El gobierno mexicano se digitaliza, pero debe demostrar que protege los datos ciudadanos
Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon
- La corrección de más de 1,400 vulnerabilidades de Microsoft evidencia los riesgos de una infraestructura tecnológica cada vez más expuesta. En México, los antecedentes de filtraciones, los sistemas obsoletos y las dudas sobre la rendición de cuentas obligan al Gobierno a demostrar que la modernización digital no está dejando desprotegida la información de millones de personas.
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
Mientras las principales empresas tecnológicas refuerzan sus defensas frente a un cibercrimen cada vez más sofisticado, México enfrenta una pregunta incómoda: ¿qué tan protegida está la información que millones de ciudadanos entregan obligatoriamente a las instituciones públicas?
La interrogante cobra relevancia tras el paquete de actualizaciones publicado por Microsoft el 13 de octubre de 2026, en el cual la compañía corrigió más de 1,400 vulnerabilidades en sus productos, al menos 78 clasificadas como críticas. El reporte también señala que el acumulado de fallas identificadas durante el año ya superaba las 4,000.
La magnitud del episodio demuestra que incluso los principales proveedores tecnológicos enfrentan desafíos constantes. Para el Gobierno mexicano, la advertencia es clara: mantener seguros los sistemas públicos exige inversión, personal especializado, protocolos de respuesta y supervisión permanente. No basta con instalar actualizaciones; las dependencias deben identificar los equipos vulnerables, priorizar los riesgos y corregir las fallas oportunamente. Cuando faltan recursos, inventarios confiables o procedimientos adecuados, una vulnerabilidad conocida puede convertirse en una puerta de entrada para los delincuentes.
Guacamaya: una advertencia para la seguridad nacional
México ya conoce las consecuencias de una intrusión de gran escala. En septiembre de 2022 se hizo pública la extracción de aproximadamente seis terabytes de archivos atribuidos a la Secretaría de la Defensa Nacional (Sedena), reivindicada por el colectivo Guacamaya. La filtración expuso comunicaciones internas y documentos sensibles de una institución estratégica, y puso en entredicho la capacidad del Estado para proteger sus propios sistemas.
Cuatro años después, resulta legítimo preguntar qué medidas se adoptaron para evitar que un episodio semejante vuelva a ocurrir. El Gobierno no necesita divulgar detalles técnicos que comprometan la seguridad de sus redes, pero sí debe ofrecer resultados verificables de las auditorías y acciones correctivas.
El riesgo no se limita a los documentos militares. Las bases de datos fiscales, los expedientes médicos y los registros administrativos contienen información que puede utilizarse para cometer fraudes, suplantar identidades o extorsionar a ciudadanos. Cuando los delincuentes combinan datos procedentes de distintas fuentes, pueden construir perfiles detallados de sus víctimas y ampliar las consecuencias de una filtración.
Las posibles exposiciones de información vinculada con instituciones públicas deben investigarse con rigor, distinguiendo entre incidentes confirmados, muestras de procedencia incierta y afirmaciones de grupos criminales que buscan vender supuestas bases de datos. El silencio oficial no demuestra que una filtración sea auténtica, pero tampoco acredita que los sistemas estén protegidos.
Cuando el Estado exige información personal para recaudar impuestos o prestar servicios, también adquiere la obligación de custodiarla adecuadamente. Esa responsabilidad no puede quedar subordinada a la conveniencia política ni a las restricciones presupuestarias.
Modernización digital sin seguridad suficiente
Uno de los problemas estructurales de la administración pública mexicana es la permanencia de equipos antiguos y aplicaciones que requieren mantenimiento o sustitución. El riesgo se agrava cuando las decisiones presupuestarias privilegian la continuidad inmediata de los servicios sobre la renovación de la infraestructura.
Un ejemplo es Windows 10, cuyo soporte ordinario terminó el 14 de octubre de 2025. Los equipos que continúan utilizándolo sin soporte vigente ni actualizaciones extendidas pueden quedar expuestos a vulnerabilidades sin corrección regular.
Ante este escenario, el Gobierno debería informar cuántos equipos institucionales operan con sistemas sin soporte, qué presupuesto se destina a ciberseguridad y qué avances existen en la renovación de las plataformas críticas. La austeridad no consiste en aplazar indefinidamente inversiones indispensables: los ahorros obtenidos mediante la postergación del mantenimiento pueden convertirse en costos mucho mayores por fraudes, interrupciones y recuperación de servicios.
La creación de la Agencia de Transformación Digital y Telecomunicaciones (ATDT) y los planes de simplificación administrativa representan una apuesta relevante del gobierno de Claudia Sheinbaum. Sin embargo, digitalizar trámites y conectar plataformas no equivale automáticamente a proteger la información que circula por ellas. La interconexión facilita los servicios públicos, pero también puede ampliar las consecuencias de una intrusión.
Por ello, el éxito de la transformación digital no debe medirse únicamente por la cantidad de procedimientos digitalizados, sino también por la capacidad de las instituciones para prevenir ataques, detectar intrusiones, contener daños y recuperar operaciones. La ATDT y las dependencias federales deben demostrar que incorporan medidas de seguridad desde el diseño de sus plataformas, supervisan a sus proveedores y cuentan con protocolos efectivos de respuesta.
De lo contrario, México corre el riesgo de modernizar la apariencia de su administración pública mientras conserva vulnerabilidades estructurales.
Protección de datos y rendición de cuentas
La desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), en el marco de la reorganización institucional de 2025, abrió un debate sobre la independencia y eficacia de los mecanismos de supervisión.
El Gobierno defendió los cambios con argumentos de eficiencia y ahorro presupuestario. Sin embargo, reducir costos no demuestra por sí mismo que la protección de los datos personales sea igual o más efectiva. La cuestión fundamental es si las nuevas instancias cuentan con capacidad técnica, facultades suficientes y autonomía operativa para investigar incumplimientos, incluso cuando involucran a otras dependencias gubernamentales.
Los ciudadanos necesitan procedimientos claros para denunciar vulneraciones, conocer sus consecuencias y exigir respuestas. También requieren que las instituciones informen oportunamente sobre incidentes relevantes y orienten a las personas afectadas para reducir los riesgos de fraude o suplantación de identidad.
Para fortalecer la protección digital, el Gobierno debe establecer auditorías independientes de los sistemas críticos, asignar presupuestos identificables para prevención y renovación tecnológica, implementar protocolos obligatorios de respuesta y garantizar investigaciones cuando existan indicios de negligencia administrativa. Asimismo, necesita mejorar la coordinación entre los gobiernos federal, estatales y municipales para compartir alertas y contener amenazas.
Ninguna estrategia puede garantizar que un país quede completamente libre de ataques. Lo exigible es que las autoridades reduzcan los riesgos, limiten los daños y demuestren que actúan con oportunidad y responsabilidad.
La negligencia digital también es una decisión política
La corrección de más de 1,400 vulnerabilidades de Microsoft constituye una advertencia sobre la velocidad con la que evoluciona el escenario de amenazas digitales. México no puede seguir tratando la ciberseguridad como una prioridad temporal que solo adquiere relevancia después de una filtración o una crisis.
La administración de Claudia Sheinbaum debe demostrar que su proyecto de transformación digital contempla algo más que simplificar trámites y modernizar plataformas. Necesita garantizar infraestructura protegida, personal capacitado, recursos suficientes y mecanismos efectivos de rendición de cuentas.
El antecedente de la Sedena debería bastar para entender que las fallas de seguridad pueden comprometer información estratégica y afectar la confianza pública. Cuando el Estado descuida los datos que está obligado a proteger, los costos no se limitan a reparar sistemas: también recaen sobre ciudadanos expuestos al fraude, la extorsión y la pérdida de privacidad.
México no necesita esperar al próximo gran ciberataque para actuar. La pregunta que debe responder el Gobierno federal no es si sus sistemas volverán a ser atacados, sino si estará preparado para defenderlos, limitar las consecuencias y responder ante la ciudadanía.
La transformación digital no se demuestra por la cantidad de datos que el Gobierno consigue reunir, sino por su capacidad para protegerlos.
Para más información, visite: https://www.silikn.net/