Por Gina Ruiz López, CISA, CISM, miembro de ISACA.
Ejes de análisis
- Gestión del riesgo: el punto de partida
- Preparación, respuesta y recuperación
- Infraestructura crítica y servicios esenciales
- No es posible proteger aquello que no se conoce
- Desafíos para fortalecer la resiliencia
- La alta dirección entra en la conversación
Durante años, la principal pregunta en ciberseguridad fue cómo evitar un incidente. Hoy, la pregunta es otra: ¿están las organizaciones preparadas para continuar operando cuando ocurra un incidente?
La ciberseguridad avanza desde un enfoque centrado en la prevención hacia una mirada orientada a la resiliencia. La nueva Ley de Ciberseguridad en Ecuador puede acelerar ese cambio y convertirse en una oportunidad para ordenar la forma en que las organizaciones identifican riesgos, protegen sus activos críticos y preparan su respuesta ante interrupciones.
La prevención es necesaria, pero no alcanza por sí sola. Una empresa puede contar con controles, políticas y herramientas, y aun así enfrentar un incidente que afecte sus servicios. La diferencia estará en la rapidez con la que pueda detectar el problema, contenerlo, tomar decisiones y recuperar la operación.
Gestión del riesgo: el punto de partida
Uno de los primeros efectos de la Ley será empujar a las organizaciones a mirar con más detalle sus activos críticos. No todos los sistemas tienen el mismo peso para la operación. No todas las bases de datos, aplicaciones, plataformas o proveedores generan el mismo impacto si fallan.
Por eso, la gestión del riesgo debe partir de una pregunta básica: qué necesita seguir funcionando para que la organización mantenga sus servicios esenciales.
Responder esa pregunta requiere entender las dependencias que sostienen la operación: procesos críticos, tecnologías, datos, terceros, plataformas de red, sistemas legados y procesos operativos e industriales cada vez más conectados
Preparación, respuesta y recuperación
Un plan de respuesta que existe solo en un documento aporta poco durante una crisis. La preparación real se prueba cuando los equipos saben qué hacer, quién decide, qué sistemas se recuperan primero y cómo se comunica el incidente dentro y fuera de la organización.
La Ley puede ayudar a que muchas organizaciones evolucionen desde una ciberseguridad centrada principalmente en la prevención hacia una capacidad sólida de resiliencia operativa Detectar temprano, contener el impacto y recuperar servicios debe formar parte de la misma estrategia.
Esto implica revisar los planes de continuidad y recuperación, pero también probarlos. Los ejercicios de simulación, las pruebas de restauración, la definición de roles y la coordinación con proveedores son tan importantes como la tecnología que se implementa.
Cuando ocurre un incidente, el tiempo pesa. La diferencia entre una interrupción contenida y una crisis mayor puede estar en minutos: en la capacidad de aislar un sistema, activar respaldos, escalar decisiones y mantener operativos los servicios más importantes.
Infraestructura crítica y servicios esenciales
La Ley también pone sobre la mesa la protección de infraestructuras críticas y servicios esenciales. La continuidad de estos servicios depende de la capacidad de las organizaciones para identificar y proteger los activos que sostienen sus operaciones.
La integración entre tecnologías de información (IT) y tecnologías operacionales (OT) ha incrementado las dependencias entre sistemas digitales y procesos físicos. Como resultado, un incidente de ciberseguridad puede generar efectos que van más allá de la información y afectar directamente la operación.
Esta realidad adquiere especial relevancia en organizaciones que prestan servicios esenciales, donde una interrupción puede comprometer actividades económicas, sociales o estratégicas para el país. Identificar esas dependencias se vuelve clave para fortalecer la gestión del riesgo y mejorar la capacidad de recuperación.
No es posible proteger aquello que no se conoce
Una de las mayores debilidades en ciberseguridad sigue siendo la falta de visibilidad. Muchas organizaciones no conocen con precisión todos sus activos, sus conexiones, sus dependencias o los niveles reales de exposición.
El estudio global EY Global Cybersecurity Leadership Insights Study 2026 ofrece datos que ayudan a dimensionar el problema. El informe identifica una “zona de vulnerabilidad” formada por activos con baja visibilidad y menor cobertura de ciberseguridad. Según el estudio, el 36% de los activos organizacionales se encuentra en esa zona.
El mismo reporte señala que siete de cada diez líderes de ciberseguridad consideran que sus riesgos más importantes están en “puntos ciegos”, es decir, áreas donde la visibilidad es insuficiente para administrar adecuadamente la exposición al riesgo. Las categorías más expuestas son los activos OT y físicos (57%), los ecosistemas y terceros (49%), los sistemas y herramientas de inteligencia artificial (47%) y la infraestructura de red (38%).
Considerando el papel que estos entornos desempeñan en la operación de las organizaciones, fortalecer su visibilidad y cobertura de ciberseguridad se vuelve fundamental para mejorar la capacidad de respuesta, recuperación y continuidad ante incidentes.
Desafíos para fortalecer la resiliencia
La evolución del panorama de amenazas y el creciente nivel de interdependencia digital exigen que las organizaciones fortalezcan continuamente sus prácticas de gestión del riesgo de ciberseguridad.
Aunque en los últimos años se han observado avances en protección digital, todavía existen desafíos importantes para consolidar una resiliencia operativa efectiva. Muchas organizaciones concentran gran parte de sus esfuerzos e inversiones en controles preventivos, mientras mantienen niveles de madurez más bajos en detección temprana, gestión de incidentes, continuidad operativa y recuperación de servicios.
También persisten limitaciones para identificar activos críticos, comprender dependencias tecnológicas y operativas, y evaluar el impacto que una interrupción podría generar sobre los procesos esenciales del negocio.
A estos desafíos se suman la complejidad de los entornos tecnológicos, la expansión de los ecosistemas digitales, la dependencia de terceros, la incorporación acelerada de tecnologías emergentes y la escasez de talento especializado en ciberseguridad.
Consolidar la resiliencia requiere combinar gobierno, gestión del riesgo, tecnología, procesos y preparación organizacional. Más que incorporar nuevos controles, el reto consiste en desarrollar mecanismos que permitan anticipar escenarios de interrupción, responder de manera coordinada y restablecer oportunamente las operaciones.
La alta dirección entra en la conversación
La ciberseguridad ha llegado a un punto en el que no puede quedarse únicamente en el área técnica. La Ley puede ayudar a que directorios, gerencias y comités ejecutivos asuman un rol más activo en la supervisión del riesgo digital.
Esto no significa que la alta dirección deba involucrarse en la operación diaria de seguridad. Su papel está en otro nivel: definir prioridades, aprobar recursos, entender impactos, pedir métricas y asegurarse de que la organización tenga capacidad real para responder.
Las preguntas que deberían llegar a la mesa ejecutiva son concretas: qué servicios son críticos, cuánto tiempo puede operar la organización ante una caída, qué proveedores son indispensables, qué sistemas deben recuperarse primero, qué respaldos existen y qué tan probados están los planes de continuidad.
La nueva Ley de Ciberseguridad puede marcar un punto de partida importante para Ecuador. Su impacto dependerá de cómo la adopten las organizaciones. Si se la entiende únicamente como una obligación normativa, su alcance será limitado. Si se la usa para ordenar la gestión del riesgo, mejorar la visibilidad y fortalecer la continuidad, puede elevar la madurez del mercado.
Las organizaciones mejor preparadas serán aquellas que conozcan sus activos críticos, entiendan sus dependencias, prueben sus planes de respuesta y logren mantener sus servicios esenciales aún bajo presión.
En ciberseguridad, la preparación se nota cuando la operación sigue funcionando.
