Descubra lo que un atacante vería en su empresa en Tunja, antes de que lo explote.
Pentesting real para empresas de Tunja: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Contratar un pentesting en Tunja no debería ser un acto de fe. La ciudad concentra la administración departamental, una de las universidades públicas más grandes del país y miles de empresas de servicios —y cada año vemos propuestas de «pentesting» que son un escáner automatizado con portada bonita, informes que nadie entiende y precios que no se corresponden con el trabajo real. Esta guía existe para que compre bien: qué pedir, qué exigir en el alcance, qué señales le dicen que salga corriendo y cuál es el panorama real de amenazas en Tunja.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza pentesting real para empresas de Tunja, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de pentesting en Tunja
Empiece por lo básico: pida un informe de ejemplo anonimizado. Un proveedor serio le muestra cómo entrega resultados; uno que se niega o le manda un PDF de dos páginas con semáforos en rojo le está diciendo todo lo que necesita saber. El informe debe mostrar hallazgos explotados de verdad —con evidencia, pasos de reproducción y severidad justificada—, no una lista de «posibles vulnerabilidades» copiada de un escáner.
Segunda pregunta obligada: «¿el retest está incluido?». Un pentesting sin retest es un diagnóstico, no una prueba de que el problema se cerró. Si el proveedor cobra el retest por separado o lo omite, su incentivo es que vuelva a pagar, no que quede seguro. En DragonJAR el retest de hallazgos críticos va incluido siempre.
Tercero: ¿quién hace la prueba? Pregunte por el equipo, no por la marca. Un pentesting lo hacen personas explotando sistemas, no una herramienta corriendo sola de noche. Si la propuesta no nombra perfiles ni metodología, probablemente está comprando un escáner con otro nombre. Pida también referencias verificables: empresas reales que pueda llamar.
Cuarto: metodología y reglas de juego por escrito. Alcance exacto (IPs, URLs, aplicaciones), ventanas de prueba, qué pasa si se encuentra algo crítico en mitad de la prueba, canal de comunicación durante la ejecución y compromiso de confidencialidad firmado. Todo eso debe estar en la propuesta antes de firmar, no descubrirse después.
Qué debe incluir el alcance mínimo
Para una empresa de servicios o comercio en Tunja, el alcance mínimo sensato cubre: aplicaciones web expuestas (portal de clientes, sistema de citas o reservas, tienda en línea), infraestructura perimetral (lo que se ve desde internet: VPN, correo, escritorios remotos), y una pasada interna (qué puede hacer un atacante —o un empleado descontento— desde dentro de su red: movimiento lateral, escalamiento de privilegios).
Si maneja datos personales de clientes, pacientes o estudiantes, suma una revisión de controles de acceso y de exposición de datos: no basta con que la aplicación «funcione»; hay que probar que un usuario no pueda ver los datos de otro. Y si su operación depende de un proveedor de software, exija que el alcance incluya las integraciones: las APIs que conectan sus sistemas con los de terceros son donde suelen estar los peores hallazgos.
Lo que NO debe incluir un alcance mínimo: promesas de «cobertura total» sin definir activos, ni pruebas de ingeniería social o de seguridad física metidas a la fuerza si no las pidió. El alcance se define por sus activos reales, no por el catálogo del proveedor.
Señales de alerta: cuándo no contratar
Desconfíe si el proveedor garantiza encontrar vulnerabilidades antes de probar nada —nadie serio promete hallazgos por adelantado—; si el precio es sospechosamente bajo para el alcance prometido (un pentesting real son días de trabajo humano especializado); si no ofrece retest; si el informe de ejemplo no muestra explotación real; y si le habla de «normativas locales de Tunja que exigen pentesting»: no existen. La regulación aplicable es nacional (ver siguiente sección), y quien inventa normas locales para vender está mintiendo en lo pequeño para cobrar en lo grande.
Panorama de amenazas en Tunja: por qué esta ciudad importa
Tunja es la ciudad con mayor dependencia del empleo público del país: el 14,16 % de los ocupados trabaja para el Estado, frente al 3,79 % nacional (Caracol Radio, 2026). Eso significa una concentración inusual de sistemas gubernamentales —secretarías, institutos descentralizados, empresas de servicios públicos— con datos ciudadanos y presupuestos públicos. Y ya hay precedente: en enero de 2015 la página web de la Gobernación de Boyacá fue víctima de un ataque cibernético atribuido a un grupo autodenominado «MexicanHackers», que intentó acceder a sus sistemas de información (Gobernación de Boyacá, comunicado oficial). Fue hace una década; la superficie de ataque desde entonces solo ha crecido.
El otro polo es la educación: Tunja es sede principal de la Universidad Pedagógica y Tecnológica de Colombia (UPTC), con 8 facultades, 52 programas de pregrado y unos 15.000 estudiantes (MinEducación). Universidades, colegios y plataformas educativas manejan datos de menores y jóvenes, sistemas de matrícula y pagos en línea: un combo que los atacantes conocen bien. A eso se suma un tejido de 15.884 unidades empresariales en la ciudad, 85 % del sector terciario (Cámara de Comercio de Tunja, 2026): servicios, salud, comercio —sectores donde el dato del cliente es el activo.
Qué exige la normativa en Colombia
No hay norma municipal de Tunja que exija pentesting —y si alguien le dice lo contrario, ya sabe qué hacer—. Lo que sí aplica es nacional: la Ley 1581 de 2012 obliga a adoptar medidas técnicas, humanas y administrativas para proteger los datos personales; la Ley 1273 de 2009 tipifica los delitos informáticos; y si es entidad financiera o vigilada por la Superfinanciera, la Circular Externa 007 de 2018 le exige gestión del riesgo de ciberseguridad con requerimientos mínimos concretos. Ninguna dice literalmente «contrata un pentesting», pero todas convierten un incidente evitable en un problema legal. Un pentesting con informe y retest es la evidencia más sólida de diligencia que puede mostrar.
Preguntas frecuentes sobre el pentesting en Tunja
¿Cuánto cuesta un pentesting para una pyme en Tunja?
Depende del alcance, no de la ciudad. Una prueba acotada a una aplicación web y el perímetro suele costar menos que un solo incidente de ransomware —entre el rescate, el tiempo caído y la pérdida de clientes—. Pida cotización con alcance cerrado: desconfíe de precios únicos «para pymes» sin definir qué se prueba.
¿La prueba va a tumbar mis sistemas?
Un pentesting profesional se ejecuta con reglas de juego acordadas: se define qué se toca, en qué horarios y con qué intensidad. Los hallazgos críticos se reportan de inmediato con recomendación de contención. Si un proveedor no le propone reglas de seguridad antes de empezar, no lo contrate.
¿Necesito un pentesting o un análisis de vulnerabilidades?
Si lo que quiere es saber «qué tan expuesto estoy de verdad», necesita pentesting: explotación real, impacto demostrado. El análisis automatizado sirve como higiene periódica entre pentestings, no como reemplazo. Comprar solo el análisis porque es más barato es como pagar por la alarma pero no por la prueba de que suena.
¿Cada cuánto debería repetir la prueba?
Cada vez que cambie algo relevante: nueva aplicación, migración a la nube, integración con un tercero, o al menos una vez al año. Una prueba de hace dos años sobre sistemas que ya cambiaron tres veces es historia, no seguridad.
¿El informe lo va a entender mi gerencia?
Debería. Exija un resumen ejecutivo en lenguaje de negocio —riesgo, impacto, costo de no actuar— además del detalle técnico para su equipo de sistemas. Si el informe solo lo entiende un ingeniero, la mitad de su valor se pierde en la junta donde se aprueba el presupuesto para corregir.
Lo que pasa cuando nos escribe
Cuéntenos en el formulario de contacto qué sistemas sostienen su operación y qué le preocupa. Le respondemos en menos de 24 horas hábiles con una llamada de descubrimiento sin costo: le decimos con franqueza qué alcance necesita, le mostramos un informe de ejemplo anonimizado y le cotizamos cerrado. Si lo que necesita no es un pentesting sino otra cosa, se lo diremos también. Sin compromiso.
DragonJAR es una empresa colombiana de seguridad informática ofensiva —comunidad desde 2001, empresa desde 2012—: informes que su dirección entiende, hallazgos validados manualmente y retest incluido. Comprar un pentesting no debería ser un acto de fe; con la información correcta, es una decisión de negocio como cualquier otra.