Austeridad y capacidad selectiva: el dilema tecnológico del Estado mexicano
Imagen: Andrejzt | https://www.deviantart.com/andrejzt
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
Mientras el Gobierno de México sostiene que la austeridad constituye un principio de eficiencia administrativa, la evolución del presupuesto destinado a las Tecnologías de la Información y Comunicaciones (TIC) revela una realidad mucho más compleja. La reducción sostenida de recursos para modernización tecnológica ocurre al mismo tiempo que el Estado depende cada vez más de plataformas digitales para prestar servicios esenciales y enfrenta un entorno en el que la ciberseguridad, la continuidad operativa y la protección de la infraestructura crítica son consideradas asuntos estratégicos.
El problema no se limita al monto del presupuesto. También tiene que ver con la manera en que se distribuyen las capacidades tecnológicas disponibles y, sobre todo, con las prioridades para las que son utilizadas. La evidencia presupuestal y los cuestionamientos derivados de un estudio presentado por la Consejería Jurídica del Gobierno de México plantean una pregunta incómoda: ¿el Estado mexicano realmente carece de capacidades tecnológicas para enfrentar problemas como la delincuencia, las desapariciones y los ciberdelitos, o dispone de ellas, pero las utiliza de manera selectiva?
La información disponible apunta a una contradicción que merece ser examinada con seriedad. Por un lado, distintas instituciones de seguridad y procuración de justicia han atribuido parte de sus limitaciones a la falta de presupuesto, infraestructura, tecnología y personal especializado. Por otro, el propio Estado ha demostrado que cuenta con científicos de datos, licencias de software, infraestructura tecnológica y capacidad de procesamiento masivo para analizar millones de registros digitales cuando existe una determinada prioridad institucional.
Esta diferencia no demuestra por sí misma un uso ilegal de las capacidades tecnológicas del gobierno. Tampoco significa que todo monitoreo de redes sociales constituya espionaje. Sin embargo, sí obliga a cuestionar cuáles son las prioridades que determinan el despliegue de los recursos tecnológicos públicos y si estas corresponden a las necesidades más urgentes de la sociedad.
Menos inversión para modernizar, más dependencia digital
El deterioro presupuestal del sector tecnológico gubernamental resulta particularmente relevante. Para 2026, el presupuesto aprobado para TIC ascendió a 33 mil 395 millones de pesos, una disminución de 1.9% respecto del año anterior. Con ello se acumuló un segundo año consecutivo de reducción, después del recorte de 23% aplicado en 2025, cuando el presupuesto pasó de 44 mil 223 millones a aproximadamente 34 mil 54 millones de pesos.
Más preocupante resulta la composición del gasto. Mientras los recursos destinados a telecomunicaciones aumentaron 13%, principalmente para mantener la operación de las redes gubernamentales, la inversión para el desarrollo y actualización de software cayó 47% y la adquisición de nuevo equipo tecnológico disminuyó 15%.
El desequilibrio tiene implicaciones directas. Menos inversión en software significa, potencialmente, menores capacidades para actualizar sistemas, corregir vulnerabilidades, sustituir tecnologías obsoletas e implementar nuevas herramientas de protección. En un momento en que los ataques cibernéticos contra instituciones públicas son cada vez más sofisticados, reducir precisamente aquellos componentes que permiten modernizar y proteger la infraestructura digital puede incrementar la exposición del Estado.
El fenómeno se observa también en distintas dependencias. Mientras algunas enfrentan reducciones considerables en sus partidas tecnológicas — como el recorte cercano a 85% registrado en informática dentro de la Secretaría de Infraestructura, Comunicaciones y Transportes — , el Gobierno federal ha optado por concentrar capacidades y recursos en la Agencia de Transformación Digital y Telecomunicaciones (ATDT).
La agencia recibió un presupuesto de 3 mil 852 millones de pesos, con un incremento cercano a 28% respecto de su asignación inicial. Entre sus objetivos se encuentra centralizar capacidades tecnológicas, desarrollar software propio mediante la denominada “Fábrica de Software” y reducir 25% el gasto gubernamental en TIC hacia 2030 mediante la sustitución de licencias comerciales.
La centralización puede generar economías de escala y facilitar estándares comunes. Pero también introduce nuevos riesgos. Cuanto mayor sea la concentración de servicios y capacidades críticas en una institución o infraestructura, mayor debe ser la inversión destinada a redundancia, resiliencia y continuidad operativa.
De lo contrario, el ahorro obtenido por la concentración puede terminar creando puntos únicos de falla.
El problema no es solamente cuánto se gasta, sino para qué
Aquí aparece una segunda dimensión del debate. La discusión presupuestal adquiere especial relevancia cuando se contrasta con la capacidad tecnológica que el propio Estado ha demostrado tener para procesar grandes volúmenes de información.
De acuerdo con el estudio presentado por la Consejería Jurídica, el ejercicio habría implicado el procesamiento de alrededor de 22 millones de datos y el análisis de aproximadamente 560 mil cuentas de ciudadanos, periodistas y políticos para identificar patrones de interacción y redes digitales relacionadas con determinadas expresiones críticas.
La magnitud del ejercicio resulta significativa. Una administración capaz de procesar millones de registros, establecer relaciones entre cientos de miles de cuentas, identificar patrones de comportamiento y construir mapas de interacción dispone, evidentemente, de capacidades analíticas considerables.
Esto introduce una contradicción que no puede resolverse simplemente argumentando que existen restricciones presupuestales. Si el Estado tiene capacidad para desarrollar análisis masivos cuando se trata de estudiar la conversación pública, resulta razonable preguntar por qué capacidades similares no se encuentran desplegadas con igual intensidad para enfrentar algunos de los problemas más graves del país.
La cuestión no consiste en afirmar que el análisis de redes sociales sea ilegítimo. Los gobiernos tienen derecho — y en determinados casos incluso la responsabilidad — de identificar tendencias de desinformación, campañas coordinadas o amenazas que puedan afectar la seguridad pública. El problema surge cuando el monitoreo de información pública evoluciona hacia el perfilamiento de ciudadanos y, particularmente, cuando quienes son identificados son periodistas, políticos o personas críticas del gobierno.
Existe una diferencia sustancial entre observar una conversación pública y descargar, almacenar, cruzar, categorizar y relacionar masivamente la actividad de cientos de miles de cuentas. La primera actividad puede formar parte de una estrategia ordinaria de comunicación institucional; la segunda plantea interrogantes adicionales sobre privacidad, proporcionalidad, finalidad y controles.
Por ello, una de las preguntas centrales debería ser qué información fue realmente utilizada, cuál fue su origen, quién tuvo acceso a ella, durante cuánto tiempo fue almacenada, con qué fundamento jurídico se procesó y qué mecanismos independientes supervisaron su utilización.
Decir que una información estaba disponible públicamente en internet no responde por sí solo a estas preguntas. La naturaleza y el impacto del tratamiento de datos dependen también de lo que una institución haga posteriormente con esa información.
Del social listening al perfilamiento político
El llamado social listening no equivale automáticamente a espionaje. Analizar contenidos que los usuarios hacen públicos es una práctica utilizada por gobiernos, empresas, organizaciones y medios de comunicación. Sin embargo, la frontera cambia cuando el objetivo deja de ser conocer tendencias generales y pasa a ser identificar personas, reconstruir relaciones, clasificar grupos o establecer perfiles políticos.
Si para determinar que determinadas cuentas pertenecen a una red coordinada se utiliza información que excede lo públicamente disponible — como metadatos de conexión, direcciones IP, números telefónicos, geolocalización u otros identificadores — , la naturaleza del análisis cambia sustancialmente y requiere controles jurídicos mucho más estrictos.
La preocupación aumenta cuando las personas involucradas ejercen funciones periodísticas, participan en política o simplemente cuestionan públicamente al gobierno. En una democracia, el poder público tiene una responsabilidad reforzada frente a sus críticos. La crítica, incluso cuando es incómoda, agresiva o injusta, forma parte del debate público.
Un Estado no necesita censurar directamente a una persona para producir un efecto inhibitorio. La percepción de que el gobierno puede observar, clasificar y exhibir públicamente a quienes lo cuestionan puede ser suficiente para modificar el comportamiento de otros ciudadanos.
Por ello, la discusión no debería reducirse a determinar si el gobierno tiene derecho a responder a sus críticos. Evidentemente lo tiene. Lo que debe examinarse es si recursos públicos, capacidades analíticas y herramientas tecnológicas del Estado están siendo utilizados de manera proporcional y con una finalidad compatible con el interés público.
La paradoja de la seguridad
La cuestión adquiere una dimensión todavía mayor cuando se observa el contexto de seguridad que enfrenta México.
Las organizaciones criminales utilizan plataformas digitales para reclutar víctimas, cometer fraudes, lavar dinero, intercambiar información y ampliar sus operaciones. Las redes dedicadas a la trata de personas recurren a herramientas digitales para contactar a potenciales víctimas, mientras que los grupos delictivos incorporan tecnologías financieras y sistemas de comunicación cada vez más sofisticados.
Al mismo tiempo, las instituciones encargadas de combatir estos fenómenos continúan enfrentando limitaciones de infraestructura, personal especializado y capacidades tecnológicas.
La contradicción es especialmente dolorosa en el caso de las personas desaparecidas. Miles de familias han tenido que asumir labores de búsqueda con recursos propios, mientras las instituciones públicas enfrentan dificultades para procesar y cruzar información que podría contribuir a localizar a sus seres queridos.
Esto conduce a una pregunta elemental: si existen científicos de datos, infraestructura tecnológica, sistemas de procesamiento masivo y capacidad institucional para analizar millones de registros digitales, ¿por qué esas capacidades no ocupan un lugar central en una estrategia nacional para localizar personas desaparecidas, combatir la trata, perseguir redes criminales digitales, detectar fraudes y seguir el flujo financiero de las organizaciones delictivas?
El problema, por tanto, no es exclusivamente tecnológico. También es político y administrativo.
La experiencia internacional: resiliencia antes que concentración
La manera en que otros gobiernos han abordado la transformación digital ofrece elementos importantes para este debate.
En Estados Unidos, organismos como la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y marcos como FedRAMP han impulsado modelos en los que la continuidad de los servicios depende de arquitecturas distribuidas, redundancia y mecanismos de recuperación. La lógica es sencilla: una falla localizada no debería provocar la interrupción total de un servicio nacional.
Estonia ha desarrollado una de las arquitecturas de gobierno digital más avanzadas mediante X-Road, un modelo de interoperabilidad que evita concentrar toda la información en una única base de datos. La distribución de los sistemas busca reducir los puntos únicos de falla y permitir que distintas instituciones continúen operando aun cuando una parte de la infraestructura presente problemas.
El Reino Unido, por su parte, ha desarrollado Gov.uk bajo una lógica basada en servicios distribuidos y capacidad de recuperación. El principio fundamental es que un error crítico no necesariamente debe traducirse en la desaparición completa de un servicio público.
La diferencia con México no se encuentra únicamente en el volumen de recursos. También reside en la filosofía de diseño.
Las arquitecturas gubernamentales resilientes parten de una premisa: ningún sistema crítico debe depender de un único punto de falla. La continuidad operativa requiere redundancia, sistemas alternativos, enlaces independientes, respaldos y protocolos previamente definidos para responder ante desastres o ataques.
Ciberseguridad: ahorrar hoy puede costar más mañana
Los estándares internacionales también establecen prioridades claras.
La norma ISO/IEC 27001 contempla la necesidad de implementar controles relacionados con continuidad del negocio y recuperación ante desastres, con procedimientos que determinen cómo responder a incidentes y restablecer servicios críticos.
La redundancia en telecomunicaciones constituye otro elemento esencial. Un corte de fibra óptica, una falla en un proveedor o un incidente en un centro de datos no debería provocar automáticamente la caída de los servicios públicos si existen rutas independientes capaces de asumir el tráfico.
El enfoque de ciberseguridad también requiere controlar la información técnica que los sistemas revelan durante un incidente. Mensajes de error excesivamente detallados pueden proporcionar a un atacante información sobre versiones de software, configuraciones o componentes vulnerables.
El Marco de Ciberseguridad del NIST, por su parte, promueve el conocimiento permanente de los activos tecnológicos críticos, la identificación de dependencias y la reducción de puntos únicos de falla. También impulsa arquitecturas Zero Trust, bajo las cuales ningún usuario o dispositivo debe considerarse confiable por defecto y cada acceso debe ser verificado.
A estas medidas debería sumarse una separación clara entre los servicios de gobierno y los mecanismos destinados a comunicar incidentes. Un portal independiente de estatus — por ejemplo, un eventual status.gob.mx — permitiría informar a la población sobre interrupciones, tiempos estimados de recuperación y avances técnicos aun cuando el portal principal estuviera fuera de servicio.
La continuidad de la comunicación pública no debería depender de la misma infraestructura que se encuentra bajo ataque o presenta una falla.
El costo de oportunidad
En este contexto, el debate presupuestal y el debate sobre el uso de capacidades analíticas del Estado terminan convergiendo en un mismo punto: el costo de oportunidad.
Cada peso destinado a una determinada capacidad tecnológica es un recurso que no se utiliza en otra necesidad. Cada especialista que trabaja en un proyecto participa en lugar de otro. Cada infraestructura desarrollada para una finalidad concreta deja de estar disponible para otras prioridades.
Por eso, la pregunta más importante no es únicamente si el Gobierno mexicano tiene capacidades tecnológicas. La evidencia sugiere que sí las tiene, al menos en determinados ámbitos. La cuestión fundamental es cómo las distribuye y qué objetivos considera prioritarios.
Si el Estado puede movilizar recursos para procesar 22 millones de datos y analizar cientos de miles de cuentas con el propósito de identificar patrones de interacción en redes sociales, resulta legítimo exigir una explicación sobre el nivel de capacidad desplegado para localizar desaparecidos, combatir la trata de personas, perseguir ciberdelitos, detectar fraudes o investigar las estructuras digitales y financieras de organizaciones criminales.
La comparación no pretende establecer una equivalencia técnica entre estos problemas. Son fenómenos distintos y requieren herramientas específicas. Pero sí permite cuestionar una posible asimetría en la asignación de capacidades.
La verdadera preocupación aparecería si la tecnología estatal terminara siendo más eficiente para identificar quién critica al gobierno que para proteger a quienes necesitan la intervención del Estado.
Una capacidad tecnológica que debe estar al servicio de la ciudadanía
La transformación digital del Estado no puede medirse por el número de plataformas creadas, la cantidad de datos procesados o el grado de centralización administrativa. Su verdadero éxito debe evaluarse por la capacidad de garantizar servicios disponibles, seguros, transparentes y resilientes.
La austeridad, por sí misma, tampoco constituye una política tecnológica. Reducir costos puede ser necesario en determinadas áreas, pero la reducción presupuestal deja de ser eficiente cuando genera sistemas obsoletos, vulnerabilidades, interrupciones de servicios o dependencia excesiva de una infraestructura centralizada.
El Estado puede ahorrar en tecnología y terminar pagando mucho más por las consecuencias de una falla.
De la misma manera, disponer de sofisticadas capacidades de análisis de datos no es necesariamente positivo ni negativo. Su valor depende de la finalidad con la que se utilizan, de los límites jurídicos que las regulan y de los mecanismos de rendición de cuentas que impiden que sean empleadas arbitrariamente.
México necesita precisamente esa discusión.
La pregunta no es si el gobierno puede defenderse de las críticas. Puede y debe hacerlo dentro del marco democrático. La pregunta es si las capacidades tecnológicas construidas con recursos públicos están siendo utilizadas prioritariamente para resolver los problemas que más afectan a la población.
En última instancia, la verdadera prueba de un Estado no consiste en demostrar que puede saber quién habla mal de él. Consiste en demostrar que puede encontrar a una persona desaparecida, desmantelar una red de trata, perseguir a un delincuente digital, recuperar recursos provenientes del crimen y proteger a una víctima antes de que sea demasiado tarde.
Si el Gobierno de México posee la capacidad tecnológica para procesar millones de datos y construir sofisticados mapas de interacción, también tiene la obligación de explicar por qué esas capacidades no están desplegadas con igual determinación frente a las amenazas que diariamente cuestan vidas, patrimonio y libertad a los mexicanos.
Porque cuando la tecnología del Estado parece ser más eficiente para vigilar la conversación pública que para proteger a la ciudadanía, el problema deja de ser una simple decisión presupuestal o administrativa. Se convierte en un indicador de las prioridades del poder.
Y pocas cosas resultan más preocupantes en una democracia que un Estado con enormes capacidades tecnológicas utilizadas de manera selectiva: fuerte frente a sus críticos, pero insuficiente frente a los criminales y ausente frente a sus víctimas.
Para más información, visite: https://www.silikn.net/