Posgrado  /  Blog  /  Ciberseguridad en el perú: entre la norma y la capacidad de responder

CIBERSEGURIDAD EN EL PERÚ: ENTRE LA NORMA Y LA CAPACIDAD DE RESPONDER

14 Octubre, 2026
1 / 1
❮ ❯

Por: Amparo Sauñe Torres

Docente Escuela Posgrado UNW

Solo faltaba enviar el formulario. Los documentos estaban listos y el plazo vencía ese día, pero el sistema dejó de responder. Un ataque cibernético puede provocar una interrupción así y frustrar una gestión urgente. En esa circunstancia, para quien espera frente a la pantalla, la ciberseguridad tiene poco de abstracto: necesita que el servicio vuelva. ¿Están nuestras instituciones preparadas para hacerlo posible?

Cada vez dependemos más de los servicios digitales para resolver asuntos cotidianos. En el cuarto trimestre de 2024, el 58.4 % de los hogares peruanos tenía acceso a internet y, durante ese año, se registraron, en promedio, 442 pagos digitales por adulto. Detrás de esas cifras hay compras, trabajo y trámites. Basta que un servicio deje de funcionar para que algo que parecía sencillo, como pagar una cuenta, se convierta en un problema.

A veces, todo comienza con un mensaje que parece venir del banco. En realidad, es un engaño para robar contraseñas o datos personales: eso es el phishing. Kaspersky, empresa especializada en ciberseguridad, informó que el 19.06 % de sus usuarios en el Perú se encontró con intentos de este tipo en 2024. La cifra no representa a toda la población ni significa que esas personas hayan caído en el engaño, pero muestra la exposición de esos usuarios a estas amenazas.

Pero ¿qué tan preparado está el Perú? El Índice Global de Ciberseguridad 2024 de la Unión Internacional de Telecomunicaciones le otorgó 83,74 puntos. El país alcanzó el máximo de 20 puntos en medidas legales, pero obtuvo 13,51 en medidas técnicas y 15,16 en desarrollo de capacidades. Aunque estos resultados no indican cómo responderá cada institución ante un ataque, muestran avances desiguales y plantean una pregunta: ¿contamos con las herramientas y el personal preparado para llevar las normas a la práctica?

La comunicación de un incidente ayuda a entender esa diferencia. El Reglamento de la Ley de Protección de Datos Personales exige informar determinados incidentes a la Autoridad Nacional de Protección de Datos Personales, a las personas afectadas y al Centro Nacional de Seguridad Digital, según corresponda.¹ Por su parte, el Reglamento del Marco de Confianza Digital obliga a los proveedores de servicios digitales a notificar a este Centro los incidentes críticos en un máximo de 48 horas desde que toman conocimiento.² Conocer la obligación es apenas el comienzo: mientras corre el plazo, el equipo debe averiguar qué pasó y contener el daño. Si además necesita resolver quién decide y quién comunica, pierde tiempo valioso para atender la emergencia.

Prepararse, significa que cada equipo sepa qué hacer antes de que ocurra un ataque y tenga los medios para hacerlo. Los simulacros permiten comprobarlo. En julio de 2026, el Simulacro de Ataques Cibernéticos reunió a 152 entidades públicas para evaluar su capacidad de respuesta. Estos ejercicios ayudan a identificar cuánto se tarda en detectar una amenaza, qué decisiones se demoran y si es posible mantener los servicios en funcionamiento. Lo que se descubre debe servir para corregir las fallas y volver a probar la respuesta. Algunas mejoras requieren ajustar procedimientos; otras, contar con más personal, herramientas o capacitación. Por eso, las entidades con menos recursos, como muchas municipalidades, necesitan apoyo técnico y económico para convertir lo aprendido en una capacidad real de respuesta.

El Perú cuenta con normas, instituciones y experiencias para avanzar. La prueba llega cuando un ataque obliga a actuar y los servicios de los que dependemos están en riesgo.

Allí, cada minuto cuenta para quien necesita atención, realizar un pago o terminar un trámite. La confianza se sostiene cuando hay una respuesta que llega a tiempo. Esa es la promesa que nuestras instituciones deben estar preparadas para cumplir.

Referencias normativas

¹ Artículo 34 del Reglamento aprobado por Decreto Supremo N.º 016-2024-JUS.

² Artículo 32 del Reglamento aprobado por Decreto Supremo N.º 126-2025-PCM.

Fuentes: