Pentesting en Sogamoso

Cómo elegir un proveedor de pentesting si su empresa es industrial

El primer filtro es la metodología. Un proveedor serio le habla de alcance escrito, reglas de enfrentamiento, ventanas de prueba y explotación manual; uno improvisado le habla de «escaneo completo» y le entrega el reporte del escáner con otro logo. Pregunte directamente: ¿qué porcentaje de la prueba es explotación manual? Si la respuesta es evasiva, sigue buscando.

El segundo filtro es el informe. Pida ver un ejemplo anonimizado antes de firmar. Un buen informe trae resumen ejecutivo que un gerente entiende, hallazgos con evidencia de explotación —no solo «se detectó»—, criticidad justificada por impacto en su operación y recomendaciones que su equipo de sistemas puede ejecutar. Si el informe parece generado por una herramienta sin análisis humano, lo es.

El tercer filtro es el cierre del ciclo. ¿Incluye re-test después de que corrija? ¿Cuántos? ¿Tiene costo adicional? En nuestra experiencia, las empresas industriales corrigen por fases —no pueden parar planta de un día para otro—, así que necesita un proveedor que verifique correcciones sin cobrarle cada vez como si fuera un proyecto nuevo.

Qué debe incluir el alcance mínimo en una empresa de la región

Para una pyme industrial boyacense, el alcance mínimo sensato cubre cinco frentes. aplicaciones web y portales —facturación electrónica, portales de proveedores, intranets publicadas—. Red interna y segmentación: ¿un equipo comprometido en oficinas puede llegar a los sistemas de planta? Accesos remotos: VPN, escritorios remotos y accesos de contratistas, con y sin doble factor. Correo corporativo: configuración anti-suplantación y resistencia al phishing. Exposición en internet: todo lo que la empresa publica sin saberlo —paneles, cámaras, sistemas de gestión—. Lo que quede fuera del alcance debe quedar fuera por escrito, con el riesgo asumido explícito, no por olvido.

Una advertencia honesta: si su empresa aún no tiene inventario de sus sistemas ni segmentación básica entre oficinas y planta, un pentest completo puede esperar; primero ordena la casa con un diagnóstico. Un proveedor ético le dirá eso antes de cotizarle.

Qué preguntar en la llamada de descubrimiento

La primera llamada con un proveedor es su mejor herramienta de evaluación, si sabe qué preguntar. «¿Qué necesitan saber de mi infraestructura para cotizar?» —si cotizan sin preguntar nada, huye—. «¿Cómo manejan los sistemas que no se pueden detener?» —la respuesta debe incluir ventanas, exclusiones y pruebas controladas, no «no pasa nada»—. «¿Me muestran un informe anonimizado antes de firmar?» —quien no lo muestra, esconde algo—. «¿Qué pasa si encuentran algo crítico a mitad de la prueba?» —deben avisarle de inmediato, no esperar al informe—. «¿El re-test tiene costo?» —y cuántos ciclos incluye—.

Y una pregunta para hacerle a usted mismo después de la llamada: ¿entendieron su operación o solo su lista de IPs? Un proveedor que no pregunta por sus procesos —cosecha, turnos, cierres contables— probará sus sistemas, no su negocio.

Señales de alerta en una propuesta

Desconfíe si la propuesta llega en 24 horas sin una sola pregunta sobre su infraestructura —nadie puede dimensionar lo que no conoce—. Desconfíe de precios irrisorios: una prueba manual seria requiere horas de especialistas, y lo barato sale en falsos positivos que su equipo perseguirá durante meses. Desconfíe si no hay re-test incluido, si el informe viene solo en inglés técnico sin resumen ejecutivo, o si no le piden firmar una autorización escrita con alcance delimitado: sin ese documento, la prueba no es ética ni legal. Y desconfíe de quien promete «hackeo certificado garantizado» o «cero vulnerabilidades»: nadie serio promete eso.

Panorama de amenazas para la industria boyacense

Los patrones que vemos en entornos industriales de la región son claros. Ransomware dirigido a pymes manufactureras y mineras: cifran la operación y exfiltran datos antes del rescate; parar una planta cuesta más que el rescate que piden. Fraude por compromiso del correo corporativo contra proveedores y contratistas: órdenes de pago desviadas que se detectan semanas después. Sistemas de gestión y control conectados a la red corporativa sin segmentación: un ransomware que entra por una oficina y llega a planta es el peor escenario. Accesos remotos sin autenticación fuerte dejados por contratistas o proveedores de mantenimiento.

El caso IFX Networks —septiembre de 2023, al menos 50 entidades estatales afectadas por el ransomware a su proveedor— resume el riesgo de la cadena de suministro: en un corredor industrial donde todos dependen de los sistemas de todos, el atacante entra por el eslabón más débil.

Lo que cuesta un incidente cuando la planta se detiene

En una pyme industrial, un incidente de seguridad no se mide en «datos comprometidos»: se mide en turnos perdidos. Un ransomware que cifra el sistema de gestión detiene facturación, despachos y nómina aunque las máquinas sigan funcionando. Uno que llega a la red de planta —por falta de segmentación— detiene la producción misma. A eso suma el costo de recuperar respaldos que nadie había probado, el de los días que su equipo de sistemas dedica al incidente en lugar de a la operación, y el de explicarle a sus clientes por qué sus pedidos se retrasaron.

Ninguna de esas partidas aparece en la cotización de una prueba de penetración, que es una fracción de cualquiera de ellas. La pregunta no es si puede pagar la prueba; es si puede pagar el incidente sin haberla hecho.

La normativa que aplica —y lo que la Ley 1581 no dice

Hay que corregir algo que circula mal redactado: la Ley 1581 de 2012 no exige realizar pruebas de penetración en ningún sector. Lo que exige es garantizar la seguridad de los datos personales que la empresa maneja —de clientes, empleados y proveedores—, con multas de hasta 2.000 salarios mínimos mensuales legales vigentes para quien incumpla. El pentest no es la obligación; es la evidencia técnica que demuestra que la obligación se cumple más allá del papel.

Del lado penal, la Ley 1273 de 2009 tipifica el acceso abusivo a sistemas informáticos y la violación de datos personales. Por eso toda prueba seria se hace con autorización escrita y alcance firmado: es la diferencia entre una evaluación legítima y un delito.

Tres preguntas de autodiagnóstico para gerentes industriales

Primera: si mañana su sistema de gestión deja de funcionar por un ransomware, ¿cuántas horas aguanta su operación con papel y teléfono? Segunda: ¿sus redes de oficina y de planta están realmente segmentadas, o lo están «en el diagrama»? Tercera: de sus proveedores y contratistas con acceso remoto a sus sistemas, ¿a cuántos les revocaría el acceso hoy si pudiera revisar la lista? Las tres respuestas valen más que cualquier cotización: le dicen dónde está su riesgo real.

Después de la prueba: cómo usar el informe

Recibir el informe es la mitad del trabajo; la otra mitad es ejecutarlo. Prioriza por impacto en su operación, no por severidad teórica: una vulnerabilidad «media» en el sistema de facturación puede doler más que una «crítica» en un servidor de pruebas. Asigna cada hallazgo a un responsable con fecha, y agrupa las correcciones por ventanas de mantenimiento para no parar la planta diez veces.

Después, el re-test: verifica hallazgo por hallazgo qué quedó cerrado y qué no. Lo que no se cerró vuelve al plan con nueva fecha, no al olvido. Las empresas industriales que mejor aprovechan una prueba son las que la tratan como un proyecto de mejora con seguimiento, no como un trámite de cumplimiento.

Cómo trabaja DragonJAR

DragonJAR nació como comunidad de seguridad informática en 2001 y opera como empresa desde 2012, con experiencia en sectores financiero, salud, telecomunicaciones, gubernamental e industrial. Cada prueba incluye alcance escrito, explotación manual, informe ejecutivo en español con hallazgos priorizados por riesgo y re-test ilimitados para verificar las correcciones. Hallazgos validados: lo reportado está demostrado.

Atendemos empresas en Sogamoso y Boyacá de forma remota y presencial. La llamada de descubrimiento —sin costo— sirve para dimensionar su operación y recomendarle un alcance concreto, incluso si la recomendación es empezar por ordenar la casa antes de probar.