencia, el patrón más repetido en empresas de ciudades intermedias como Cartago es este: nadie ha probado nunca lo que está expuesto a internet. Sitios web, tiendas en línea, webmail y accesos remotos publicados sin una prueba previa. Un pentest existe para responder qué hay ahí antes de que lo descubra un atacante.

Qué exige la normativa colombiana (y qué no)

• Ley 1581 de 2012. Obliga a Responsables y Encargados del tratamiento a adoptar medidas técnicas, humanas y administrativas para la seguridad de los datos personales (artículos 17 y 18). Punto clave: no exige un pentesting en ningún sector. Pero un test de intrusión es la forma más directa de demostrar que esas medidas se verifican en la práctica, no solo en el papel.
• Ley 1273 de 2009, artículo 269F. La violación de datos personales —obtener, sustraer, divulgar o emplear datos personales sin estar facultado— se castiga con prisión de 48 a 96 meses y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes. Si sus sistemas exponen bases de datos de clientes, el riesgo no es solo reputacional.
• Sanciones de la SIC. La Superintendencia de Industria y Comercio sí sanciona, y con cifras que pesan. Mediante la Resolución 39701 de 2025, multó a RISKS INTERNATIONAL S.A.S. con $190.547.400 por vulnerar la Ley 1581 de 2012, y además le ordenó suspender las operaciones de recolección, uso, almacenamiento y circulación sobre su base de datos hasta adoptar las medidas correctivas. Las multas del artículo 23 de la Ley 1581 pueden llegar hasta 2.000 salarios mínimos mensuales vigentes.

La ley no le obliga a contratar un pentest, pero le obliga a proteger los datos y sanciona cuando no lo hace. El pentest es la evidencia de diligencia que separa a quien actuó de quien solo tenía buenas intenciones.

Conclusión

Cartago combina comercio, servicios regionales, logística y una industria artesanal que ya vende al mundo por internet. Esa combinación es una oportunidad y una superficie de ataque. Un pentesting en Cartago bien contratado —alcance escrito y firmado, explotación manual, informe en español que su equipo puede ejecutar, re-test incluido y confidencialidad desde el día uno— convierte la incertidumbre en un plan: saber por dónde es vulnerable, cerrarlo y poder demostrarlo ante clientes, proveedores y la autoridad. La pregunta no es si su empresa será probada, sino si la prueba la hará un profesional con su permiso o un atacante sin él.