Prueba de Penetración en Popayán

Prueba de penetración en Popayán: guía para comprar pentesting sin que le vendan humo

Popayán es la Ciudad Blanca: capital del Cauca, sede de la Universidad del Cauca —una de las más antiguas del país— y dueña de las procesiones de Semana Santa declaradas Patrimonio Cultural Inmaterial de la Humanidad por la UNESCO en 2009 (Wikipedia: Popayán). Ciudad universitaria, sede del gobierno departamental, centro de comercio y servicios del suroccidente: detrás de la postal colonial hay redes corporativas, sistemas académicos con miles de cuentas, entidades públicas con trámites en línea y comercios que facturan electrónicamente. Esta no es una página de ventas: es una guía para que una empresa o entidad payanesa contrate una prueba de penetración sabiendo exactamente qué exigir, qué señales de alerta evitar y qué ley la obliga a cuidar los datos.

Cómo elegir un proveedor de Pentesting (checklist de compra)

Pida esto antes de firmar, por escrito:

• Informe de ejemplo anonimizado: un proveedor serio le muestra un informe real (sin datos del cliente) para que juzgue la calidad antes de comprar. Fíjese en si los hallazgos están clasificados por riesgo con evidencia, y si las recomendaciones las puede ejecutar un técnico, no frases genéricas.
• Explotación manual, no solo escáner: pregunte qué porcentaje del trabajo es manual. Un reporte generado 100% por herramienta automatizada es un análisis de vulnerabilidades con otro nombre —y otro precio.
• Re-test incluido: después de corregir, el proveedor debe re-verificar que las vulnerabilidades quedaron cerradas. Sin re-test, pagó por un diagnóstico que nadie validó.
• Equipo y metodología declarados: quién hace la prueba, con qué trayectoria, bajo qué metodología. «Nuestro equipo certificado» sin nombres ni metodología es humo.
• Reglas de juego por escrito: alcance exacto, sistemas fuera de límites, ventanas horarias, canal de comunicación durante el ejercicio. Protege a ambas partes.

Qué pedir en el alcance según su perfil payanés

• Entidad pública o descentralizada: prueba externa a los portales de trámites y servicios en línea, más revisión de la exposición de bases de datos de ciudadanos. El sector público es objetivo permanente.
• Universidad o institución educativa: plataformas académicas, portales de estudiantes y docentes, servicios publicados en internet. Miles de cuentas estudiantiles con contraseñas débiles son el punto de entrada clásico.
• Comercio y turismo: sitio web, motor de reservas, pasarelas de pago y redes Wi-Fi de clientes separadas de la red administrativa.
• Clínica o IPS: sistemas con historias clínicas y datos sensibles, con énfasis en controles de acceso y cumplimiento de la Ley 1581 de 2012.

Señales de alerta: cuándo salir corriendo

• «Normativa de ciberseguridad de Popayán/Cauca» que exige pentesting: no existe. No hay decreto municipal ni departamental que obligue a contratar pruebas de penetración. Quien le venda esa urgencia le está inventando la ley para cerrarle la venta.
• Cotización sin preguntas: un alcance serio requiere entender la infraestructura primero. Precio instantáneo = plantilla, no prueba.
• «Garantizamos seguridad total»: nadie serio promete eso. La honestidad sobre los límites es la primera señal de profesionalismo.
• Informe de dos páginas: un pentest real genera hallazgos con evidencia, riesgo y remediación detallada.
• Sin re-test ni informe ejecutivo: si solo entregan un PDF técnico sin priorización para la gerencia, su junta no podrá decidir nada con él.

Panorama de amenazas para Popayán

El perfil de riesgo payanés combina sector público, academia y comercio: phishing dirigido a funcionarios y administrativos (el BEC contra entidades y universidades es persistente), ransomware contra clínicas e IPS, robo de credenciales académicas que luego se usan para atacar otras organizaciones, y sitios web institucionales desactualizados que sirven de puerta de entrada. Un dato incómodo: en nuestra experiencia, las organizaciones que creen «no ser objetivo por ser pequeñas o regionales» son las que menos han invertido en lo básico —y las que más rápido caen cuando el escaneo automatizado las encuentra.

Normativa colombiana que sí aplica

• Ley 1581 de 2012 (datos personales): obliga a implementar medidas técnicas de seguridad a toda organización que trate datos personales; la SIC multa hasta con 2.000 salarios mínimos mensuales. Texto oficial.
• Ley 1273 de 2009: tipifica los delitos informáticos en Colombia. Texto oficial.
• PCI DSS 11.3: pruebas anuales para quien procese datos de tarjetas.
• Directrices de gobierno digital: las entidades públicas operan bajo lineamientos nacionales de seguridad digital; un pentesting es la forma de evidenciar cumplimiento real, no solo documental.

Preguntas frecuentes antes de contratar en Popayán

¿Un análisis de vulnerabilidades sirve igual?

No. El análisis lista posibles vulnerabilidades (muchas veces con falsos positivos); el pentesting las explota de forma controlada para demostrar el impacto real. Para decidir inversión en seguridad necesita el segundo.

¿La prueba puede tumbar nuestros sistemas?

Con reglas pactadas por escrito —ventanas, exclusiones, protocolos de parada— el riesgo se controla. Por eso el checklist exige las reglas antes de firmar.

¿Cuánto tarda?

Entre una y tres semanas según alcance, más informe y re-test. Desconfíe de entregas de 24 horas.

¿Qué recibimos al final?

Informe ejecutivo para la dirección (riesgos priorizados en lenguaje de negocio) e informe técnico para el equipo (evidencia, reproducción y remediación por hallazgo), más el re-test.

¿DragonJAR trabaja en Popayán?

Sí. DragonJAR —comunidad de seguridad informática activa desde 2001, formalizada como empresa en 2012— atiende organizaciones en Popayán y el Cauca de forma remota y presencial, con informes en español y re-test incluido.

Hablemos del alcance para su organización en Popayán

Si su empresa o entidad opera en Popayán, agende una llamada de descubrimiento sin costo: revisamos su infraestructura, le recomendamos el alcance que de verdad necesita y recibe una cotización clara, sin compromiso. Comprar bien un pentesting empieza por saber qué exigir; esta guía es el primer paso, la llamada es el segundo.