En mayo de 2025, Bolivia reconoció formalmente a las empresas de tecnología financiera y las puso bajo la lupa de la ASFI. El Decreto Supremo 5384 (7 de mayo de 2025) y la Resolución ASFI 540/2025 (3 de julio de 2025) crearon el marco para las Empresas de Tecnología Financiera (ETF), con obligaciones explícitas de ciberseguridad, gestión de riesgos y protección de datos personales. Y La Paz es el lugar donde esa regulación muerde primero: aquí están la sede del gobierno nacional, las sedes de los bancos, las entidades públicas que ya operan servicios digitales y las plataformas que ahora tienen que adecuarse antes de que venza el plazo.
Si tu empresa opera en La Paz, la pregunta ya no es si la ciberseguridad va a costarte dinero, sino en qué momento y bajo qué condiciones. Una cuenta de correo comprometida o un ransomware en la semana de mayor movimiento comercial sale mucho más caro que la prueba que lo habría prevenido. En nuestra experiencia, la mayoría de las empresas paceñas tienen más exposición de la que creen —y casi siempre en el punto que nadie está mirando.
Tabla de Contenido
La Paz: sede de gobierno y centro administrativo y comercial de Bolivia
La Paz es la sede del gobierno de Bolivia y, junto con El Alto, forma la metrópoli donde se concentra la actividad administrativa, comercial y de servicios del país: ministerios y entidades públicas, sedes del sector financiero, gremios empresariales y un comercio dinámico de grandes empresas, pymes y tejido tradicional con creciente presencia digital.
Esa concentración tiene una consecuencia directa en seguridad: donde se toman las decisiones y se mueve el dinero, también se concentran los atacantes. La empresa paceña típica coordina por correo corporativo y mensajería, usa banca electrónica, emite documentos digitales con validez jurídica —reconocidos por la Ley 164 de Telecomunicaciones— y cobra por plataformas de pago. Muchas pymes operan sin equipo de seguridad dedicado: su exposición se concentra en los equipos de uso diario, las cuentas de correo con las que se cierran negocios y los móviles del personal.
La amenaza local: qué están enfrentando las empresas paceñas
La amenaza local tiene nombre y apellido. Durante el primer semestre de 2025, Bolivia lideró América Latina en sistemas industriales comprometidos: el 25% de los computadores de control industrial del país registró amenazas detectadas, por encima de México, Perú, Brasil y Chile, según el análisis de Kaspersky. Y en el sector público, la Fundación InternetBolivia.org documentó brechas en sistemas del gobierno con información sensible de la ciudadanía: al menos 21 sistemas fueron catalogados como críticos por manejar datos personales. Cuando las entidades públicas presentan ese nivel de exposición, el mensaje para el sector privado es claro: nadie está exento por ser «demasiado pequeño para interesar a un atacante».
En el día a día de las empresas de La Paz, los vectores que más se repiten son estos: phishing e ingeniería social por WhatsApp y redes sociales con pretextos de pedidos, pagos y trámites; compromiso de cuentas de correo corporativo por credenciales débiles o reutilizadas; fraude en banca electrónica a partir de equipos comprometidos; ransomware contra empresas con respaldos inexistentes o sin probar; y suplantación de identidad de la empresa ante clientes y proveedores. En una ciudad donde el comercio vive del flujo constante de comunicaciones, un correo comprometido se traduce en operaciones interrumpidas y dinero perdido.
Superficie de ataque por sector en La Paz
No todos los sectores paceños están expuestos de la misma forma. Así se ve la superficie de ataque real:
Financiero. Bajo supervisión de la ASFI: banca electrónica, apps móviles y APIs que manejan el dinero de millones de personas, con la exigencia regulatoria más alta del país.
Fintech y plataformas de pago. El nuevo ecosistema tecnofinanciero nació digital y corre a velocidad de startup, pero ahora debe cumplir obligaciones formales de ciberseguridad bajo el Decreto Supremo 5384 y la Resolución ASFI 540/2025.
Sector público. Ministerios y entidades que tramitan datos de ciudadanos y operan servicios en línea, con brechas ya documentadas en sus sistemas.
Comercio y pymes. El grueso del tejido empresarial paceño: distribuidoras, importadoras y servicios que cobran por transferencias y guardan datos de clientes en sistemas sin respaldos probados. Menos presupuesto de seguridad y, a la vez, uno de los sectores más atacados por ransomware y fraude.
Qué cubre un test de penetración en La Paz
Un test de penetración serio no es un escaneo automatizado: es una simulación controlada de lo que haría un atacante real contra tu operación. El alcance típico incluye:
aplicaciones web y portales. Se prueba la lógica de negocio real: controles de acceso, manejo de sesiones, inyección y APIs. Si tus clientes o tus empleados usan un portal, ahí está tu mayor exposición.
Infraestructura perimetral. Lo que un atacante ve desde internet: servicios expuestos, paneles de administración, VPNs y configuraciones que nadie revisó desde que se instalaron.
Red interna y endpoints. Qué podría hacer un atacante que ya está adentro —por un phishing exitoso o un dispositivo infectado—: movimiento lateral, escalamiento de privilegios y acceso a la información crítica.
Factor humano. Campañas controladas de phishing que miden la preparación real de tu equipo: en nuestra experiencia, la tecnología suele estar mejor que las personas que la operan.
El resultado no es una lista copiada de una herramienta: es tu mapa de exposición con evidencia, priorizado por riesgo real y con recomendaciones prácticas para cerrarlo.
Normativa aplicable: qué exige la regulación boliviana
Seamos honestos: en Bolivia no existe una norma que obligue a todas las empresas a hacer pruebas de penetración. Lo que sí existe, y es verificable, es esto:
Ley 164 de Telecomunicaciones (2011). Su artículo 78 reconoce validez jurídica y probatoria a los documentos digitales y a la firma digital: tus contratos, facturas electrónicas y documentos firmados digitalmente tienen el mismo peso legal que el papel —y la misma necesidad de protegerse. La AGETIC impulsa además la agenda de gobierno electrónico, lo que empuja más trámites y servicios hacia lo digital.
Supervisión financiera (ASFI). Las entidades del sistema financiero operan bajo exigencias de gestión de riesgos que incluyen la seguridad de la información. Un incidente en un banco paceño no es un problema privado: es un riesgo para el sistema.
Nuevo marco fintech (DS 5384 y Resolución ASFI 540/2025). Las Empresas de Tecnología Financiera deben adecuarse a un reglamento que impone obligaciones claras de ciberseguridad, manejo de riesgos y protección y confidencialidad de los datos de los usuarios. Si tu empresa presta servicios financieros con componente tecnológico, este marco te aplica directamente.
Y un dato de contexto: Bolivia aún carece de una ley general de protección de datos personales. Sin un marco claro de notificación ni sanciones predecibles, el daño de una filtración es reputacional, operativo y comercial —y lo absorbe la empresa sola. Probar tus defensas antes de que un tercero las pruebe es, en la práctica, tu única red de seguridad.
Casos y escenarios que vemos en la práctica
Patrones que se repiten en empresas de La Paz y que un test habría detectado antes del incidente:
El correo comprometido. Una empresa comercial descubrió que un atacante llevaba semanas leyendo su correo corporativo cuando un proveedor llamó a preguntar por un «cambio de cuenta bancaria» que nadie había autorizado. El punto de entrada: una contraseña reutilizada en un servicio externo filtrado.
El panel olvidado. Una entidad con servicios en línea tenía su consola de administración accesible desde internet con credenciales débiles, sin revisar desde su implementación dos años atrás. Una prueba manual demostró acceso total en menos de una hora.
La fintech que creció más rápido que sus controles. Una plataforma de pagos con miles de usuarios operaba su API sin límites de tasa ni validación de sesiones en varios endpoints. El negocio funcionaba; la seguridad era una promesa futura. Con el nuevo marco ASFI, ese «después lo arreglamos» tiene fecha de vencimiento.
Solicita tu test de penetración en La Paz con DragonJAR
Si tu empresa opera en La Paz o en El Alto —banca, fintech, sector público, comercio o servicios—, un test adaptado a tu operación muestra con precisión dónde estás expuesto. Incluye informes en español con hallazgos priorizados por riesgo, remediación práctica y re-test para verificar cada corrección.
DragonJAR ejecuta pruebas de penetración para empresas en La Paz y en toda Bolivia, con cobertura remota y presencial. Conoce nuestros servicios de seguridad informática y escríbenos para agendar una llamada de descubrimiento sin costo y definir el alcance recomendado para tu infraestructura.
Al llenar el formulario recibes un diagnóstico inicial de alcance, una propuesta escrita con metodología y tiempos estimados, y una llamada de descubrimiento sin compromiso. El costo de no hacerlo también está documentado: según el Reporte Global sobre Brecha de Habilidades de Fortinet 2025, el 35% de las organizaciones latinoamericanas afirma que los incidentes cibernéticos les costaron más de 1 millón de dólares en 2024. Antes de decidir, pregúntate: ¿cuándo fue la última vez que alguien intentó vulnerar tus sistemas a propósito? ¿Sabes cuántas aplicaciones de tu empresa están expuestas a internet? ¿Tus respaldos están probados o solo existen? Si alguna respuesta te inquieta, hablemos.
Preguntas frecuentes sobre el test de penetración en La Paz
¿Es obligatorio hacer un pentest en Bolivia?
No hay una norma que lo exija para todas las empresas. Pero si operas en el sector financiero o eres una Empresa de Tecnología Financiera, el marco del Decreto Supremo 5384 y la Resolución ASFI 540/2025 te impone obligaciones de ciberseguridad y gestión de riesgos que requieren validación técnica independiente. Para cualquier empresa, además, un informe de pentest es la evidencia más sólida de diligencia ante clientes, socios y aseguradoras.
¿La prueba puede afectar nuestra operación?
El protocolo está diseñado para no interrumpir la operación: ventanas acordadas con tu equipo, exclusiones de sistemas críticos y aviso inmediato ante cualquier riesgo detectado durante la ejecución.
¿Tiene que ser presencial en La Paz o puede ser remota?
La gran mayoría de las pruebas —perimetral, aplicaciones web, APIs— se ejecutan 100% remotas con la misma profundidad. La presencialidad solo se coordina cuando el alcance lo exige, como red interna corporativa o ingeniería social en sitio.
¿Cada cuánto deberíamos repetir la prueba?
Como mínimo una vez al año, y siempre después de cambios significativos: lanzamiento de una aplicación, migración a la nube, incorporación de un proveedor de pagos o adecuación al marco fintech de la ASFI.
¿Qué pasa después del informe?
Tu equipo corrige con las recomendaciones priorizadas y nosotros verificamos cada corrección con re-test hasta confirmar el cierre. Si un hallazgo es grave, te lo comunicamos de inmediato con la evidencia y una recomendación de contención, antes de que el informe final esté listo.
Conclusión: en La Paz, probar es más barato que lamentar
La Paz concentra el gobierno, la banca y el nuevo ecosistema fintech de Bolivia bajo un marco regulatorio que por primera vez exige ciberseguridad de verdad. Con una cuarta parte de los sistemas industriales del país registrando amenazas y brechas documentadas en sistemas del Estado, esperar a que un atacante haga el diagnóstico por ti es la opción más cara. Un test de penetración te da el mapa honesto de tu exposición, con evidencia y un plan para cerrarla. DragonJAR —comunidad activa desde 2001, empresa desde 2012— lo ejecuta con informes en español, re-test ilimitados y cero falsos positivos.