La ciberseguridad no existe para el gobierno de Sheinbaum

Hay algo difícil de entender en el Segundo Informe de Gobierno de Claudia Sheinbaum: México quiere presentarse como un país que avanza hacia la soberanía tecnológica, desarrolla infraestructura propia, construye satélites, diseña semiconductores, impulsa inteligencia tecnológica, digitaliza trámites y hasta proyecta una supercomputadora de escala latinoamericana. Sin embargo, cuando llega el momento de explicar cómo va a defender todo ese patrimonio digital, el gobierno guarda silencio.

La ciberseguridad prácticamente no existe en el discurso. Y eso, en 2026, ya no puede calificarse como una simple omisión. Es una irresponsabilidad estratégica.

Aparentemente, México está digitalizando al Estado a una velocidad importante, pero no está fortaleciendo al mismo ritmo sus capacidades para defenderlo. Se anuncian plataformas, infraestructura, sistemas, bases de datos y proyectos tecnológicos como si conectarlos a internet fuera suficiente para convertirlos automáticamente en progreso.

Y esto no funciona así.

Cada nuevo sistema digital representa también una nueva superficie de ataque. Cada base de datos es un objetivo potencial. Cada plataforma gubernamental puede convertirse en una puerta de entrada. Cada infraestructura tecnológica estratégica puede ser atacada, saboteada, utilizada para espionaje o secuestrada.

Digitalizar sin proteger es, simplemente, ampliar el territorio que un atacante puede conquistar.

Aquí aparece una de las mayores contradicciones del discurso oficial: se habla de “innovación soberana”, pero poco se dice de ciberdefensa soberana.

¿De qué sirve desarrollar tecnología mexicana si no tenemos capacidad para protegerla?

¿De qué sirve fabricar semiconductores si nuestras cadenas de suministro pueden ser comprometidas?

¿De qué sirve desarrollar satélites si no podemos garantizar la seguridad de sus sistemas y comunicaciones?

¿De qué sirve construir una supercomputadora con capacidades extraordinarias si no se explica cómo será protegida frente al espionaje, el sabotaje, la intrusión o el abuso?

¿De qué sirve digitalizar los servicios públicos si no existe una política de seguridad proporcional a la cantidad de información que el Estado está concentrando?

La respuesta es incómoda: no existe soberanía tecnológica sin ciberseguridad. Y el gobierno ya no está en etapa de prometer.

¿Dónde están los resultados?

El problema es todavía mayor cuando se observa el calendario. Estamos en septiembre de 2026.

El Gobierno Federal presentó el Plan Nacional de Ciberseguridad 2025-2030 y colocó a la Agencia de Transformación Digital y Telecomunicaciones como uno de los actores centrales de esta agenda. Para estas fechas, particularmente en una etapa que contempla la expansión de la estrategia, ya deberíamos estar viendo resultados.

Pero después del Segundo Informe seguimos esperando algo elemental: evidencia.

No discursos. No buenas intenciones. No documentos. Necesitamos resultados.

¿Dónde están los indicadores de cumplimiento del Plan Nacional de Ciberseguridad?

¿Cuántas dependencias federales han mejorado realmente sus capacidades?

¿Cuántos sistemas críticos han sido evaluados?

¿Cuántas instituciones cuentan con capacidades de detección y respuesta?

¿Cuánto se ha invertido?

¿Cuántos especialistas se han incorporado?

¿Qué mecanismos de coordinación están funcionando?

¿Qué ataques se han detectado y contenido?

¿Qué tan preparada está la infraestructura gubernamental para enfrentar un ataque masivo de ransomware?

Y quizá la pregunta más importante: ¿es hoy México significativamente más seguro frente a una amenaza cibernética que cuando comenzó esta administración?

El Segundo Informe no ofrece respuestas suficientemente claras. Y eso es grave, porque un plan nacional de ciberseguridad no se evalúa por la calidad de su redacción, sino por las capacidades que deja instaladas.

Los ciberdelincuentes no esperan al gobierno

Existe, además, una realidad que el discurso político parece olvidar: los ciberdelincuentes no trabajan con calendarios sexenales. No esperan presupuestos, reformas, estrategias institucionales ni el siguiente informe presidencial.

Atacan cuando encuentran una vulnerabilidad.

Mientras México digitaliza trámites, los criminales buscan credenciales. Mientras las instituciones concentran información, los atacantes buscan bases de datos. Mientras se construye infraestructura tecnológica, alguien está buscando una puerta de entrada. Mientras el gobierno habla de inteligencia artificial, supercomputación y soberanía tecnológica, los adversarios también utilizan automatización, inteligencia artificial y nuevas técnicas para atacar.

La amenaza no está esperando a que el gobierno de México termine de organizarse y sea eficiente. Esa es precisamente la razón por la que resulta tan preocupante que la ciberseguridad siga ocupando un lugar marginal en la narrativa gubernamental.

Como ejemplo, sólo durante agosto se registraron en México 29 incidentes de ciberseguridad: 24 correspondieron a ataques directos contra organizaciones y cinco a eventos generales del panorama de amenazas.

El sector más afectado fue el educativo, con 11 ataques que impactaron a diversas universidades autónomas y tecnológicos de entidades como Morelos, Sinaloa y Tijuana. Entre los casos destacaron el robo de fotografías de empleados y datos bancarios, así como la posterior venta de información en foros de hackeo.

Le siguió el sector gubernamental, con 10 incidentes que golpearon a instituciones federales, estatales y municipales, entre ellas la SHCP, la SAF de la CDMX y dependencias de Jalisco, Tabasco y San Luis Potosí. Los ataques estuvieron relacionados principalmente con filtraciones de bases de datos operativas y credenciales expuestas mediante infostealers.

La iniciativa privada contabilizó dos incidentes, entre ellos un ataque de ransomware con filtración de datos contra Sears y Grupo Sanborns, además de la vulneración del ERP del operador móvil Abib.

En el ámbito de los programas sociales se identificó un ataque relacionado con una filtración falsa de la Pensión para el Bienestar de las Personas Adultas Mayores.

A ello se sumaron cinco eventos globales que, si bien no estuvieron dirigidos contra una víctima específica, revelaron el surgimiento del grupo de ransomware Moondancer, enfocado en América Latina; el doxeo de un atacante; la extracción masiva de datos de certificados e.firma —antes FIEL— del SAT, y la comercialización de bases de datos históricas de refrendo vehicular.

La ciberseguridad no puede aparecer después del ataque

El problema no es solamente la ausencia del tema en el discurso. Alguien podría argumentar, con razón, que no todo lo que hace un gobierno tiene que aparecer en un informe presidencial.

Pero aquí no estamos hablando de cualquier asunto.

Estamos hablando de la seguridad de la infraestructura digital del Estado, de los datos de millones de mexicanos, de servicios públicos esenciales y de activos tecnológicos que el propio gobierno presenta como estratégicos.

Si existen avances importantes en ciberseguridad, hay que comunicarlos. Si se han construido capacidades, hay que medirlas. Si se han protegido sistemas, hay que demostrarlo. Y si los avances son insuficientes, entonces hay que reconocerlo.

Lo que no puede ocurrir es que la transformación digital se convierta en una vitrina de logros mientras la seguridad permanece escondida detrás de la puerta.

La ciberseguridad no puede ser el departamento que aparece después de que alguien hackeó el sistema. Debe estar presente antes de construirlo.

La verdadera prueba de la soberanía será un ataque

Aquí está la prueba definitiva.

El Gobierno puede anunciar todos los proyectos tecnológicos que quiera. Puede hablar de soberanía, innovación y transformación digital. Puede inaugurar infraestructura y presentar cifras.

Pero la verdadera prueba de la soberanía tecnológica mexicana no estará en una ceremonia. Llegará el día en que un actor criminal, un grupo patrocinado por un Estado o cualquier otro adversario intente derribar una infraestructura estratégica.

Ese día no importará cuántos proyectos fueron anunciados.

Importará si México puede resistir.

Si puede detectar.

Si puede responder.

Si puede contener.

Si puede recuperarse.

Y si puede mantener funcionando al Estado mientras está bajo ataque.

Eso es ciberseguridad. Eso es resiliencia. Eso es soberanía digital.

Y precisamente eso fue lo que no escuchamos en el Segundo Informe.

Una casa digital sin sistema contra incendios

México está construyendo una enorme casa digital: nuevas plataformas, nuevas redes, nuevas bases de datos, nuevos sistemas, nuevos servicios y nuevas capacidades tecnológicas.

Pero cuando preguntamos dónde están los extintores, las salidas de emergencia, las alarmas y los protocolos para cuando alguien intente incendiarla, la respuesta es prácticamente el silencio.

Eso no es una estrategia de seguridad. Es apostar a que nadie ataque.

Y en ciberseguridad, apostar a que nadie ataque es una estrategia destinada al fracaso.

México no necesita más discursos sobre la importancia de protegerse. Necesita demostrar que está preparado.

El Plan Nacional de Ciberseguridad 2025-2030 no puede convertirse en otro documento institucional que se presenta, se anuncia y después desaparece del debate público. Debe tener presupuesto, responsables, metas, indicadores, auditorías y resultados.

Y esos resultados deberían ser públicos. En caso de que existan.

Porque si el Gobierno Federal quiere presumir que está construyendo un México más digital, también debe aceptar la obligación de demostrar que está construyendo un México más seguro.

Hasta ahora, el mensaje del Segundo Informe parece ser otro: mucho entusiasmo por construir el futuro digital y muy poca información sobre quién va a defenderlo.

Y esa no es una diferencia menor. Es una gran vulnerabilidad.

México no puede pretender convertirse en una potencia tecnológica mientras mantiene a la ciberseguridad relegada a un segundo plano. La verdadera soberanía no se demuestra únicamente por la capacidad de un país para desarrollar y adoptar tecnología propia, sino también por su capacidad para protegerla, defender su infraestructura estratégica y evitar que actores externos puedan comprometerla o utilizarla en su contra.

* Víctor Ruiz. Fundador de SILIKN | Emprendedor Tecnológico | Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro | Líder del Capítulo Querétaro de OWASP | CompTIA Security+ ce Certification | CyberOps Associate (CCNA CyberOps) | NIST Cybersecurity Framework 2.0 Certified Expert (CSFE) | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker & Cybersecurity Analyst.

X: https://x.com/victor_ruiz

Instagram: https://www.instagram.com/silikn

YouTube: https://www.youtube.com/@silikn7599

** Las expresiones emitidas en esta columna son responsabilidad de quien las escribe y no necesariamente coinciden con la línea editorial de Infobae México, respetando la libertad de expresión de expertos.