La promesa digital de la 4T choca con la realidad de la ciberseguridad

México atraviesa una paradoja que resulta cada vez más difícil de ignorar: mientras el país acelera su transformación digital, incorpora inteligencia artificial, atrae inversiones vinculadas al nearshoring y amplía la cantidad de servicios que dependen de redes, plataformas y sistemas conectados, su capacidad para proteger ese ecosistema continúa siendo insuficiente.

El problema no es menor ni exclusivamente tecnológico. La propia documentación oficial reconoce que el país enfrenta un escenario complejo y rezagado frente al crecimiento de las amenazas, con vulnerabilidades que alcanzan a la infraestructura crítica y a las instituciones públicas.

Crisis de especialistas en ciberseguridad

Al mismo tiempo, estimaciones de la industria señalan que México necesita alrededor de 83 mil especialistas en ciberseguridad y dispone apenas de unos 6 mil, una brecha que revela que el déficit no se resolverá únicamente con campañas de concientización o cursos de capacitación.

El gobierno federal ha comenzado a plantear una respuesta más estructurada. Su agenda de ciberseguridad hacia 2030 contempla evaluaciones periódicas de vulnerabilidades, monitoreo continuo, el fortalecimiento del Centro Nacional de Operaciones de Ciberseguridad, la identificación de infraestructura crítica, protocolos nacionales para notificar y escalar incidentes y, posteriormente, el uso de inteligencia artificial para anticipar y responder a ataques.

También se plantea capacitar y certificar al personal del sector público. Son objetivos que, en términos administrativos, apuntan en la dirección correcta, pero el desafío consiste en convertirlos en capacidades permanentes y verificables.

Un centro de operaciones no representa por sí mismo una capacidad de defensa si no cuenta con especialistas suficientes, tecnología adecuada, procedimientos probados, autoridad para actuar, presupuesto sostenido y mecanismos que permitan medir sus resultados.

Del mismo modo, incrementar el número de personas capacitadas no equivale necesariamente a disponer de profesionales capaces de investigar una intrusión, contener un ransomware, analizar malware, proteger una infraestructura industrial o responder a un ataque contra una institución crítica.

Esta diferencia entre capacitación y especialización es particularmente importante porque el mercado laboral mexicano muestra una escasez considerable precisamente en los perfiles que requieren mayor experiencia técnica.

Los datos disponibles apuntan a una demanda concentrada en ingeniería de seguridad, operaciones de centros de monitoreo, análisis de vulnerabilidades, gobierno, riesgo y cumplimiento, mientras que la formación universitaria todavía produce una cantidad muy reducida de egresados especializados en comparación con las necesidades proyectadas.

El problema tampoco se limita al número de profesionales. Parte del talento latinoamericano está encontrando oportunidades laborales en Estados Unidos mediante esquemas de trabajo remoto y remuneraciones en dólares, lo que añade presión a un mercado mexicano que ya enfrenta dificultades para formar y retener especialistas.

La dimensión económica del problema tampoco puede ignorarse. El mercado mexicano de ciberseguridad fue estimado en alrededor de 2.8 mil millones de dólares en 2025 y podría acercarse a 4.85 mil millones en 2030, de acuerdo con una estimación citada por el Departamento de Comercio de Estados Unidos. Ese crecimiento refleja una necesidad real de empresas y organizaciones que deben proteger cada vez más información, aplicaciones, servicios en la nube, dispositivos industriales y cadenas de suministro.

El mismo contexto económico que está llevando nuevas inversiones manufactureras al país está aumentando, además, la superficie de ataque: una empresa que llega para integrarse a una cadena internacional no solo necesita infraestructura física y personal, sino también controles de identidad, protección de aplicaciones, seguridad de proveedores, monitoreo y capacidad de respuesta ante incidentes.

El nearshoring una puerta para la sofisticación tecnológica de México

Aquí aparece una de las contradicciones más importantes para la política tecnológica mexicana. El nearshoring puede convertirse en una oportunidad para elevar la sofisticación tecnológica del país, pero también puede aumentar el costo de una vulnerabilidad.

Una interrupción informática en una planta automotriz, una empresa logística, un proveedor de componentes electrónicos o una instalación industrial puede afectar mucho más que los sistemas internos de una organización; puede detener procesos productivos, retrasar entregas y propagarse hacia otras compañías conectadas a la misma cadena.

Los datos disponibles sobre el impacto económico de los incidentes en América Latina muestran precisamente que las interrupciones operativas, los problemas de terceros y la escasez de talento pueden elevar considerablemente el costo de un ataque.

A esta presión se suma la inteligencia artificial, que está modificando tanto las capacidades defensivas como las ofensivas. México ya contempla dentro de su agenda tecnológica objetivos relacionados con inteligencia artificial y formación en tecnologías emergentes, mientras que su estrategia de ciberseguridad plantea utilizar IA para anticipar y responder a ataques a partir de 2028.

Sin embargo, la incorporación de estas herramientas también obliga a resolver cuestiones que van desde la protección de los propios modelos hasta la seguridad de las aplicaciones que los utilizan y el control de los datos con los que operan. No basta, por tanto, con incorporar inteligencia artificial a la administración pública o al sector productivo; también será necesario desarrollar la capacidad técnica para proteger esos sistemas y comprender los nuevos riesgos que generan.

La discusión sobre ciberseguridad también expone un problema institucional. Durante años, las responsabilidades relacionadas con seguridad digital han estado distribuidas entre distintas dependencias, mientras que el país ha avanzado hacia una digitalización mucho más profunda de sus actividades económicas y gubernamentales.

El gobierno actual ha comenzado a ordenar parte de ese panorama mediante una agenda con objetivos concretos para 2026-2030, pero la existencia de una estrategia no garantiza por sí misma una ejecución eficaz. La verdadera prueba estará en indicadores que permitan saber cuántos sistemas críticos han sido evaluados, cuántas vulnerabilidades se han corregido, cuánto tarda una institución en detectar y contener un incidente, cuántos organismos cuentan realmente con capacidades de respuesta y qué ocurre cuando un ataque rebasa las capacidades de una sola dependencia.

Por eso, el balance de la política mexicana de ciberseguridad no debería construirse a partir del número de anuncios, centros inaugurados, convenios firmados o personas capacitadas, sino de la capacidad efectiva del Estado y de las empresas para resistir, detectar y recuperarse de incidentes.

El gobierno tiene ahora una agenda que reconoce buena parte de los problemas y establece objetivos para los próximos años, pero al mismo tiempo enfrenta una brecha de talento de enormes proporciones y una economía que depende cada vez más de sistemas digitales. Esa combinación deja poco margen para convertir la ciberseguridad en una política secundaria o en un asunto que pueda resolverse mediante campañas ocasionales.

México está construyendo una economía más conectada y pretende convertir la tecnología en uno de los motores de su desarrollo; la cuestión decisiva para los próximos años será determinar si consigue desarrollar al mismo ritmo las instituciones, profesionales, inversiones y capacidades operativas necesarias para protegerla.

El éxito de esa estrategia no se medirá por lo que el gobierno anuncie que hará de aquí a 2030, sino por la capacidad que exista entonces para responder cuando inevitablemente ocurra el siguiente ataque.

* Víctor Ruiz. Fundador de SILIKN | Emprendedor Tecnológico | Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro | Líder del Capítulo Querétaro de OWASP | CompTIA Security+ ce Certification | CyberOps Associate (CCNA CyberOps) | NIST Cybersecurity Framework 2.0 Certified Expert (CSFE) | (ISC)² Certified in Cybersecurity℠ (CC) | Cyber Security Certified Trainer (CSCT™) | EC-Council Ethical Hacking Essentials (EHE) | EC-Council Certified Cybersecurity Technician (CCT) | Cisco Ethical Hacker & Cybersecurity Analyst.