Ciberseguridad: el Estado corre detrás de un riesgo que ya es sistémico

La ciberseguridad dejó de ser un asunto “informático” para convertirse en un capítulo de política pública. La digitalización de gobiernos, empresas y servicios amplió la superficie de ataque y, con ella, el costo económico y político de los incidentes. En ese marco, un trabajo presentado en la conferencia LACCEI  sistematiza qué dice la literatura científica reciente sobre cómo responden los Estados: políticas, programas y, sobre todo, educación y conciencia ciudadana. 

El estudio analizó 50 artículos de acceso abierto publicados e indexados en Scopus entre 2020 y 2022. Su método ordena la evidencia a partir de los cinco “pilares” que utiliza la Unión Internacional de Telecomunicaciones (UIT) en su Índice Global de Ciberseguridad: medidas legales, técnicas, organizacionales, desarrollo de capacidades y cooperación. 

Del delito digital a la política de Estado

El punto de partida es conocido: el cibercrimen aprovecha velocidad, conveniencia y anonimato de internet. En la literatura citada aparecen modelos de “crimen como servicio”, con infraestructura tercerizada (nube, hosting), uso de redes privadas virtuales (VPN) y pagos anónimos, lo que reduce barreras de entrada y escala ataques. El resultado es una presión creciente para que organizaciones y gobiernos incorporen ciberseguridad en procesos, tecnología y gestión de personal. 

La distinción conceptual también importa. El trabajo separa “ciberseguridad” —acciones preventivas, correctivas o de monitoreo para preservar confidencialidad, integridad y disponibilidad de la información— de “ciberdefensa”, asociada a capacidades y procedimientos bajo responsabilidad de fuerzas armadas para asegurar sistemas de comando y control y operar en el ciberespacio en contextos militares. Esta frontera, en la práctica, se vuelve porosa cuando el objetivo es infraestructura crítica. 

En ese terreno, la pregunta no es si los Estados deben actuar, sino cómo: con qué instrumentos, qué secuencia y qué población se considera en riesgo.

Qué muestran los datos: liderazgo europeo y foco en el Reino Unido

La revisión encuentra que Europa concentra la mayor cantidad de publicaciones sobre conocimiento ciudadano e implementación de políticas, con énfasis particular en el Reino Unido. El trabajo presenta un recuento de artículos por país y señala que el Reino Unido se destaca por la densidad de producción sobre alfabetización y programas de formación en ciberseguridad. 

En políticas, la evidencia relevada incluye propuestas de gobernanza adaptativa y regulación planificada, mecanismos de evaluación (como la integración de instancias de peer review en programas formativos) y estrategias para desarrollar capacidades cibernéticas como parte de debates internacionales. También aparecen enfoques sectoriales: finanzas, salud, educación, aviación y comercio electrónico. 

La comparación implícita es clara: los países que avanzan no se apoyan en una sola herramienta. Sostienen un paquete de medidas, alineado con los pilares de la UIT: normas, instituciones, capacidades técnicas, formación y cooperación.

El eslabón crítico: formación y cultura de seguridad

El hallazgo más consistente se concentra en el “desarrollo de capacidades”. De los artículos relevados, 15 se enfocan en programas de entrenamiento: módulos para estudiantes universitarios, laboratorios prácticos, integración curricular (redes, criptografía, forense, programación), estrategias de aprendizaje activo y modelos para medir actitudes y conductas frente al riesgo. 

Detrás de esa diversidad aparece una regularidad: la ciberseguridad no se “compra” solo con tecnología. Requiere hábitos y criterios compartidos. El trabajo menciona, por ejemplo, la recomendación de autenticación multifactor (combinación de “algo que se sabe”, “algo que se tiene” y “algo que se es”, como biometría) y resalta el papel de la educación para reconocer amenazas como phishing, malware o robo de identidad. 

Este punto tiene una consecuencia editorial relevante: cuando se discute ciberseguridad, el objetivo no es solo elevar el presupuesto de software o tercerizar servicios. Es construir una “cultura de seguridad” medible, especialmente en organizaciones con alta rotación de personal y en sectores con datos sensibles.

La población vulnerable que la evidencia deja expuesta

La revisión identifica un vacío que, por contraste, funciona como alerta: no se hallaron estudios que presenten planes de entrenamiento orientados a etapas de educación básica, pese a que ese grupo aparece reiteradamente como población vulnerable. La literatura revisada describe interés y exposición temprana de adolescentes a contenidos y riesgos, pero la oferta sistemática de formación formal es limitada. 

En términos de política pública, esto reordena prioridades. Si el eslabón débil es humano —conductas, descuidos, credenciales reutilizadas, respuestas impulsivas a mensajes fraudulentos—, el sistema educativo debería ser un componente de la estrategia nacional, no un anexo.

América Latina: bajo perfil de investigación, alto riesgo operativo

El trabajo incorpora una observación que merece lectura regional: durante el proceso no se identificaron estudios de América Latina sobre las políticas y programas analizados, aun cuando existen reportes de organismos como BID y OEA sobre avances y madurez de capacidades. La ausencia no implica inacción, pero sí sugiere baja traducción de experiencias en producción científica indexada, con impacto en la discusión comparada y en la posibilidad de replicar buenas prácticas. 

En un contexto de digitalización acelerada —servicios públicos, banca, salud, telecomunicaciones—, ese déficit de evidencia publicada dificulta responder una pregunta básica: qué funciona, dónde y con qué costo.