PRESENTACIÓN

La presente síntesis está basada en el “2025 Cybersecurity Report: Vulnerability and Maturity Challenges to Bridging the Gaps in Latin America and the Caribbeanes”, publicado el 18 de diciembre de 2025.

El Informe es un documento de acceso público disponible, a la fecha, solo en idioma inglés. Su contenido es el resultado de una alianza estratégica entre la sección de Ciberseguridad del Comité Interamericano contra el Terrorismo (CICTE) de la OEA, el BID y el Global Cyber Security Capacity Centre de la Universidad de Oxford. Se trata de la tercera edición del estudio, tras las publicadas en 2016 y en 2020 y constituye una herramienta clave para orientar la toma de decisiones y fortalecer la cooperación regional en ciberseguridad, uno de los mayores desafíos en el corto plazo.

De hecho, el año 2025 representa un punto de inflexión para América Latina y el Caribe (ALC). Tras una década de seguimiento bajo el modelo de madurez CMM de la Universidad de Oxford, la región ha pasado de una etapa de «reacción» a una primera fase de «consolidación estratégica». Aunque los niveles de madurez han aumentado de forma equilibrada, la sofisticación de las amenazas —impulsadas por la Inteligencia Artificial— plantea desafíos sin precedentes para la estabilidad económica y la seguridad nacional.

Esta síntesis, que se presenta en forma esquemática, no pretende ser exhaustiva, y, en su elaboración, se han integrado antecedentes obtenidos con apoyo de Inteligencia Artificial para la búsqueda avanzada y organización de la información, mientras que, el enfoque analítico y la validación de contenidos, se realizan conforme a criterios profesionales asegurando su fidelidad respecto del documento original.

 

 

 

SINTESIS DEL INFORME DE CIBERSEGURIDAD EN AMÉRICA LATINA Y EL CARIBE 2025

 

1. Perspectiva General

El informe 2025 marca un hito al analizar una década de evolución en la región. Si bien América Latina y el Caribe (ALC) han mostrado un progreso sostenido y una mejora en los niveles de madurez promedio desde 2020, la región sigue estando altamente expuesta a amenazas digitales complejas debido a brechas estructurales en recursos, talento humano y coordinación técnica.

 

2. Pilares de Evaluación (Modelo CMM)

El estudio utiliza el Cybersecurity Capacity Maturity Model for Nations (CMM) de la Universidad de Oxford, evaluando cinco dimensiones críticas:

▪ Política y Estrategia: Avance en la creación de Estrategias Nacionales de Ciberseguridad (ENC).

▪ Cultura y Sociedad: Nivel de concienciación y confianza de la ciudadanía en el entorno digital.

▪ Educación y Habilidades: Disponibilidad de talento especializado y programas de formación.

▪ Marcos Jurídicos: Legislación sobre cibercrimen y protección de datos.

▪ Tecnología y Estándares: Implementación de controles técnicos y protección de infraestructuras críticas.

 

3. Temas clave

a. Principales Hallazgos e Ideas Clave

▪ Reducción de la Brecha de Madurez: Se observa un desarrollo más equilibrado entre los países de la región. Las naciones que antes estaban rezagadas han comenzado a cerrar la brecha con los líderes regionales.

▪ La Amenaza de la Inteligencia Artificial (IA): El informe identifica a la IA como un factor de doble filo. Mientras mejora la detección, también está siendo utilizada por cibercriminales para ataques de ransomware y phishing mucho más sofisticados y automatizados.

▪ Vulnerabilidad en Infraestructuras Críticas: Sectores como salud, energía, puertos y sistemas fiscales siguen siendo los blancos principales. El informe destaca que la «calidad del software» y la protección de estos activos críticos son áreas de baja madurez.

▪ Impacto Económico del Ransomware: El secuestro de datos sigue siendo la principal amenaza, con un aumento en el modelo de Ransomware-as-a-Service (RaaS), facilitando ataques a gran escala incluso por actores con poca experiencia técnica.

▪ Liderazgo Político como Motor: El estudio demuestra que los países con mayor compromiso político y marcos de gobernanza claros logran mejores resultados y atraen mayor inversión privada en seguridad.

b. Desafíos y Brechas Persistentes

▪ Escasez de Talento: Existe un déficit crítico de profesionales cualificados para cubrir las necesidades tanto del sector público como del privado. La cifra que se entrega sobre la escasez de talento es de 600.000 profesionales.

▪ Fragmentación Institucional: La falta de coordinación entre diferentes agencias gubernamentales y entre el sector público-privado limita la respuesta ante incidentes. El informe plantea que existe una “muralla informativa” donde las empresas privadas (que operan la mayoría de las infraestructuras crítica) no comparten datos por temor a daños reputacionales.

▪ Inversión Insuficiente: A pesar del progreso, la inversión en investigación, desarrollo e innovación (I+D+i) en ciberseguridad sigue siendo baja en comparación con otras regiones globales

c. Amenazas Emergentes (El Factor IA y Cuántico)

El informe 2025 pone especial énfasis en el cambio de paradigma tecnológico:

▪ IA Ofensiva vs. Defensiva: No solo se trata de ataques automáticos; se profundiza en el uso de Deepfakes para fraudes corporativos (BEC – Business Email Compromise) y en la manipulación de algoritmos. La región está rezagada en la creación de «sandboxes» regulatorios para IA segura.

▪ Preparación Post-Cuántica: Aunque parece lejano, el informe sugiere que los países líderes de la región (como Brasil, Chile o México) ya deben empezar a planificar la transición hacia la criptografía resistente al cómputo cuántico para proteger datos estatales a largo plazo.

d. Radiografía de la Madurez por Sectores

A diferencia de informes previos, el de 2025 permite desglosar la madurez no solo por país, sino por vertical:

▪ Sector Financiero: Es el más resiliente y maduro, impulsado por estándares internacionales (como Basilea III y normas locales de Fintech).

▪ Sector Público y Salud: Identificados como los puntos más críticos. La digitalización acelerada de expedientes médicos no ha venido acompañada de cifrado de extremo a extremo en muchos países del Caribe y Centroamérica.

▪ PyMEs: El «eslabón perdido». El informe destaca que el 70% de las pequeñas empresas en ALC que sufren un ataque de ransomware severo no sobreviven financieramente más de 6 meses.

e. El Marco Jurídico y el Convenio de Budapest

Se puede profundizar en la armonización legal:

▪ Adhesión Internacional: Se analiza cuántos países han logrado alinear sus leyes procesales con el Convenio de Budapest. La falta de esta armonización impide que las policías de la región (Interpol/Ameripol) compartan evidencia digital de forma efectiva. 4

▪ Privacidad de Datos: El informe detalla la «oleada» de nuevas Agencias de Protección de Datos Personales inspiradas en el GDPR europeo, pero critica la falta de presupuesto y autonomía técnica de estas agencias en la región.

f. Desafío del Talento Humano (La Brecha de Género)

Un punto sensible en 2025 es la dimensión social:

▪ Déficit de Profesionales: Se estima una falta de más de 600,000 profesionales de ciberseguridad en ALC.

▪ Inclusión: El informe resalta que solo un pequeño porcentaje de los roles de liderazgo en seguridad (CISOs) son ocupados por mujeres en la región, identificando esto como una oportunidad perdida para cerrar la brecha de talento.

g. Economía de la Ciberseguridad

▪ Ciberseguros: El mercado de seguros cibernéticos en ALC es incipiente. El informe analiza las barreras de entrada (primas altas y falta de datos históricos de siniestralidad local).

▪ Costo del Cibercrimen: Se estima que el costo del impacto económico del cibercrimen en ALC representa ya un porcentaje significativo del PIB regional (entre el 1% y 1.5% en algunos escenarios), superando en algunos casos el presupuesto destinado a defensa nacional.

h. Cooperación Regional y Soberanía Digital

▪ Redes de CSIRTs: Se evalúa la eficacia de las redes de respuesta ante incidentes (como la Red de CSIRTs de las Américas). La conclusión es que la cooperación es política, pero a veces carece de protocolos técnicos de respuesta rápida ante ataques transfronterizos.

▪ Dependencia Tecnológica: Se discute la vulnerabilidad de la región al depender de proveedores de infraestructura (nube y hardware) de fuera de la región, lo que plantea dilemas sobre la soberanía de los datos nacionales.

 

4. Obstáculos críticos

De acuerdo con el enfoque del informe del BID y la OEA, sobre la fragmentación institucional y la falta de coordinación, los siguientes puntos clave profundizan las limitaciones y son obstáculo crítico para la región:

a. Desarticulación entre el Sector Público y Privado

El informe enfatiza que la ciberseguridad no es solo responsabilidad del Estado, pero existe una «muralla» informativa. Las empresas privadas (que operan la mayoría de las infraestructuras críticas) no comparten datos sobre ataques por temor a daños reputacionales, y el Estado no ofrece incentivos ni protocolos claros para este intercambio. Esta falta de comunicación permite que un mismo ataque afecte a múltiples actores sucesivamente.

b. Duplicidad de Funciones y Vacíos de Autoridad

En muchos países de la región, las competencias de ciberseguridad están dispersas entre ministerios de defensa, telecomunicaciones, justicia e interior. El informe señala que esta fragmentación genera:

▪ Conflictos de mando durante una crisis nacional.

▪ Ineficiencia presupuestaria, al duplicar esfuerzos técnicos en diferentes agencias en lugar de centralizar un centro de mando nacional fuerte.

c. La «Soledad» de los CSIRTs Nacionales

Aunque se han creado Equipos de Respuesta a Incidentes (CSIRTs), el informe observa que a menudo operan de forma aislada. Falta una integración real con los sistemas judiciales para que un incidente técnico se convierta efectivamente en una evidencia legal. La coordinación se queda en lo técnico y no trasciende a lo operativo-legal.

d. Fragmentación en la Protección de Infraestructuras Críticas (IC)

El informe advierte que cada sector (energía, salud, banca) suele tener sus propios estándares o, en su defecto, ninguno. La falta de un ente rector nacional que dicte normas transversales de seguridad para todas las IC deja «puertas traseras» abiertas. Un atacante puede entrar por el sector menos regulado para saltar a uno estratégico.

e. Debilidad en la Cooperación Transfronteriza

A nivel regional, la fragmentación se traduce en una respuesta lenta ante amenazas que no conocen fronteras. El informe subraya que, si bien existen redes de cooperación (como la Red de CSIRTs de las Américas), la falta de protocolos de comunicación estandarizados y la disparidad legal entre países dificultan la persecución conjunta del cibercrimen en tiempo real.

 

5. Implicaciones en la seguridad y en la defensa

En América Latina (ALC), este impacto se manifiesta en los siguientes ejes estratégicos:

a. La Ciberseguridad como Nueva Frontera de la Soberanía

El informe 2025 deja claro que la soberanía ya no se limita al territorio físico. Para los tomadores de decisiones de alto nivel, esto implica:

▪ Dependencia Tecnológica Extranjera: La región opera mayoritariamente sobre infraestructuras (nubes, cables submarinos y hardware) controladas por potencias externas. En un escenario de conflicto geopolítico global, ALC corre el riesgo de convertirse en un «daño colateral» digital, perdiendo acceso a servicios críticos si estos son desconectados o sancionados.

▪ Ciber-extractivismo de Datos: La falta de madurez en la protección de datos permite que grandes volúmenes de información estratégica de ciudadanos y gobiernos de ALC sean procesados y almacenados fuera de la región, otorgando una ventaja de inteligencia a actores externos.

b. Doctrina de Defensa: Del Espacio Físico al Ciberespacio

El informe subraya la vulnerabilidad de las Infraestructuras Críticas (IC). Desde la perspectiva de Seguridad y Defensa, esto redefine las amenazas:

▪ Guerra Híbrida y «Zonas Grises»: Los adversarios estatales y no estatales están utilizando ciberataques para desestabilizar gobiernos sin disparar una sola bala. Ataques a sistemas 6 electorales, redes eléctricas o registros civiles se consideran ahora actos de agresión que requieren una respuesta coordinada de las fuerzas de defensa.

▪ Militarización del Ciberespacio: Existe una tendencia hacia la creación de Cibercomandos dentro de las Fuerzas Armadas de la región. Sin embargo, la fragmentación institucional mencionada en el informe dificulta la coordinación entre el mando militar y el civil (CSIRTs), dejando flancos abiertos en la defensa nacional.

c. ALC en el Tablero de la Competencia entre Potencias

La región es un escenario de competencia por la hegemonía tecnológica (especialmente entre EE. UU. y China):

▪ Infraestructura 5G y Crítica: La elección de proveedores para redes de nueva generación no es solo una decisión de costo, sino una decisión geopolítica de largo plazo que determina quién tiene la capacidad de influir en la infraestructura de seguridad de la nación.

▪ Desestabilización y Narrativas: El uso de IA para desinformación y operaciones de influencia (propaganda computacional) representa una amenaza directa a la democracia y la cohesión social, factores base de la seguridad interna.

 

6. Conclusiones

El Informe 2025 del BID/OEA deja de manifiesto la “brecha de exposición” que presenta la región. Aunque es más madura que hace 10 años, la velocidad de la innovación criminal (IA, Ransomware) es mayor que la velocidad de nuestros sistemas de defensa.

La alta dependencia de infraestructuras externas (nubes, hardware extranjero) expone a la región al riesgo de ser un “daño colateral” ante conflictos geopolíticos globales.

El uso de ataques digitales para desestabilizar el orden público, influir en procesos electorales o paralizar servicios estatales es una realidad que debería llevar a revisar y redefinir las doctrinas de seguridad y de defensa.

Para el líder estratégico, la ciberseguridad debe ser la confianza digital y la viabilidad de su sistema de seguridad y defensa. El éxito ya no es “no ser atacado”, sino la capacidad de pronta recuperación operativa.

Elevar los estándares de seguridad en los activos físicos digitalizados (redes eléctricas, puertos, aeropuertos, salud, etc.) es una prioridad de la seguridad nacional.

Con todo, el Informe 2025 contiene información actualizada y de relieve, útil para las apreciaciones desde una perspectiva regional y local, en especial, teniendo en cuenta el nivel de sofisticación de las amenazas actuales, especialmente aquellas potenciadas por la Inteligencia Artificial.

 

 

ANEXO:

ANÁLISIS COMPARATIVO: 2020 VS. 2025

1. Evolución de la Madurez General (Modelo CMM)

▪ 2020: La mayoría de los países se encontraban en niveles «Iniciales» o «Formativos» (niveles 1 y 2 de 5). Existía una gran disparidad entre líderes (Chile, Colombia, Uruguay) y el resto de la región.

▪ 2025: Se observa un ascenso hacia niveles «Establecidos» (nivel 3). Lo más notable es la homogeneización: los países con menor desarrollo previo han acelerado su madurez, reduciendo la brecha interna en la región.

2. El Paisaje de Amenazas

▪ En 2020 (Pandemia): El foco estaba en el fraude masivo de baja sofisticación, el phishing oportunista relacionado con el COVID-19 y la vulnerabilidad del teletrabajo improvisado.

▪ En 2025 (Era de la IA): Las amenazas son hiper-personalizadas y automatizadas. El Ransomware ha pasado de ser un ataque técnico a un modelo de negocio criminal (RaaS) altamente profesionalizado. Aparecen los ataques a la integridad de datos mediante IA y los Deepfakes como herramientas de desestabilización política y empresarial.

3. Marcos Legales y Gobernanza

▪ 2020: Muchos países carecían de una Estrategia Nacional de Ciberseguridad (ENC) vigente. Las leyes de protección de datos eran obsoletas o inexistentes en casi la mitad de la región.

▪ 2025: Casi todos los países de ALC cuentan con una ENC de segunda o tercera generación. El cumplimiento de estándares internacionales y la creación de Agencias de Protección de Datos se han vuelto la norma, no la excepción. Sin embargo, el desafío ha pasado de «crear la ley» a «tener recursos para aplicarla».

4. Infraestructuras Críticas (IC)

▪ 2020: La protección de IC era mayoritariamente física o de sistemas aislados. La ciberseguridad en hospitales o redes eléctricas era una preocupación secundaria.

▪ 2025: La convergencia IT/OT (Tecnología de la Información y Tecnología de Operación) es total. El informe 2025 muestra que los ataques a IC son ahora la mayor preocupación de seguridad nacional, debido a que la digitalización de servicios básicos ha avanzado más rápido que su blindaje.

5. Cooperación Regional

▪ 2020: La cooperación era incipiente y dependía de voluntades políticas puntuales. Los CSIRTs (Equipos de Respuesta a Incidentes) nacionales eran pocos y con poca comunicación entre sí.

▪ 2025: Se han consolidado redes robustas como la Red de CSIRTs de las Américas. La cooperación es ahora técnica y operativa; se comparten indicadores de compromiso (IoCs) en tiempo real, aunque persiste el desafío de la soberanía de datos en investigaciones transfronterizas.