Descubra lo que un atacante vería en su empresa en Cali, antes de que lo explote.
Prueba de Pentesting real para empresas de Cali: simulamos ataques con las mismas técnicas que usaría un adversario, con hallazgos priorizados por riesgo real y retest de las correcciones.
Cali está a poco más de cien kilómetros del principal puerto del Pacífico colombiano, y se nota: la ciudad es el centro de negocios, comercio e industria de todo el suroccidente del país. Ingenios y empresas manufactureras, un comercio que no duerme, clínicas y universidades de referencia regional y una industria de software que crece mirando al Pacífico latinoamericano. En nuestra experiencia, muchas pruebas de pentesting en Cali arrancan en el mismo lugar: el correo de un área comercial o administrativa. Una factura falsa a un proveedor, un pedido “urgente” de un cliente, y la cuenta comprometida ya está moviendo dinero o filtrando información antes de que nadie note nada raro.
En resumen: DragonJAR SAS, empresa colombiana de seguridad informática ofensiva con sede en Manizales (comunidad desde 2001, empresa desde 2012), realiza prueba de pentesting real para empresas de Cali, con informes ejecutivo y técnico en español, priorizados por riesgo de negocio, y retest de las correcciones.
Tabla de Contenido
Cómo elegir un proveedor de pentesting en Cali
Contratar un pentesting es contratar criterio técnico. Antes de firmar, verifique estos puntos:
- Alcance por escrito, antes del precio: un proveedor serio primero pregunta qué sistemas tiene, qué quiere probar y qué queda fuera, y luego cotiza. Si le dan precio sin conocer su infraestructura, están vendiendo un paquete, no un servicio.
- Equipo propio, no subcontratado: pregunta quién ejecuta la prueba y qué experiencia tiene. El pentesting lo hace una persona con criterio, no un software con licencia.
- Informe de muestra anonimizado: pide ver cómo se ve un informe real (con datos sensibles tachados). Si el informe no muestra evidencia de explotación, severidad y recomendación de remediación por hallazgo, no le sirve.
- Re-test incluido: la prueba no termina con el informe. Cuando su equipo corrija, el proveedor debe verificar que la corrección funcionó. Sin re-test, pagó por un diagnóstico sin cura.
- Reunión de resultados: exige una sesión donde su equipo técnico pueda preguntar. Un informe sin explicación termina archivado.
- Confidencialidad formal: acuerdo de confidencialidad firmado antes de tocar el primer sistema. No negociable.
Qué pedir en el alcance de su prueba de pentesting
El alcance es el documento más importante del servicio. Esto es lo mínimo que debe definir:
Objetivos y sistemas
Lista cerrada de lo que se evalúa: aplicaciones web, APIs, infraestructura externa e interna, red inalámbrica, ingeniería social. Todo lo que no esté en la lista, no se prueba: así evita malentendidos y sobrecostos.
Modalidad de la prueba
Caja negra (el evaluador no sabe nada, como un atacante externo), caja gris (acceso parcial, como un usuario o un empleado) o caja blanca (acceso total al código y la arquitectura). Para la mayoría de empresas en Cali que prueban por primera vez, la combinación más útil es caja negra en el perímetro y caja gris en aplicaciones internas.
Reglas de juego
Ventanas horarias de prueba, sistemas excluidos (producción crítica, por ejemplo), contactos de emergencia de lado y lado y procedimiento si algo se comporta de forma inesperada. Esto protege su operación y al equipo evaluador.
Entregables y tiempos
Informe técnico, resumen ejecutivo, sesión de presentación y ventana de re-test con fechas comprometidas. Si el proveedor no se compromete con fechas, el re-test nunca ocurre.
Señales de alerta: proveedores que debe descartar
- Le venden un escaneo automatizado como pentesting: pasar una herramienta y entregarle su reporte no es hacking ético. El pentesting exige explotación manual y criterio humano.
- Precio de remate sin alcance: un pentesting serio toma días de trabajo experto. Si el precio parece demasiado bueno, lo que compras es demasiado poco.
- Informe genérico sin evidencia: si el reporte no muestra cómo se explotó cada hallazgo, con capturas y pasos reproducibles, no puede confiar en él ni usarlo para corregir.
- Sin re-test ni reunión técnica: entregan el PDF y desaparecen. La remediación queda huérfana.
- Prometen “hackear todo” sin límites: la ausencia de reglas de juego no es audacia, es negligencia. Un profesional define límites por escrito.
Panorama de amenazas para las empresas del Valle del Cauca
Cali y su área metropolitana combinan industria, comercio, salud, educación y logística, y cada sector trae su propio patrón de ataque:
- Phishing comercial y de proveedores: ingeniería social sobre pedidos, pagos y facturas dirigida a personal comercial, administrativo y operativo. Es la puerta de entrada más común que vemos en la región.
- Compromiso de correo corporativo: credenciales débiles o reutilizadas que terminan en manos de atacantes y se usan para desviar pagos o espiar negociaciones.
- Ransomware en pymes industriales y de servicios: empresas con respaldos inexistentes o sin probar, donde un solo incidente detiene producción, despachos o atención.
- Ataques a comercio electrónico y portales de clientes: inyección de código y robo de datos de pago en plataformas que crecen rápido y se aseguran despacio.
- Robo de datos personales: clínicas, universidades y empresas de servicios manejan datos sensibles con sanciones regulatorias asociadas si se filtran.
En una economía donde la operación continua de fábricas, comercios y clínicas es el negocio mismo, una prueba de pentesting periódica es la forma de conocer su exposición real antes de que un atacante la explote.
La normativa que aplica en Colombia
Dos leyes marcan el terreno para cualquier empresa colombiana:
La Ley 1273 de 2009 tipificó los delitos informáticos: acceso abusivo a sistemas, interceptación de datos, daño informático y uso de software malicioso, entre otros. Un pentesting se ejecuta con autorización expresa y por escrito precisamente para operar dentro de ese marco, y deja evidencia de que la empresa actuó con diligencia.
La Ley 1581 de 2012 de protección de datos personales exige medidas de seguridad apropiadas a quien trate datos de colombianos, y la Superintendencia de Industria y Comercio sanciona el incumplimiento. Un informe de pentesting con hallazgos priorizados y re-test documentado es una de las formas más sólidas de demostrar esa diligencia.
Por qué DragonJAR para su pentesting en Cali
DragonJAR nació en 2001 como comunidad de seguridad informática y opera como empresa desde 2012. Trabajamos con empresas de sectores diversos —industria, comercio, salud, educación, logística y servicios— adaptando cada ejercicio a la operación real del cliente, no a una plantilla.
Nuestros informes no son volcados de escáner: cada hallazgo trae evidencia de explotación, severidad y recomendación práctica de remediación, con hallazgos validados manualmente y re-test de las correcciones. Y todo bajo acuerdo de confidencialidad, con la discreción que exige este trabajo.
Preguntas frecuentes sobre la prueba de pentesting en Cali
¿Necesito un escaneo de vulnerabilidades o un pentesting?
El escaneo automatizado le dice qué podría estar mal; el pentesting le demuestra qué está realmente mal, con evidencia de explotación y priorización por riesgo. Si nunca ha hecho ninguno, el pentesting le da el mapa real. Si ya hace pentesting anual, el escaneo trimestral le ayuda a no perder el ritmo entre ejercicios.
¿Tienen que venir presencialmente a Cali?
No necesariamente. Las pruebas de aplicaciones web e infraestructura externa se ejecutan de forma remota con la misma calidad. La presencia física se reserva para alcances que la exigen: red interna, evaluación de red inalámbrica en sitio o ingeniería social física. Tenemos cobertura en Cali y el Valle del Cauca en ambas modalidades.
¿Pueden tumbar mis sistemas durante la prueba?
Las reglas de juego existen para eso: se acuerdan ventanas horarias, sistemas excluidos y contactos de emergencia antes de empezar. Las pruebas potencialmente disruptivas se programan en horarios de bajo tráfico y con su equipo avisado.
¿Cuánto dura una prueba típica?
Depende del alcance: una aplicación web de tamaño medio suele evaluarse en dos a cuatro semanas entre pruebas y re-test. En la llamada de descubrimiento definimos un cronograma realista por escrito.
¿Qué pasa si no alcanzo a corregir todo antes del re-test?
El re-test verifica lo que corrigió; lo pendiente queda documentado con su nivel de riesgo para que lo gestiones en su plan de remediación. El informe le dice por dónde empezar, no le exige perfección inmediata.
¿Mi información queda expuesta durante la evaluación?
No. Todo ejercicio se ampara en un acuerdo de confidencialidad firmado antes de empezar, se trabaja con datos enmascarados cuando es posible y los hallazgos se entregan por canales seguros.
Conclusión
Contratar un pentesting en Cali no es comprar un informe: es comprar criterio sobre su exposición real. Elija un proveedor que defina el alcance por escrito, demuestre sus hallazgos con evidencia y verifique sus correcciones. Con eso claro, el ejercicio deja de ser un gasto de cumplimiento y se convierte en la decisión de seguridad más rentable del año.
Solicite su prueba de pentesting en Cali
Antes de pedir cotización, responde esto: ¿cuándo fue la última vez que probó sus sistemas como lo haría un atacante? ¿Sabe qué expone hoy su empresa en internet: portales, APIs, accesos remotos? ¿Su equipo de TI es pequeño o no tiene área de seguridad dedicada? Si esas preguntas le generan más dudas que certezas, necesita el ejercicio.
Al llenar el formulario, un especialista revisa su caso y le devuelve un diagnóstico de alcance: qué conviene probar primero, qué modalidad se ajusta a su operación, tiempos y qué puede dejar para después. Sin compromiso: la llamada de descubrimiento existe para recomendarle el alcance correcto, no para venderle el más grande.
DragonJAR ejecuta pruebas de pentesting para empresas en Cali y en todo el Valle del Cauca, con cobertura remota y presencial. Conozca nuestros servicios de seguridad informática y agende su llamada de descubrimiento sin costo.