Empresas de ciberseguridad en Colombia: cómo elegir sin equivocarse

Si buscaste «empresas de ciberseguridad en Colombia» habrás encontrado varias listas de «las 10 mejores». Conviene saber de dónde salen: casi todas son directorios comerciales, donde el orden depende de quién paga o de cuántos empleados declara la empresa en su perfil, o son guías escritas por un proveedor que aparece convenientemente en su propia lista. Ninguna de las dos cosas es mala en sí, pero ninguna es una evaluación independiente.

Esta guía está escrita por una de esas empresas —SecPro— y lo decimos de entrada. Lo que sigue es el criterio que nosotros mismos usamos cuando subcontratamos y lo que, por experiencia, distingue a un proveedor serio. Incluye los casos en los que no somos la opción adecuada.

Primero: qué tipo de proveedor necesitas

El error más caro no es elegir mal la empresa, es elegir mal la categoría. En Colombia operan cinco tipos de proveedor y hacen cosas distintas, aunque todos se presenten como «ciberseguridad».

• Seguridad ofensiva (pentesting y Red Team). Te dicen por dónde te pueden entrar. Trabajo por proyecto, con informe. Es lo que necesitas si quieres saber tu nivel real de exposición, si un cliente te exige un pentest o si vas a sacar una aplicación a producción.
• MSSP y SOC gestionado. Monitorean tu infraestructura de forma continua y responden a incidentes. Servicio recurrente con cuota mensual. Es lo que necesitas si no tienes a nadie mirando las alertas a las 3 de la madrugada.
• Consultoría de cumplimiento. Te llevan a certificar ISO/IEC 27001, a cumplir la Circular 007 de la Superintendencia Financiera o el régimen de datos personales. Producen políticas, procedimientos y evidencia para el auditor.
• Integradores y mayoristas. Venden e implantan tecnología de terceros: firewalls, EDR, SIEM, DLP. Su negocio es la licencia; el servicio suele ser el envoltorio.
• Formación. Certifican y entrenan a tu equipo. Es la única categoría que ataca la causa en vez del síntoma, y la que más se posterga.

Un integrador no te va a hacer un buen pentest y una boutique ofensiva no te va a operar un SOC 24/7. Cuando un proveedor dice que hace las cinco cosas igual de bien, normalmente subcontrata cuatro. Preguntar cuál es el negocio principal —y quién ejecuta el resto— ahorra mucho tiempo.

Ocho criterios para comparar, y cómo verificar cada uno

1. Quién hace el trabajo, con nombre y apellido

Es la pregunta que más separa a unos de otros. En la venta te atiende un consultor senior; en la ejecución puede aparecer un practicante. Pide el perfil y las certificaciones de las personas concretas que van a estar en tu proyecto, no del equipo en abstracto, y pídelo por escrito en la propuesta. Un proveedor serio no tiene problema en nombrarlas.

2. Si el «pentesting» es manual o es un escáner con otro nombre

Aquí está el fraude más común del mercado y es fácil de detectar. Un análisis de vulnerabilidades automatizado cuesta una fracción de lo que cuesta un pentest, y hay quien vende el primero al precio del segundo. La diferencia: el escáner devuelve un listado de fallos potenciales, con falsos positivos; el pentest intenta explotarlos de verdad, los encadena y demuestra el impacto.

Cómo lo compruebas: pide un informe de ejemplo anonimizado. Si los hallazgos vienen con texto genérico de herramienta, severidades sin contexto de tu negocio y sin pasos reproducibles ni capturas, es un escaneo. Un informe real explica cómo se encadenaron dos fallos menores para llegar a algo grave, y eso ninguna herramienta lo escribe sola.

3. Que la certificación exista de verdad

Un logo de ISO 27001 en una web no prueba nada: cualquiera lo pega. Lo que prueba algo es el certificado con su número, el ente certificador y el alcance.

Cómo lo compruebas: pide el certificado en PDF y verifícalo en el directorio público del certificador —SGS, Bureau Veritas, ICONTEC, AENOR tienen buscadores en línea—. Mira dos cosas: que esté vigente y, sobre todo, el alcance. Es habitual que la certificación cubra solo un proceso o una sede, no toda la operación. Distingue también el certificado de empresa (ISO 27001, que acredita el sistema de gestión) de las certificaciones de personas (CEH, OSCP, CISSP, CPENT), que acreditan al analista.

4. Presencia legal en Colombia y marco contractual

Un pentest implica acceder sin autorización previa a sistemas ajenos, conducta que en Colombia tipifica la Ley 1273 de 2009, que incorporó los delitos informáticos al Código Penal. Lo que convierte el ejercicio en legal es la autorización escrita del titular de los sistemas. Por eso importa que exista un contrato colombiano, con NIT, acuerdo de confidencialidad y un documento de reglas de enfrentamiento firmado antes de empezar.

Si vas a entregar datos personales, el tratamiento cae bajo la Ley 1581 de 2012 y su autoridad es la Superintendencia de Industria y Comercio. Pregunta dónde se almacenan tus informes y por cuánto tiempo. Un proveedor sin figura jurídica en el país complica la responsabilidad contractual si algo sale mal.

5. Si entiende tu sector regulado

Si eres entidad vigilada por la Superintendencia Financiera, la Circular Externa 007 de 2018 te aplica: expedida el 5 de junio de 2018, añadió el Capítulo V al Título IV de la Parte I de la Circular Básica Jurídica y fijó requisitos concretos —política aprobada por junta directiva, una unidad responsable de ciberseguridad, monitoreo continuo, correlación de eventos tipo SIEM, reporte de incidentes y pruebas de continuidad que simulen ciberataques—. Y un punto que se pasa por alto: la entidad vigilada responde también por los riesgos de sus terceros, así que si eres proveedor tecnológico del sector financiero, esto te alcanza aunque no te vigilen directamente.

Un proveedor que no sabe citar la norma que te aplica va a producir un informe que no te sirve ante el auditor. Pregunta directamente qué numerales cubre el trabajo propuesto.

6. Qué incluye el precio, y en particular el retest

Dos cotizaciones con el mismo número pueden ser muy distintas. Verifica si incluyen: retest después de que corrijas (sin él no sabes si quedó arreglado), informe ejecutivo además del técnico, reunión de presentación de resultados y carta de atestación del alcance probado —el documento que te van a pedir tus propios clientes y tu auditor—.

Desconfía del precio por hallazgo: incentiva inflar el listado con hallazgos triviales. Y desconfía del precio fijo sin haber discutido el alcance: significa que no saben todavía qué van a probar.

7. Referencias de tu tamaño y tu sector

Casi nadie puede dar nombres de clientes de seguridad, y es razonable: forma parte del acuerdo de confidencialidad. Lo que sí se puede pedir es una referencia telefónica de una empresa de tamaño y sector comparables, aunque sea sin nombrarla en la propuesta. Un proveedor con historia la consigue. Que el caso se parezca al tuyo importa más que el logo: proteger a un banco y proteger a una planta industrial con PLC no se parecen en nada.

8. Qué pasa cuando encuentran algo crítico el viernes a las 7 de la tarde

Un buen contrato define un canal de notificación inmediata para hallazgos críticos, sin esperar a la entrega del informe. Pregúntalo explícitamente. La respuesta te dice mucho sobre cómo trabajan.

Señales de alarma

• Garantizan que no te van a atacar. Nadie puede. Quien lo promete está vendiendo tranquilidad, no seguridad.
• Cotizan un pentest sin preguntar el alcance. Sin saber cuántos activos, cuántos roles de usuario y qué tecnología, el número es inventado.
• El informe de ejemplo es una exportación de herramienta. Ver criterio 2.
• Logos de certificación sin número ni alcance verificable. Ver criterio 3.
• Presión por firmar con descuento que vence el viernes. La seguridad no se compra por urgencia comercial.
• No quieren firmar reglas de enfrentamiento. Es la protección de ambas partes; quien la evita no ha hecho muchos proyectos.
• Un solo tipo de solución para todo. Si el diagnóstico siempre acaba en el producto que revenden, el diagnóstico no es un diagnóstico.

Cinco preguntas para la primera llamada

1. ¿Cuál es su negocio principal de los cinco tipos, y qué parte de esta propuesta subcontratan?
2. ¿Quiénes son, con nombre y certificación, las personas que van a ejecutar mi proyecto?
3. ¿Me pueden enviar un informe de ejemplo anonimizado?
4. ¿El retest y la carta de atestación están incluidos en este precio?
5. ¿Qué numerales de la norma que me aplica cubre este trabajo?

Si las cinco se responden sin rodeos, estás hablando con un proveedor serio, sea el nuestro o no.

Dónde encaja SecPro, y dónde no

Somos una firma de seguridad ofensiva y formación: pentesting, Red Team, seguridad de aplicaciones, APIs, cloud, OT/ICS y capacitación. Operamos desde Bogotá para toda Colombia y en ocho países más de la región, con 29 años de trayectoria, certificación ISO/IEC 27001:2022 e ISO/IEC 9001:2015 emitidas por SGS y acreditación como Centro de Formación Autorizado de EC-Council. La explotación en nuestros proyectos es manual, el retest va incluido y emitimos carta de atestación.

Y lo que no hacemos: no operamos un SOC 24/7 ni somos integradores de tecnología. Si lo que necesitas es monitoreo continuo con analistas de guardia permanente, o comprar e implantar un EDR para 2.000 equipos, hay empresas en Colombia mejor preparadas para eso que nosotros y lo honesto es decirlo. También, si tu organización todavía no tiene inventario de activos ni gestión de parches, un pentest te va a producir un informe demoledor y poco útil: ese dinero rinde más empezando por lo básico.

Si lo que buscas sí es seguridad ofensiva, el detalle de alcances, metodología y entregables está en la página de pentesting y pruebas de penetración, y la diferencia con un ejercicio por objetivos, en Red Team y simulación de adversarios.

En resumen

Elige primero la categoría de proveedor y solo después la empresa. Verifica las certificaciones en el directorio del certificador, no en la web del proveedor. Pide un informe de ejemplo: es el único documento que distingue el trabajo manual de un escaneo revendido. Confirma que el retest está incluido. Y exige que te nombren a las personas que van a hacer el trabajo.