Aunque el especialista sectorial en Ciberseguridad del Banco Interamericano de Desarrollo (BID), Santiago Paz, afirmó que en América Latina ha crecido la madurez de la seguridad informática, sobre todo por publicar estrategias nacionales, cuando se cumplen el ciclo de vida de estas, de tres a cinco años, resulta que el nivel de cumplimiento que han tenido es muy bajo.
“Del dicho al hecho, hay un gran trecho. Si bien 18 países han aprobado una estrategia de ciberseguridad, han enunciado qué es lo que quieren conseguir y cuentan con una política, los indicadores muestran que no todos tienen la capacidad institucional para implementar dichas estrategias”, aseguró Paz en la presentación del informe Ciberseguridad 2025: Vulnerabilidad y desafíos de madurez para reducir brechas en América Latina y el Caribe.
El especialista no se refirió a ningún país en particular. México dio a conocer en diciembre pasado el Plan Nacional de Ciberseguridad a través de la Agencia de Transformación Digital y Telecomunicaciones (ATDT).
En promedio, destacaron en la presentación, se han observado avances en la región con mejoras en los distintos aspectos a evaluar, pero no de manera uniforme en los 30 países latinoamericanos.
Los especialistas concluyeron que prácticamente todos los países latinoamericanos deberían incrementar su inversión en ciberseguridad, fortalecer la colaboración intersectorial, las capacidades operativas y su preparación para gestionar los crecientes riesgos en ciberseguridad.
Índice de temas
Respuesta a incidentes
Otro punto que destacó Paz fue la capacidad de gestión de incidentes de ciberseguridad: 20 países tienen un equipo de respuesta a ciberincidentes a nivel nacional.
Afirmó que es necesario hacer énfasis en su capacidad operativa, si tienen centros de operaciones que estén monitoreando en tiempo real y, particularmente conocer la capacidad de coordinación de gestión de crisis a nivel nacional. Sentenció que sería un gran problema si esos equipos de respuesta no tienen capacidad operativa.
En este rubro, el especialista citó la variable Responsable disclosure, que se refiere a la velocidad en que se puede compartir con la comunidad que se ha sufrido una vulneración o se ha presentado algún problema, para evitar que afecte a otros.
El caso México: hay áreas de oportunidad
Sobre México, el reporte considera diferentes aspectos positivos. Uno de ellos es que la Agencia de Transformación Digital y Telecomunicaciones (ATDT) haya asumido en 2025 varias responsabilidades mediante su recién creada Dirección de Ciberseguridad.
También destaca la creación de centros de respuesta a incidentes cibernéticos como el CERT-MX, manejado por la Guardia Nacional, considerado la primera línea de defensa del país; el CSIRT-Semar-Mx, encargado de gestionar, prevenir y responder a los incidentes de seguridad digital y ciberataques que puedan afectar a la institución, sus operaciones navales y sus infraestructuras críticas; y el CERT de la Secretaría de la Defensa Nacional.
Otro punto a favor de la ciberseguridad en el país es la realización anual de la Semana Nacional de Ciberseguridad y que haya avances en la Estrategia Nacional de Ciberseguridad, además del manejo de crisis y respuesta a incidentes.
A pesar de lo anterior, no todo está bien calificado. Se considera que el país tiene un área de oportunidad en protección de infraestructura crítica y el tema pendiente de la legislación nacional en ciberseguridad.
Grandes desafíos, más allá de la AI
A nivel regional, el reporte detectó que los principales retos en la materia son la calidad del software y la protección de infraestructura crítica o, en lo tocante a talento, en términos generales, 52% de las organizaciones públicas tienen problemas para conseguir profesionales con habilidades en ciberseguridad.
Además, se considera que la inversión en investigación e innovación en ciberseguridad en la región aún es limitada. Por otro lado, la adopción de seguros cibernéticos sigue siendo reducida en América Latina.
En cuanto a la inteligencia artificial (AI por sus siglas en inglés) y las amenazas emergentes, los expertos subrayaron que esta tecnología ha amplificado los riesgos existentes y está introduciendo nuevas vulnerabilidades.
Por ello, se recomienda actualizar tanto la gobernanza, como los estándares y las capacidades para abordar los desafíos de ciberseguridad relacionados con la AI.
Una colaboración de tres años
Realizada por el BID en colaboración con la Organización de Estados Americanos (OEA) y el Global Cyber Security Capacity Centre (GCSCC) de la Universidad de Oxford, la edición 2025 del reporte es la tercera edición que realizan en conjunto.
La responsable de las operaciones internacionales del GCSCC, Carolin Weisser, señaló que “el estudio nos proporciona un punto de referencia completo del nivel de madurez de la ciberseguridad en la región y permite hacer comparaciones respecto a cómo se ha avanzado desde 2016 y 2020, en las dos ediciones previas”.
El informe compara capacidades nacionales aplicando el modelo de madurez de capacidad en ciberseguridad (CMM por sus siglas en inglés) en diferentes países.
El CMM toma en cuenta áreas clave de la ciberseguridad como son política y estrategia; cultura y sociedad; educación, formación y competencias; marcos legales y regulatorios, así como tecnología y estándares.
