Mi camino hacia una ciberseguridad con voz propia

Durante muchos años he entendido la ciberseguridad no solo como un conjunto de controles técnicos, firewalls, monitoreo, políticas o respuesta a incidentes. Para mí, la ciberseguridad también es una forma de proteger la vida cotidiana de las personas, la confianza en los servicios digitales, la información de nuestras familias y la dignidad de nuestros pueblos y sus sueños. Desde mi experiencia como mujer indígena, profesional de ciberseguridad y defensora de derechos digitales, he aprendido que las leyes tecnológicas no pueden construirse únicamente desde escritorios técnicos o jurídicos; deben escuchar también a quienes viven la brecha digital en los territorios.

En junio 2025 me invitaron a ser parte de las mesas técnicas para la elaboración del proyecto de Ley Orgánica para el Fortalecimiento de la Ciberseguridad. Para mí, este espacio no fue solo una reunión técnica: fue una oportunidad para llevar una voz que muchas veces no está presente en la discusión nacional sobre tecnología, seguridad y derechos.

Fundación KAS ha sido parte importante de este proceso, porque me ha ido mentorizando e involucrándome en el desarrollo de políticas y leyes de carácter nacional en Ecuador. Mi experiencia se basa en asesorar en cuanto a leyes en ciberseguridad desde una perspectiva de género y promoción de los derechos colectivos de las comunidades indígenas. En estos espacios he insistido en que la ciberseguridad debe tener rostro humano, enfoque territorial y lenguaje comprensible. No podemos hablar de resiliencia digital si las niñas, niños y adolescentes indígenas no tienen herramientas para reconocer un caso de grooming, ciberacoso, suplantación, estafa digital o exposición indebida de sus datos personales, y más aún si todavía existen desigualdades profundas en conectividad, accequibilidad a dispositivos computacionales, calidad educativa y fortalecimiento de nuestra lengua materna.

Los 10 ejes estratégicos de la ley y los retos para su implementación

La Ley Orgánica para el Fortalecimiento de la Ciberseguridad representa un paso importante para Ecuador, porque incorpora una visión de seguridad digital vinculada a servicios esenciales, infraestructura crítica, protección de datos, educación, coordinación institucional y respuesta a incidentes. Desde una mirada técnica y estratégica, identifico los siguientes ejes clave.

Eje 1: Gobernanza nacional de la ciberseguridad.

La ley aplica principalmente a las entidades del sector público que gestionen servicios esenciales o infraestructura crítica digital; a los prestadores de servicios digitales respecto de los elementos bajo su esfera de control; y a personas jurídicas privadas responsables de infraestructura crítica digital o cuya actividad tenga incidencia directa en la continuidad de servicios esenciales.

Eje 2: Protección de servicios esenciales e infraestructura crítica digital.

Esto incluye sectores como energía, telecomunicaciones, agua, salud, educación, sistema financiero, transporte y otros servicios indispensables. El reto será clasificar correctamente qué es crítico, medir riesgos reales y garantizar continuidad operativa, especialmente en territorios donde una caída de conectividad puede dejar incomunicada a toda una comunidad.

En la práctica, esto implica que bancos, cooperativas, telecomunicaciones, salud, educación, energía, transporte, agua, entidades públicas, gobiernos autónomos descentralizados, plataformas digitales críticas y proveedores tecnológicos deberán revisar sus controles, procedimientos, contratos, capacidades de monitoreo, planes de continuidad, políticas de seguridad y mecanismos de reporte.

Eje 3: Gestión y notificación de incidentes.

La ley establece mecanismos para prevenir, detectar, contener, reportar y recuperar servicios frente a incidentes de ciberseguridad. También plantea la notificación en plazos definidos y la coordinación con el CSIRT Nacional. La notificación debe realizarse sin dilación indebida y, como regla general, dentro de un plazo máximo de 72 horas desde la detección del incidente Cuando el incidente implique una vulneración de seguridad de datos personales, también se deberá observar la Ley Orgánica de Protección de Datos Personales, que fue reformada para incluir la coordinación con la Autoridad de Protección de Datos Personales, el organismo de regulación y control competente, y el CSIRT correspondiente.

Eje 4: Fortalecimiento del CSIRT Nacional y la cooperación con CSIRT sectoriales.

La coordinación nacional estará liderada por el ente rector en ciberseguridad, que tiene la responsabilidad de emitir lineamientos técnicos, formular la Política Nacional de Ciberseguridad, coordinar con autoridades sectoriales y mantener actualizado el Catálogo Nacional de Servicios Esenciales e Infraestructura Crítica Digital. A nivel operativo, el CSIRT Nacional coordinará con los CSIRT sectoriales, órganos de control especializados y organismos internacionales. Esto es clave para que Ecuador pueda responder de forma más ordenada ante ataques, brechas, interrupciones operativas o incidentes que afecten servicios esenciales.

Eje 5: Responsabilidad de los prestadores de servicios digitales y del sector privado.

La ley habla de responsabilidad compartida, medidas técnicas y organizativas, gestión de riesgos, certificaciones, auditorías, protección de datos y puntos de contacto técnico. El reto será que las instituciones públicas y privadas entiendan que contratar nube, plataformas o servicios digitales no significa transferir completamente el riesgo; la seguridad debe gestionarse desde el contrato, la operación y la supervisión.

Eje 6: Evaluación de vulnerabilidades y el hacking ético.

Este punto es estratégico porque reconoce la importancia de probar sistemas con autorización, ética, confidencialidad y finalidad legítima. El reto será profesionalizar este ecosistema, evitar improvisaciones y promover que jóvenes, mujeres y profesionales indígenas también puedan formarse en ciberseguridad ofensiva, análisis de vulnerabilidades, hardening y respuesta técnica.

Eje 7: Educación, protección de datos, seguridad digital y comunicación pública.

La ley incorpora contenidos de ciberseguridad, ética digital, protección de datos, prevención de ciberacoso, grooming, sexting, privacidad y desinformación en el sistema educativo. Además, incluye espacios en medios para programas oficiales sobre derechos y seguridad digital. El reto será transformar estos mandatos en materiales sencillos, inclusivos, interculturales y accesibles, especialmente para niñas, niños, adolescentes, docentes y familias de comunidades indígenas.

Eje 8: Régimen Sancionador

Las multas para servidores o funcionarios públicos van de 1 a 10 salarios básicos unificados en infracciones leves, de 10 a 20 en infracciones graves y de 20 a 40 en infracciones muy graves.

Para entidades de derecho privado o empresas públicas, las multas se calculan sobre el volumen de negocio del ejercicio económico anterior: entre 0,1% y 0,7% para infracciones leves; entre 0,7% y 1% para infracciones graves; y entre 1% y 1,5% para infracciones muy graves.

Eje 9: Leyes reformadas

La ley reforma varios cuerpos normativos relevantes. Entre ellos, la Ley Orgánica para la Transformación Digital y Audiovisual, para incorporar la ciberseguridad como condición habilitante de la transformación digital; la Ley Orgánica de Educación Intercultural, para incluir seguridad digital, ciberseguridad, higiene digital, prevención de riesgos en línea y protección de estudiantes; la Ley Orgánica de Comunicación, para incluir contenidos de derechos y seguridad digital en espacios de tele-educación; el Código Orgánico Integral Penal, para reconocer que las pruebas autorizadas de seguridad no constituyen delito cuando se realicen con consentimiento expreso y fines legítimos; la Ley Orgánica de Telecomunicaciones, para regular servicios de internet satelital e infraestructura crítica digital; y la Ley Orgánica de Protección de Datos Personales, para fortalecer la notificación de vulneraciones de seguridad y coordinación técnica con el CSIRT correspondiente.

Eje 10: Incrementar talento en Ciberseguridad

Construir capacidades, formar talento humano en ciberseguridad, hacking ético, protección de datos, gestión de incidentes, análisis de riesgos, seguridad en la nube, seguridad de infraestructura crítica y seguridad digital educativa.

Esta ley representa un hito histórico para Ecuador. Por primera vez, la ciberseguridad se incorpora con fuerza en la agenda normativa nacional y se conecta con educación, protección de datos, infraestructura crítica, respuesta a incidentes y ciudadanía digital.

Para mí, uno de los avances más importantes es que se haya incorporado la seguridad digital y la ciberseguridad en el ámbito educativo e intercultural, abriendo una puerta para que niñas, niños, adolescentes y jóvenes de pueblos indígenas puedan formarse en prevención de riesgos digitales, protección de datos, higiene digital y uso responsable de la tecnología.

Este logro tiene un significado especial, porque fue posible gracias a mi participación activa en las mesas técnicas y a la insistencia de llevar una mirada con enfoque de género, derechos colectivos y pertinencia intercultural. La ciberseguridad también debe hablar desde los territorios, en nuestras propias palabras y con la participación de nuestros pueblos.

Como profesionales de ciberseguridad invito a mis colegas a colaborar en la concientización, formación y acompañamiento en materia de protección de datos, ciberseguridad y seguridad digital, en los diferentes sectores estratégicos del Ecuador.