Caso documentado
Casa de software
Causas raíz
pocas decisiones de diseño explicaban la mayoría de los hallazgos
Para empresas que crean o compran software · No dictamos cursos
Auditoría de código y desarrollo de software seguro
Revisamos el código, las librerías de terceros que usa y la aplicación en funcionamiento, antes de que salga a producción. Le mostramos las causas que explican los hallazgos, acompañamos a su equipo mientras corrige y volvemos a probar.
Diagnóstico de 30 minutos, sin costo. Le respondemos en horario hábil.
Firmamos el acuerdo de confidencialidad antes de recibir el código. Los informes son suyos.
Pralogy, empresa colombiana de ciberseguridad, audita el software que construye su equipo o su proveedor. Revisamos el código sin ejecutarlo (pruebas estáticas, SAST), las librerías de terceros (análisis de composición, SCA) y la aplicación en funcionamiento (pruebas dinámicas, DAST). Le entregamos los hallazgos agrupados por causa raíz, el plan para corregirlos y el retest de lo corregido.
¿En cuál de estas situaciones está su empresa?
«Vamos a salir a producción y nadie ha revisado la seguridad del código.»
«Le vendemos software a un banco o a un cliente grande, y nos pide evidencia de desarrollo seguro.»
«Un proveedor nos entrega una aplicación y no sabemos qué trae.»
«En cada versión aparecen las mismas fallas.»
Cuéntenos qué le piden y para cuándo. En el diagnóstico de 30 minutos conversamos sobre su aplicación y el requisito que debe atender.
Solicitar diagnóstico de 30 minutos
Diagnóstico de 30 minutos, sin costo. Le respondemos en horario hábil.
Según la Superintendencia Financiera, las entidades vigiladas deben incluir en sus contratos con terceros críticos obligaciones de seguridad de la información y ciberseguridad.
Qué incluye y qué recibe
Informe ejecutivo
Para la gerencia, para su cliente o para el auditor: qué se revisó, qué se encontró y qué tan grave es.
Informe técnico
Para quien corrige. Cada hallazgo trae su severidad, su evidencia y cómo corregirlo.
Hallazgos agrupados por causa raíz
Corregir el origen del problema puede cerrar varios hallazgos a la vez.
Plan de remediación por prioridad
Qué corregir antes de salir a producción y qué puede esperar, en orden de impacto.
Lo que está bien hecho
También le contamos qué controles resistieron.
Remediación acompañada y retest
Su equipo corrige con nuestras horas de acompañamiento. Incluye retest sin costo hasta tres meses después, para verificar lo corregido. Las horas y los plazos quedan en la propuesta.
Cómo lo hacemos
Alcance y reglas por escrito
Definimos repositorios, ambientes y roles. Firmamos el acuerdo de confidencialidad antes de recibir el código.
Revisión del código y sus librerías
Herramientas y un especialista. Buscamos también llaves y contraseñas escritas en el código o en su historial.
Pruebas con la aplicación andando
Con autorización y no destructivas por defecto. Confirmamos, acotamos o descartamos lo que mostró el código.
Informe por causa raíz
Cada hallazgo trae su severidad y cómo corregirlo, agrupado por su origen.
Remediación acompañada y retest
Su equipo corrige con nuestro acompañamiento. En el retest le mostramos qué quedó cerrado y qué sigue pendiente.
Caso real · anonimizado
Lo que encontró una auditoría de código real
Caso anonimizado. Son resultados de esa auditoría, no una garantía para otras organizaciones.
Qué más mostró esa auditoría
La aplicación andando mostró lo que el código no
Las pruebas dinámicas encontraron problemas que el análisis del código no podía ver, entre ellos un entorno de producción paralelo encendido fuera del perímetro protegido.
También lo que estaba bien hecho
Las operaciones de administración que intentamos con roles de menos permisos fueron rechazadas.
Retest con un cierre claro
Volvimos a probar y separamos lo corregido y verificado de lo que quedó con un compromiso de remediación.
Lo que muestran los retests y los clientes que vuelven
- 73%(81 de 111) de los hallazgos cerrados al retest, en 8 retests documentados hasta agosto de 2026
- 74%(29 de 39) de los clientes facturados nos volvió a contratar o tiene más de una factura
El 73% sale de retests de ethical hacking y el 74%, de todos los clientes facturados. No son resultados solo de auditorías de código.
¿Su cliente le exige una prueba o un informe?
Cuéntenos sobre su aplicación y el requisito que debe atender. Con eso definimos el alcance y los entregables de la propuesta.
Diagnóstico de 30 minutos, sin costo. Le respondemos en horario hábil.
Si le vende software a una entidad financiera
Si su software es crítico para un banco, una aseguradora u otra entidad vigilada, su contrato puede traer obligaciones de ciberseguridad: la Superintendencia Financiera le exige a la entidad incluirlas (Circular Básica Jurídica, numeral 3.9). Para verificarlas, le pueden pedir evidencia de cómo desarrolla y prueba su software. Compártanos el requisito o el formato que le pidieron y acordamos el alcance según eso. La auditoría aporta evidencia; la aceptación la decide la entidad.
- Alcance, repositorios, ambientes, roles y fechas por escrito.
- Informe ejecutivo para presentar a la entidad o a su auditor, e informe técnico para su equipo.
- Retest con el resultado de cada hallazgo: qué quedó cerrado y qué sigue pendiente.
- Acuerdo de confidencialidad firmado antes de recibir el código.
Cómo trabajamos
Una mirada externa, con evidencia
Su equipo puede saber mucho de seguridad. Aun así, nadie ve sus propios puntos ciegos: una mirada externa encuentra las causas que se repiten.
Lo que sí prometemos
- Antes de reportar un hallazgo lo confirmamos, y decimos con claridad cuáles demostramos y cuáles no.
- Cada hallazgo trae su severidad y cómo corregirlo.
- Acuerdo de confidencialidad firmado antes de recibir el código. Los informes son suyos.
- Separamos encontrar de arreglar: corrige su equipo o su proveedor, con nuestro acompañamiento.
Lo que no prometemos
- Garantizar que encontraremos todas las vulnerabilidades.
- Entregar la salida de una herramienta como si fuera el informe.
- Escribir las correcciones en su código.
- Ejecutar pruebas destructivas sin acuerdo por escrito.
- Dictar cursos abiertos de desarrollo seguro.
Tres revisiones, porque cada una ve lo que la otra no
En las pruebas que analizamos de 2026, los hallazgos críticos salieron de la revisión del código. Varios dependen de acciones que una prueba no destructiva no ejecuta.
| Revisión | Qué hace, qué encuentra y qué no ve |
|---|---|
| Código (SAST) | Lo leemos sin ejecutarlo, con herramientas y un especialista. Encuentra validaciones que faltan, permisos mal aplicados y llaves o contraseñas escritas en el código o en su historial. No ve cómo quedó configurada la aplicación al desplegarla. |
| Librerías de terceros (SCA) | Revisamos los componentes de terceros que usa su aplicación. Encuentra los que tienen vulnerabilidades conocidas o están sin soporte, y la actualización recomendada. No ve las fallas del código propio. |
| Aplicación en funcionamiento (DAST) | La probamos andando, con autorización, como lo haría un usuario o un atacante. Encuentra configuración, permisos entre roles y ambientes expuestos. No ve lo que una prueba no destructiva no ejecuta ni el código que no alcanza a recorrer. |
SAST, SCA y DAST son siglas en inglés: pruebas estáticas de seguridad, análisis de composición del software y pruebas dinámicas de seguridad.
Quién hace la revisión
La hace nuestro equipo de ingeniería. Pralogy existe desde 2019. Nuestro catálogo de referencia reúne 861 pruebas en 10 dominios. Estas son certificaciones de especialistas del equipo:
- OSWE (Offensive Security Web Expert)
- OSCP (Offensive Security Certified Professional)
- eWPT (eLearnSecurity Web Application Penetration Tester)
- Lead Cybersecurity Professional
Esto mismo, de forma continua
Si su equipo va a publicar algo nuevo, lo podemos probar antes, dentro del acompañamiento: pruebas a lo que cambia y seguimiento de lo pendiente.
Preguntas frecuentes
¿Cuánto cuesta y cuánto tarda?
Depende de cuántas aplicaciones y repositorios hay que revisar, y de su tamaño. Primero conversamos en el diagnóstico de 30 minutos, sin costo. Si desea continuar, le enviamos una propuesta por escrito con el alcance, el costo y el plazo.
¿Pentest o auditoría de código: cuál necesito?
Si tiene acceso al código, la auditoría revisa el código y además prueba la aplicación andando. Si no lo tiene, por ejemplo porque su proveedor no se lo entrega, empiece por un pentest, que prueba sus sistemas como lo haría un atacante.
¿Qué son SAST, SCA y DAST?
Son siglas en inglés de tres revisiones. SAST (pruebas estáticas de seguridad) revisa el código sin ejecutarlo. SCA (análisis de composición del software) revisa las librerías de terceros. DAST (pruebas dinámicas de seguridad) prueba la aplicación en funcionamiento. Vea qué ve cada una.
¿Qué lenguajes y tecnologías revisan?
Cuéntenos su tecnología en el diagnóstico y le confirmamos la cobertura antes de la propuesta.
Ya tenemos un escáner que revisa cada cambio del código. ¿Para qué una auditoría?
El escáner es un buen punto de partida, pero no explica por qué se repiten las fallas. En la auditoría del caso de esta página, un solo ajuste del escáner de secretos explicaba por qué nunca saltó la alarma. Revisamos también la herramienta.
¿Ustedes corrigen el código?
Corrige su equipo o su proveedor, con nuestras horas de acompañamiento en la remediación. Separamos encontrar de arreglar para que quien revisa no se califique a sí mismo. El retest no tiene costo hasta tres meses después y comprueba qué quedó cerrado y qué sigue pendiente. El alcance, las horas y los plazos quedan en la propuesta.
¿Nos va a frenar el lanzamiento?
Le decimos qué corregir antes de salir y qué puede esperar, en orden de impacto. Las fechas de la revisión y del retest quedan en la propuesta.
¿Qué recibe?
Un informe ejecutivo, un informe técnico con la evidencia y la severidad de cada hallazgo, los hallazgos agrupados por causa raíz y un plan de remediación por prioridad. Vea qué incluye y qué recibe.
¿Sirve para responderle a un banco o a otro cliente?
Sí, como evidencia: el informe ejecutivo se puede presentar a su cliente o a su auditor, y el retest muestra qué quedó cerrado. No prometemos aprobar la evaluación de su cliente. Vea qué cambia si le vende software a una entidad financiera.
Nuestro código es confidencial. ¿Cómo lo cuidan y qué necesita aportar mi equipo?
Firmamos un acuerdo de confidencialidad antes de empezar, y los informes son suyos. En el alcance acordamos cómo acceder a los repositorios, los ambientes y los roles, y en qué momentos participa su equipo.
¿Pueden revisar cada versión antes de que salga?
Sí, dentro del acompañamiento: si su equipo va a publicar algo nuevo, lo podemos probar antes. Vea los módulos del acompañamiento.
¿Dictan cursos de desarrollo seguro?
No. Atendemos empresas y organizaciones. No dictamos cursos abiertos.
Hablemos de su aplicación
Cuéntenos qué hace su aplicación, en qué tecnología está y quién le pide la revisión. Es una conversación, no una revisión del código.
Hallazgos agrupados por causa raíz, remediación acompañada y retest sin costo hasta tres meses después.
Qué pasa después: le respondemos en horario hábil para acordar la hora. Si desea continuar, le enviamos una propuesta por escrito con el alcance, el costo y el plazo.
Fuentes
- Superintendencia Financiera de Colombia, Circular Básica Jurídica (C.E. 006 de 2025), Parte I, Título IV, Capítulo V, numeral 3.9, que viene de la Circular Externa 007 de 2018. Consultada el 11 de octubre de 2026. Ver la fuente
- Superintendencia Financiera de Colombia, Carta Circular 014 del 4 de marzo de 2026, que recuerda ese numeral en la Circular Básica Jurídica reexpedida por la Circular Externa 006 de 2025. Ver la fuente
Actualizado el 11 de octubre de 2026.