En Guayaquil se presentó la sexta edición del informe Estado Actual de la Ciberseguridad Ecuador 2025, en una jornada que reunió a líderes de Tecnología de la Información y Seguridad de la Información. El evento se desarrolló en un formato interactivo, con espacios de diálogo, análisis y participación activa de los asistentes. Como parte de la jornada, se presentó un asistente virtual de consultas, desarrollado por Digital Mind con tecnología RAG, que permite acceder de forma interactiva a los resultados de la 6ta Encuesta Estado Actual de la Ciberseguridad.
Oswaldo Bravo, CEO de Stratos Asesores, presentó algunos de los hallazgos de la encuesta, que consta de 19 preguntas. Durante su intervención, abordó temas relacionados con las principales iniciativas de ciberseguridad previstas para 2025, los factores que impulsan el desarrollo e inversión en esta área, los presupuestos asignados, y el aporte de las iniciativas de seguridad al negocio. También se refirió al estado de implementación de la Ley de Protección de Datos Personales, señalando que, según los resultados, el 39% de las empresas cuenta con una estrategia integral que incluye actividades de monitoreo, y dentro de este grupo, el 13% ha incorporado procesos de mejora continua, lo que evidencia la existencia de sistemas de gestión de privacidad de datos en operación, lo que indica la existencia de un sistema de gestión de privacidad de datos personales en funcionamiento.
Uno de los momentos destacados fue la intervención del Superintendente de Protección de Datos Personales, Fabrizio Peralta, quien abordó temas relacionados con el cumplimiento de la Ley de Protección de Datos Personales y respondió inquietudes de los asistentes. Durante su exposición, expuso las acciones impulsadas por la Superintendencia, entre ellas, el fortalecimiento institucional mediante cooperación internacional. Explicó que la protección de datos trasciende fronteras, por lo que es necesario establecer vínculos con otras autoridades. Actualmente se han suscrito convenios con Argentina y Uruguay. Además, informó que el 28 de enero se solicitó formalmente la adhesión de Ecuador como miembro observador al Convenio 108 del Consejo de Europa, y se trabaja conjuntamente con la Cancillería para avanzar en el proceso de incorporación a este instrumento.
Además, se mencionó que, conforme a lo dispuesto en el reglamento, la Superintendencia elaborará anualmente un plan de auditorías, adaptado a las características y niveles de riesgo de cada sector, como salud, telecomunicaciones, educación o retail.
Respecto al registro de bases de datos previsto en la ley, anunció que su regulación será abordada el próximo año, considerando los retos operativos que implica. En relación a las denuncias, recordó que la Superintendencia recepta únicamente denuncias formales cuando los ciudadanos consideran vulnerados sus derechos; no se tramitan denuncias anónimas ni reclamos realizados en redes sociales.
Mesas de trabajo: análisis colaborativo de los hallazgos
Durante la jornada, los participantes trabajaron en mesas de discusión para analizar los resultados de la encuesta, identificar oportunidades de mejora y compartir experiencias sobre las prácticas de seguridad en las organizaciones ecuatorianas.
Rol de la alta dirección en la ciberseguridad
En esta mesa se desarrollaron algunas observaciones de interés: En muchas pequeñas y medianas empresas, donde no existe un CISO formal, las responsabilidades de ciberseguridad recaen en el personal de infraestructura, operaciones IT o el CIO. El desafío es que estos líderes técnicos puedan comunicar de forma clara y asertiva a la alta dirección los riesgos y las necesidades de inversión. Se enfatizó la necesidad de que los directorios comprendan el impacto potencial de una interrupción operativa derivada de un incidente de seguridad, afectando la continuidad y estabilidad financiera de la organización.
La ciberseguridad debe asumirse como un componente preventivo estratégico. Un diagnóstico adecuado permite priorizar los activos críticos y sustentar la solicitud de recursos ante la alta dirección, orientados a fortalecer capacidades de prevención, detección y respuesta.
Aumento de amenazas, ransomware y fuga de datos
El ransomware se consolida como la amenaza más preocupante (73%), seguido por la fuga de datos (69%), lo que obliga a repensar las estrategias de respuesta y preparación.
Luis Aguas, líder de Producto de Cirión, subrayó que, aunque el conocimiento técnico es esencial, persisten brechas en la implementación de controles avanzados. En esta esa se presentaron las siguientes conclusiones:
Se destacó la importancia de realizar simulaciones que permitan validar la efectividad de los controles establecidos. Muchas vulnerabilidades surgen en escenarios no previstos, elevando el riesgo de ataques.
Además, el uso creciente de inteligencia artificial introduce nuevos desafíos: colaboradores que, sin plena conciencia de los riesgos, exponen datos sensibles de la empresa a plataformas externas de IA, abriendo puertas a potenciales vulnerabilidades. El phishing, por su parte, continúa siendo un mecanismo frecuente para desencadenar ataques de ransomware.
Por ello, se recalcó la necesidad de integrar la gestión técnica con el fortalecimiento de programas de capacitación y concienciación dentro de las organizaciones. Asimismo, se sugirió como buena práctica establecer comités de crisis que, ante incidentes, activen los mecanismos de respuesta definidos, asignando roles y coordinando acciones preventivas y correctivas.
Brechas de habilidades en los profesionales de ciberseguridad
Víctor Vera, gerente de CSIRT de Ondú Cloud, destacó que el desarrollo de habilidades blandas en los equipos técnicos es hoy indispensable. En esta mesa las principales observaciones realizadas fueron que:
Las organizaciones deben fomentar la comunicación interna, ofrecer charlas, capacitaciones y promover el uso de terminología estandarizada comprensible para todo el equipo.
Los profesionales de ciberseguridad requieren habilidades de comunicación para interactuar en todos los niveles organizacionales, actuar como negociadores y transmitir los riesgos de forma comprensible para el negocio. Una de las barreras identificadas es que muchos CISOs aún poseen perfiles altamente técnicos, lo que limita su capacidad de hablar el lenguaje estratégico del negocio.
Finalmente, se subrayó que la atracción de talento en ciberseguridad debe considerar no solo las competencias técnicas, sino también la capacidad de adaptación, el interés y pasión por la ciberseguridad y la visión de desarrollo a largo plazo.
Además, generar equipos estables requiere ofrecer condiciones favorables de trabajo, beneficios y oportunidades de crecimiento profesional.
