Una empresa ecuatoriana que detecta una filtración de datos personales tiene, como máximo, cinco días para notificarla a la autoridad y a la ARCOTEL. Así lo fija el artículo 43 de la Ley Orgánica de Protección de Datos Personales. Ese plazo convierte la seguridad informática en una obligación con fecha, no en un asunto opcional del departamento técnico.
Cinco días alcanzan solo si alguien sabe qué pasó, qué datos se vieron afectados y quién debe firmar el aviso. Para eso hacen falta registros, inventarios, copias y responsables nombrados con antelación. Esta guía explica qué abarca la disciplina, cuáles son sus objetivos, en qué se distingue de términos vecinos y por dónde conviene empezar.
Qué es la seguridad informática
La seguridad informática es el conjunto de medidas técnicas, físicas y organizativas que protegen equipos, redes, programas y datos frente a accesos no autorizados, alteraciones, robos y pérdidas. Incluye tanto el antivirus de una laptop como la cerradura del cuarto de servidores, la política de contraseñas y el procedimiento para restaurar un respaldo después de un fallo.
Para entender qué es en la práctica, la definición operativa sirve más que la académica: reducir la probabilidad de que algo malo ocurra y limitar el daño cuando ocurre igual. Nadie puede garantizar riesgo cero. Lo que sí se puede exigir es que cada riesgo importante esté identificado, tenga una medida asignada y un responsable que la revise.
Detrás de cada medida hay una pregunta sencilla: qué activo se protege y contra qué. Un activo es cualquier cosa con valor para la persona o la organización, desde una base de clientes hasta el celular del gerente. La norma ISO/IEC 27001:2022 dedica un control específico, el 5.9, al inventario de información y otros activos asociados.
Seguridad informática, ciberseguridad y seguridad de la información
Los tres términos se usan como sinónimos en ofertas comerciales, pero las normas los separan. La seguridad de la información es el más amplio: ISO/IEC 27000:2018 la define como la preservación de la confidencialidad, la integridad y la disponibilidad de la información. No importa si esa información está en un servidor, en papel o en la memoria de un empleado.
La seguridad informática es un subconjunto de esa idea centrado en los sistemas: computadoras, servidores, redes, software y los datos digitales que contienen. Un archivador con contratos impresos entra en la seguridad de la información, pero no en la informática. Una base de datos de clientes en la nube entra en ambas, y también en la ciberseguridad.
La ciberseguridad mira el riesgo que viaja por el ciberespacio. ISO/IEC publicó en 2020 una especificación propia, la TS 27100, precisamente para explicar en qué se relaciona y en qué se diferencia de la seguridad de la información. El glosario del NIST la describe como la prevención de daños y la protección y restauración de sistemas y comunicaciones electrónicas.
| Término | Qué protege | Ejemplo típico | Referencia |
|---|---|---|---|
| Seguridad de la información | Toda la información, en cualquier soporte | Destruir papeles con datos de clientes | ISO/IEC 27000 y 27001 |
| Seguridad informática | Equipos, redes, software y datos digitales | Cifrar el disco de una laptop | ISO/IEC 27001, Anexo A |
| Ciberseguridad | Sistemas y personas frente a riesgos que llegan por el ciberespacio | Bloquear un ataque de phishing | ISO/IEC TS 27100, NIST CSF 2.0 |
La distinción tiene consecuencias prácticas. Una empresa que solo contrata ciberseguridad puede tener firewalls excelentes y, al mismo tiempo, un empleado que fotografía planillas impresas con su celular. Por eso los sistemas de gestión serios parten de la seguridad de la información y bajan desde ahí a controles informáticos concretos, no al revés.
Los objetivos de la seguridad informática: la tríada CIA
Los objetivos básicos se resumen en tres propiedades, conocidas por sus iniciales en inglés como tríada CIA. Cada incidente rompe al menos una de ellas, y cada medida protege al menos una. Si alguien propone un control que no se puede relacionar con ninguna de las tres, conviene preguntar qué problema real resuelve antes de pagar por él.
La confidencialidad significa que la información no se pone a disposición ni se revela a personas, entidades o procesos no autorizados. Se protege con cifrado, control de accesos, clasificación de documentos y acuerdos de confidencialidad. Una filtración de cédulas y números de teléfono de clientes es el ejemplo más claro de confidencialidad perdida, y el que más afecta a terceros.
La integridad es la propiedad de exactitud y completitud de los datos. Un atacante que cambia el número de cuenta en una factura antes de que llegue al cliente no roba información: la altera. Hashes, firmas digitales y registros de cambios son las herramientas típicas: si el archivo cambia, el hash ya no coincide.
La disponibilidad significa que la información es accesible y utilizable cuando una persona autorizada la necesita. Un ransomware que cifra el sistema de facturación, una caída eléctrica sin respaldo o un ataque de denegación de servicio atacan esta propiedad. Respaldos probados, redundancia de equipos y planes de continuidad son la respuesta, aunque ninguno sirve si nadie los probó antes.
Más allá de la tríada: autenticidad, no repudio y trazabilidad
La propia definición de ISO/IEC 27000 añade una nota: otras propiedades como la autenticidad, la responsabilidad, el no repudio y la fiabilidad también pueden estar involucradas. No son objetivos de segunda categoría. En banca, comercio electrónico y trámites públicos, poder demostrar quién hizo qué suele pesar tanto como impedir que se haga.
La autenticidad confirma que una persona, un mensaje o un sistema son quienes dicen ser. La verificación en dos pasos, los certificados web y la firma electrónica sirven a este objetivo. El no repudio va un paso más allá: impide que el autor de una operación niegue después haberla realizado, algo clave en transferencias, contratos y comunicaciones oficiales.
La trazabilidad, o responsabilidad, exige que cada acción relevante quede registrada y asociada a una identidad concreta. Sin registros fiables no hay forma de reconstruir un incidente ni de cumplir el plazo de cinco días de la LOPDP. Un detalle práctico: el reloj de los equipos debe estar sincronizado, porque registros con horas distintas no permiten ordenar los hechos.
Áreas que cubre la protección de sistemas
La disciplina se divide en áreas según lo que se protege: hardware, software, redes, datos, nube, aplicaciones, dispositivos finales y sistemas industriales o del internet de las cosas. Cada área tiene amenazas y controles propios, y la clasificación completa con ejemplos de medidas está en la guía sobre los tipos de seguridad informática.
Otra división clásica separa la seguridad física de la lógica. La física protege el hardware y el lugar donde está: cerraduras, cámaras, climatización y energía estable. La lógica protege lo que corre dentro: usuarios, permisos, cifrado y software. El Anexo A de ISO/IEC 27001:2022 refleja esa mezcla con 93 controles agrupados en organizativos, de personas, físicos y tecnológicos.
Medidas activas y pasivas
Según el momento en que actúan, las medidas se dividen en activas y pasivas. Las activas intentan impedir el incidente: contraseñas, cifrado, antivirus, firewalls, actualizaciones y control de accesos. Lo que significa cada una y cómo se aplican se desarrolla en la guía de seguridad activa en informática y sus medidas.
Las pasivas entran cuando el daño ya ocurrió o empieza a ocurrir: copias de seguridad, sistemas de alimentación ininterrumpida, redundancia de discos, planes de recuperación y respuesta a incidentes. Su lógica completa, con ejemplos concretos, está en la guía de seguridad pasiva en informática. Ninguna de las dos categorías sustituye a la otra.
Quien necesite la comparación directa, con una tabla de diferencias y casos en los que una misma medida cambia de categoría, la encuentra en el análisis de seguridad activa y pasiva y sus diferencias. La regla rápida: si la medida actúa antes del incidente es activa, y si limita o repara el daño después, es pasiva.
Amenazas: de dónde vienen los incidentes
Las amenazas se agrupan en cuatro familias: ataques deliberados, errores humanos, fallas técnicas y eventos físicos. Los ataques acaparan las noticias, pero un disco que muere sin respaldo, una laptop olvidada en un taxi o un correo enviado al destinatario equivocado producen pérdidas igual de reales, y suelen ser mucho más frecuentes en negocios pequeños.
Entre los ataques deliberados abundan los que engañan a personas: phishing, suplantación de proveedores y fraudes por mensajería. Luego vienen el ransomware y la explotación de sistemas sin actualizar. Conviene no confundir a quien investiga fallos con quien los explota para dañar, una distinción que se explica en la guía sobre la diferencia entre hacker y cracker.
Un comentario aparte sobre el vocabulario: muchas noticias en español llaman hacker a cualquier delincuente informático, y esa costumbre confunde a quien empieza. Antes de leer más sobre amenazas, vale la pena tener a mano el glosario de ciberseguridad, con términos como vulnerabilidad, exploit o vector de ataque explicados sin jerga.
Quién es responsable de la seguridad de la información
En una organización, la responsabilidad no es solo del técnico de sistemas. El marco NIST CSF 2.0, publicado el 26 de febrero de 2024, añadió la función Gobernar a las cinco que ya tenía: Identificar, Proteger, Detectar, Responder y Recuperar. El mensaje es claro: decidir cuánto riesgo se acepta corresponde a la dirección, no al proveedor.
En Ecuador, el artículo 37 de la LOPDP obliga al responsable y al encargado del tratamiento a aplicar medidas técnicas y organizativas y a evaluar su eficacia de forma continua. El artículo 38 remite al sector público al mecanismo gubernamental de seguridad, hoy el EGSI, publicado en el Tercer Suplemento del Registro Oficial 509 en marzo de 2024.
La Superintendencia de Protección de Datos Personales es la autoridad de control. Para una pyme, la consecuencia práctica es nombrar a alguien que conozca qué datos personales maneja el negocio, dónde están y quién accede a ellos. Si esa pregunta no tiene respuesta hoy, ningún antivirus caro compensa el vacío; ese inventario es el primer trabajo pendiente.
Por dónde empezar: persona o empresa
Una persona puede cubrir lo esencial en una tarde. El orden recomendable va de lo que más protege a lo que menos cuesta mantener, y no requiere comprar nada. Muchos robos de cuentas empiezan por una contraseña repetida en varios servicios o por un código de verificación que alguien dicta a un desconocido por teléfono.
- Active las actualizaciones automáticas del sistema y de las aplicaciones del celular y la computadora.
- Use contraseñas distintas para cada servicio, guardadas en un gestor de contraseñas.
- Active la verificación en dos pasos en el correo, el banco y WhatsApp.
- Haga una copia de seguridad de fotos y documentos fuera del equipo principal.
- Revise qué aplicaciones tienen permisos de ubicación, cámara y micrófono.
Una empresa necesita, antes que productos, un inventario de activos, una evaluación de riesgos y responsables con nombre. Las bases de ese enfoque corporativo, con conceptos y prioridades para negocios, están en la guía de nociones básicas de seguridad informática. Después vienen las políticas, la formación del personal y, al final, las herramientas.
En España, INCIBE atiende gratis el teléfono 017 todos los días de 8:00 a 23:00, a particulares y empresas. En Ecuador, el punto de partida para una empresa es leer los artículos 37 a 47 de la LOPDP y anotar qué obligaciones ya cumple y cuáles no, con un responsable y una fecha junto a cada una.