La velocidad y contundencia de los ciberataques pone en entredicho los avances en ciberseguridad del primer informe de Sheinbaum
Imagen: AndrejZT | https://www.deviantart.com/andrejzt
Por Víctor Ruiz, fundador de SILIKN, Instructor Certificado en Ciberseguridad (CSCT™), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst y líder del Capítulo Querétaro de la Fundación OWASP.
El Primer Informe de Gobierno de Claudia Sheinbaum presume a la digitalización y la soberanía tecnológica como banderas de un México que aspira a ser potencia regional en innovación. Nuevas instituciones, identidad digital, proyectos espaciales y conectividad parecen dibujar un país que se prepara para el futuro.
Sin embargo, cuando la conversación llega a la ciberseguridad, el discurso se desmorona: lo que se presenta como estrategia es, en realidad, un conjunto disperso de buenas intenciones que no alcanza a responder a la gravedad de los riesgos que enfrentamos.
El gobierno celebra la protección del dominio gob.mx y la instauración de alertas tempranas. También habla de una Política General de Ciberseguridad que aún está en proceso, lineamientos normativos en preparación y un cuestionario diagnóstico que, en el mejor de los casos, sirve como termómetro preliminar.
El problema es que los ciberataques no esperan a que los borradores se conviertan en políticas definitivas. El ransomware, el robo de datos y las intrusiones a infraestructura crítica avanzan en semanas, no en años. Mientras México redacta documentos, los atacantes afinan nuevas técnicas, desarrollan malware más sofisticado y prueban vulnerabilidades en los sistemas gubernamentales y empresariales.
El contraste es brutal: mientras los cibercriminales actúan con precisión quirúrgica y velocidad milimétrica, la respuesta del Estado se mueve con pasos burocráticos. No hay plazos definidos, no hay metas medibles, no hay responsables claros. El resultado es una estrategia lenta, genérica y difusa que difícilmente podrá blindar al país frente al nivel actual de amenaza.
Capacitar a 2,958 jóvenes en programación y ciberseguridad a través de la Escuela Pública de Código es un avance loable, pero marginal. El déficit de especialistas en ciberseguridad en México se mide en decenas de miles. Celebrar cifras tan pequeñas es, en el mejor de los casos, ingenuo; en el peor, un intento de maquillar la falta de visión de largo plazo.
Hablar de soberanía digital y de proyectos espaciales suena grandilocuente, pero carece de sentido si lo básico — la protección de los sistemas, la resiliencia de la infraestructura crítica y la capacitación masiva de talento — sigue en estado embrionario. Es como construir satélites mientras se dejan abiertas las puertas de los servidores gubernamentales.
Un punto importante a señalar es la velocidad de los ciberataques contra México, los cuales tienen las siguientes características:
- Son extremadamente rápidos: se miden en cientos o miles de intentos por segundo a nivel nacional.
- Son constantes: un bombardeo ininterrumpido las 24 horas del día.
- Son crecientes: el volumen y la sofisticación aumentan cada año, impulsados por la automatización, la inteligencia artificial y motivos económicos y políticos.
Frente a este escenario, cualquier política “en borrador” es insuficiente y peligrosa. La amenaza digital es dinámica y permanente; responder con planes a medias equivale a enfrentar un huracán con un paraguas roto.
Hasta ahora, el gobierno no ha buscado una colaboración abierta con la industria ni con especialistas en ciberseguridad en México; no ha convocado mesas de trabajo, ni ha lanzado invitaciones, estudios o investigaciones que permitan un diálogo amplio sobre el tema. Es probable que se apoye en sus asesores habituales, quienes suelen ajustar sus recomendaciones a lo que consideran aceptable para la presidencia, aunque esto no necesariamente responda a las necesidades reales de la ciudadanía, como ha ocurrido en otros ámbitos.
La ciberseguridad debe abordarse de manera integral, considerando la amplitud y diversidad de áreas que implica. Esto requiere conformar equipos multidisciplinarios con perfiles como analistas, instructores, hackers éticos, auditores, especialistas forenses, desarrolladores, programadores, investigadores, psicólogos y abogados, entre otros, de modo que se cubran de manera efectiva los distintos ámbitos de esta disciplina.
En cuanto al diseño de políticas, estas deberían basarse en tres ejes centrales:
Tecnología y actualización de sistemas, invirtiendo en las soluciones más avanzadas disponibles mientras no exista tecnología propia, y asegurando que los sistemas se mantengan actualizados con los parches de seguridad aplicados oportunamente.
Capacitación y concientización, tanto para los empleados del gobierno, sin importar jerarquía, como para la ciudadanía, mediante mecanismos y centros de formación que fortalezcan la cultura de ciberseguridad.
Planes de respuesta y estándares internacionales, con estrategias de gestión de incidentes, planes de recuperación ante crisis y procedimientos alineados con normas como ISO 27001 o marcos de referencia como el NIST.
Estos tres ejes deben desarrollarse de manera simultánea e integral, ya que de lo contrario las políticas perderían efectividad.
Respecto al momento para impulsar estas iniciativas, no cabe duda de que es oportuno, pero más allá de las buenas intenciones, lo que urge es la ejecución inmediata. En ciberseguridad, México va rezagado frente a la velocidad, flexibilidad y capacidad de adaptación de los cibercriminales. El gobierno debe actuar con rapidez, con base en una planificación sólida, análisis profundo y el respaldo de los especialistas disponibles en el país.
De lograrse, estas acciones pueden sentar las bases para la creación de una Ley de Ciberseguridad en México, una norma que lleva años pendiente a pesar de que el país es un blanco constante del cibercrimen. Sin embargo, el tiempo es el factor decisivo: mientras más tardemos en establecer políticas y marcos normativos, mayor será el rezago frente a las tácticas y tecnologías que los criminales ya están aplicando.
El gran pendiente del gobierno de Sheinbaum no está en el discurso, sino en la ejecución. Sin recursos claros, sin gobernanza definida y sin urgencia, la ciberseguridad en México se mantiene en el limbo. El país no necesita diagnósticos interminables ni borradores eternos: necesita acción inmediata, coordinación real y una estrategia que entienda que la amenaza digital no es una posibilidad futura, sino una realidad presente.
Hasta ahora, lo anunciado es apenas un bosquejo. Y en el mundo de la ciberseguridad, los bosquejos no protegen nada.
Para más información, visite: https://www.silikn.com/