Azure para logística y comercio exterior: la información de sus clientes, cuidada como tal.

Arcetec es Microsoft Partner e implementa Microsoft Azure para operadores logísticos, agentes de aduana, transportadores y terminales en Colombia. La información que maneja una operación logística no le pertenece del todo: sabe qué importa cada cliente, en qué volumen, a qué precio y por qué ruta, y esa información en manos equivocadas no genera una sanción sino la pérdida de la cuenta. A eso se suma que la operación no tiene horario de cierre, de modo que no existe una ventana de mantenimiento cómoda y una caída se mide en camiones detenidos y en contenedores sin liberar. Sobre Azure esa información se protege por capas: identidad y segundo factor con Microsoft Entra ID, acceso mínimo por rol, redes privadas sin exposición a internet, cifrado en tránsito y en reposo con llaves en Key Vault, detección continua de amenazas, trazabilidad de accesos y respaldo con retención para recuperar a un punto anterior en el tiempo. La infraestructura llega certificada bajo ISO 27001 y SOC, y la disponibilidad se sostiene con redundancia en vez de con un único servidor en la sede. Arcetec ya migró a Azure la infraestructura de una empresa de logística que operaba en servidores propios, con un ambiente híbrido para no interrumpir la operación durante la transición. Acompañamos el diagnóstico, la zona de aterrizaje, la migración por olas, la integración con los sistemas de la operación y el soporte posterior desde Cajicá, Cundinamarca.

Sabe qué importa cada cliente, en qué volumen y a qué precio. Eso en manos equivocadas no es una multa: es perder la cuenta. Y su operación no cierra, así que la ventana de mantenimiento tampoco existe.

Migración por olas con ambiente híbrido: la operación no se detiene.
Redundancia real, no un servidor único en la sede.
Trazabilidad de quién consultó qué tarifa y de qué cliente.

Inventario de la información que maneja una organización del Operación logística, clasificada entre datos sensibles, datos personales e información de negocio, y con el control que protege a cada categoría. No contiene ningún dato real ni simulado.

Tres razones que pesan en una operación que no cierra.

No son las de un folleto de nube: son las tres que se vuelven urgentes cuando la carga no espera y el cliente pregunta dónde está su contenedor.

No hay ventana de mantenimiento — Un puerto o un centro de distribución no cierra los domingos. Por eso la migración va por olas y con ambiente híbrido: la operación sigue mientras se mueve, y cada ola puede revertirse.
Redundancia en vez de un servidor — Cuando todo depende de una máquina en la sede, una falla eléctrica es una operación detenida. La disponibilidad deja de ser una promesa del proveedor de internet y pasa a ser una decisión de arquitectura.
La información no es suya — Maneja datos comerciales de sus clientes: qué mueven, cuánto y a qué costo. El acceso mínimo y la trazabilidad no son burocracia, son lo que le permite responder cuando alguien pregunte quién vio qué.

Qué pasa el día que falla

La pregunta no es si la información es importante. Es qué ocurre exactamente cuando se filtra, se pierde o se queda inaccesible a las tres de la mañana.

Si el sistema se queda inaccesible, no se liberan contenedores, no se emiten documentos y los camiones esperan. El costo no se mide en horas de sistema caído sino en demoras, en bodegaje y en llamadas de clientes. Si la información comercial se filtra, el daño es distinto al de una multa: un competidor sabe qué mueve su cliente y a qué tarifa. Ese cliente no presenta una queja, se va — y no siempre le dice por qué. Si se cifra por un ataque, la única salida real es el respaldo, y no el que existe sino el que alguien probó restaurando. En una operación que factura por movimiento, cada día sin sistema es facturación que no vuelve.

Inaccesible: camiones detenidos, bodegaje y demoras que se cobran
Filtrada: el cliente no reclama, se va con su cuenta
Cifrada por un ataque: solo la devuelve un respaldo probado
Sin trazabilidad: no puede probar quién consultó qué

Un respaldo que nunca se restauró es una suposición — En el diagnóstico no revisamos si tiene respaldo, sino si sirve: cuánto tarda en volver, hasta qué punto en el tiempo, y quién lo ha probado.

Capas que se sostienen entre sí

Ninguna capa es infalible. La pregunta correcta no es cuál es la mejor, sino qué queda en pie cuando una cede.

Las capas de defensa de una implementación en Azure —identidad, acceso mínimo, red privada, cifrado del dato, detección continua y respaldo— cada una con lo que sostiene cuando la anterior cede.

La mayoría de los incidentes reales no empiezan con un ataque sofisticado: empiezan con una credencial compartida entre turnos, un permiso que nadie revocó cuando alguien salió de la empresa, o un servidor con acceso remoto abierto para poder entrar el fin de semana. Contra eso no sirve un control, sirve el orden. El segundo factor detiene la credencial robada; si aun así entran, el acceso mínimo limita a qué clientes alcanza esa cuenta; la red privada quita la puerta desde fuera; el cifrado hace ilegible lo copiado; la trazabilidad permite saber qué pasó; y el respaldo devuelve lo perdido. Ninguna de esas capas viene encendida por defecto en una suscripción nueva. Configurarlas es el trabajo.

Del diagnóstico a la operación vigilada.

La plataforma trae los controles. Encenderlos en el orden correcto, conectarlos con los sistemas de la operación y sostenerlos es el trabajo.

Diagnóstico de seguridad y continuidad — Qué está expuesto hoy, quién tiene acceso a la información de qué clientes, si el respaldo sirve y qué pasa si la sede se queda sin energía. Termina en un documento con alcance y costo, suyo aunque trabaje con otro.
De su servidor a Azure — Inventario, dimensionamiento y migración por olas con ambiente híbrido, que es lo que permite mover una operación sin detenerla. Cada ola con su reversa probada antes de ejecutarse.
Entra ID y acceso por cuenta — Segundo factor y acceso mínimo por rol, de modo que quien atiende a un cliente no ve las tarifas de otro. Con las mismas cuentas corporativas que ya administra.
Conexión con los sistemas de la operación — Lo que hoy vive en su sistema de gestión, en hojas de cálculo y en correos se conecta por interfaces controladas, con registro de qué entró y qué salió. Sin exponer nada a internet.
Analítica de la operación — Indicadores de tiempos, ocupación, costos por movimiento y rentabilidad por cuenta con Microsoft Fabric y Power BI, sobre datos consolidados en vez de sobre el archivo que alguien exportó el martes.
Soporte gestionado — Monitoreo, alertas y atención de incidentes con tiempos comprometidos por escrito. En español y en su misma zona horaria, que en una operación que corre de noche deja de ser un detalle.

Lo que trae la plataforma

Ninguno es un resultado nuestro: son controles que Azure ya tiene auditados y que su operación hereda.

AES-256 — Cifrado en reposo, con TLS en tránsito, activo por defecto
ISO — Infraestructura certificada bajo ISO 27001, SOC y otros marcos
24/7 — Detección de amenazas continua, no una auditoría anual
Punto — Recuperación a un momento anterior en el tiempo, con retención

Información de terceros, con lo que eso implica.

La mayor parte de lo que custodia no es suyo: es la operación comercial de sus clientes. Y los datos del conductor y del transportador sí son datos personales bajo la Ley 1581 de 2012. Todo lo demás se diseña alrededor de esas dos frases.

Cifrado de extremo a extremo — En tránsito y en reposo, con llaves gestionadas en Key Vault. Puede administrar sus propias llaves si su política o la de un cliente lo exige, y un disco copiado no se puede leer.
Acceso mínimo por cuenta — Quien atiende a un cliente no necesita ver las tarifas de otro, y con acceso mínimo no las ve. Las elevaciones temporales caducan solas en vez de acumularse turno tras turno.
Trazabilidad de las consultas — Queda registro de quién consultó o descargó qué y cuándo. Es lo que le permite responderle a un cliente que pregunta quién vio su información, en vez de suponerlo.
Sin puerta abierta al exterior — Los sistemas de la operación se alcanzan por red privada, no por un escritorio remoto abierto para poder entrar el fin de semana. Eso último es como empieza la mitad de los incidentes reales.
Residencia de datos, dicha de frente — Azure no tiene región en Colombia. Los datos quedan en la región que se elija —Brasil, con Chile y México abriendo— y esa decisión se documenta antes de mover nada, no después de firmar.
Continuidad, no solo seguridad — Redundancia y recuperación a un punto anterior en el tiempo. En una operación que factura por movimiento, la disponibilidad es parte de la seguridad y no una conversación aparte.

Qué se despliega, exactamente

La arquitectura de referencia con la que empezamos, y que el diagnóstico ajusta a su caso.

Todo corre en su suscripción, no en una plataforma nuestra. Es una diferencia que importa el día que decida operarlo con su propio equipo, o cambiar de proveedor. Los sistemas de la operación quedan en máquinas o servicios con redundancia, no en un equipo único. Alrededor: lo que recibe de sus contrapartes, la identidad y las llaves, la analítica sobre datos consolidados, y la observabilidad que avisa antes de que llame un cliente. El tráfico no sale a la internet pública: se resuelve por red privada, que es lo primero que se revisa cuando un cliente grande le audita.

Corre en su suscripción, con su facturación y sus llaves
Redundancia en vez de un servidor único en la sede
Red privada: sin escritorio remoto abierto a internet
Analítica sobre datos consolidados, no sobre exportaciones sueltas

Arquitectura de referencia de una Zona de aterrizaje de Azure para una institución de salud: la capa que recibe lo que envía el sistema asistencial, el servicio administrado donde vive el dato clínico, la identidad y las llaves, la analítica de gestión y la observabilidad.

Quién responde por qué

En la nube el cumplimiento es compartido, y casi nadie lo dice con claridad antes de firmar.

Reparto del cumplimiento normativo entre lo que Azure ya trae certificado, lo que se configura durante el proyecto y lo que sigue siendo responsabilidad de la institución de salud, como la autorización del titular para tratar sus datos.

Hay tres dueños distintos de la misma obligación, y confundirlos es lo que produce sorpresas cuando un cliente grande le audita. Azure trae certificado lo que es suyo: la infraestructura auditada y el cifrado. El proyecto configura lo que depende de su caso: los roles por cuenta, la trazabilidad, la redundancia y el respaldo probado. Y hay cosas que siguen siendo suyas pase lo que pase. Los acuerdos de confidencialidad con sus clientes y la política interna sobre quién puede ver qué son suyos: ningún proveedor los asume. Preferimos decirlo en la página a que aparezca en la reunión de cierre.

Preguntas que nos hacen antes de firmar.

Las de seguridad, las de continuidad y las de experiencia, contestadas sin adornos.

¿Se puede migrar sin detener la operación?

Sí, y es la restricción con la que se diseña desde el principio. La migración va por olas y con un ambiente híbrido durante la transición: parte de la operación sigue donde está mientras la otra parte ya corre en la nube, y se avanza cuando cada ola queda verificada. Cada una tiene un plan de reversa probado antes de ejecutarse, no escrito por si acaso. En una operación que no cierra, esto no es una preferencia metodológica sino la condición para poder empezar.

¿Han hecho esto antes en logística?

Sí. Migramos a Microsoft Azure la infraestructura completa de una empresa de logística que operaba en servidores propios y estaba limitada para crecer, modernizando sus aplicaciones críticas y usando un ambiente híbrido para garantizar la continuidad durante la transición. Los resultados registrados fueron una reducción del sesenta por ciento en costos de infraestructura, disponibilidad del noventa y nueve coma nueve por ciento y el triple de capacidad de procesamiento. El cliente está bajo acuerdo de confidencialidad y no lo nombramos en la web, pero en una reunión podemos dar el contexto y las personas que lo ejecutaron.

¿Es más seguro Azure que nuestro propio servidor?

No automáticamente, y quien conteste que sí sin preguntar nada más le está vendiendo. Un servidor propio bien administrado, actualizado, con respaldo probado y acceso controlado puede ser perfectamente seguro. Lo que casi ningún operador logístico puede sostener por su cuenta es la vigilancia continua, el parcheo permanente, la redundancia y las auditorías de terceros, porque eso exige un equipo dedicado. Con Azure esa parte ya está pagada y auditada. Mal configurado, Azure es tan inseguro como cualquier otra cosa.

¿Qué pasa si nos atacan con secuestro de datos?

La única defensa que de verdad funciona contra el cifrado de sus archivos por un atacante es el respaldo, y que alguien lo haya probado restaurando. Por eso el respaldo con retención y la recuperación a un punto anterior son parte del alcance base y no un extra. Las capas anteriores existen para que el ataque no llegue; el respaldo existe para el día en que alguna falle. En una operación que factura por movimiento, cada día sin sistema es facturación que no se recupera, así que en el diagnóstico medimos cuánto tarda su respaldo actual en devolverle a producción.

¿Se integra con el sistema de gestión que ya usamos?

Esa es justamente la pregunta que responde el diagnóstico. La integración se hace contra la interfaz que exponga su sistema, y el esfuerzo depende de qué tan estructurado esté lo que genera hoy. Los sistemas modernos suelen exponer servicios listos; los más antiguos exigen una capa intermedia que extrae y normaliza. Ambos casos son viables y los hemos hecho; lo que cambia es el esfuerzo, y por eso no cotizamos sin diagnosticar.

¿Tienen experiencia con datos de comercio exterior?

Sí, en un proyecto que vale la pena contar completo. Construimos un proceso de extracción y limpieza de datos aduaneros de siete países latinoamericanos para que una multinacional de consumo masivo pudiera entender el comportamiento de importación y exportación de sus productos en la región. El mayor desafío estuvo en los campos de texto libre: las descripciones aduaneras las escriben personas, con abreviaturas y errores de digitación. Un dato importante para esta página: ese proyecto se desplegó originalmente en otra nube y la infraestructura se quedó corta para el volumen. Lo decimos porque es la razón por la que hoy dimensionamos antes de elegir plataforma, y porque omitirlo daría a entender que corrió en Azure.

¿Cuánto cuesta y cómo se factura Azure?

Azure se factura por consumo: paga los recursos que enciende y por el tiempo que están encendidos, sin licencia inicial. Nuestra implementación se cotiza como proyecto cerrado, con alcance y precio fijo definidos tras el diagnóstico. Durante el diagnóstico entregamos una estimación mensual del consumo con los números de su caso y montamos control de costos y alertas desde el primer día. La sorpresa de la factura del segundo mes es el problema más común de una migración mal gobernada, y es evitable.

Conocemos el sector, no solo la nube.

Arcetec tiene una línea de consultoría en aduanas, puertos y logística además de la de tecnología. Eso significa que la conversación no empieza explicándonos qué es un manifiesto.

Hablamos su idioma — No somos solo un integrador de nube. Trabajamos también en operaciones aduaneras y portuarias, así que entendemos qué se rompe cuando el sistema se cae a mitad de un despacho.
Partner de Microsoft — El perfil se puede consultar en el directorio oficial. Y cuando una certificación es de la plataforma y no nuestra, lo decimos así.
Nada queda del lado nuestro — Todo se despliega en su nube. El día que quiera operarlo por su cuenta o cambiar de proveedor, no hay nada que rescatar de nosotros.
Se cotiza después de entender — Primero el diagnóstico, después la propuesta con alcance y precio fijos. Quien cotiza una migración por teléfono acaba cobrando la diferencia después.
Soporte en español, hora de Colombia — Un equipo en Cundinamarca que responde en su misma zona horaria, con tiempos comprometidos por escrito.
Sin dependencia de nosotros — El despliegue queda escrito y versionado, no en la cabeza de un consultor. Es lo que permite que su equipo lo entienda y lo mantenga.

Esto también es parte de lo mismo.

Las demás páginas de la línea, para seguir por donde corresponda.

Migración a Azure — Diseño, migración y operación en Azure, con consumo en pesos.
Servidores en la nube — Máquinas virtuales y servidores dedicados en Azure, administrados.
Azure para el sector salud — Datos clínicos protegidos en Azure para IPS, EPS y clínicas.
Azure para logística y comercio exterior — Azure para operadores logísticos, agencias de aduana y transporte.
Licencias de Microsoft — Microsoft 365, Copilot y Azure por CSP, con factura en pesos.

¿Qué pasa si mañana la sede se queda sin sistema?

Un diagnóstico de dos a cuatro semanas le dice qué está expuesto, cuánto tarda su respaldo en devolverle a producción y cuánto cuesta cerrar la brecha. El documento es suyo aunque decida trabajar con otro.

Agende su diagnóstico de seguridad

Cuéntenos dónde corre su operación hoy y qué le preocupa. Le contactamos en menos de un día hábil.

Dos formas de trabajar con nosotros

Trabajamos de dos formas, y esta es una de ellas. Los proyectos de Azure se despliegan en la suscripción del cliente, con su facturación y sus llaves: la infraestructura es suya y nosotros la diseñamos, la migramos y la sostenemos. Nuestros productos propios — CataAI, Cowork Arcetec con Microsoft 365 y Lienzo de Arcetec — funcionan al revés: son un servicio que opera Arcetec sobre su propia nube, con una instancia dedicada por cliente. No hay que administrar nada.