Un problema que ya llegó
En 2023, varios organismos del Estado colombiano fueron víctimas de ataques de ransomware que paralizaron servicios críticos durante días. Los datos de ciudadanos quedaron expuestos. La confianza en la institucionalidad digital se vio afectada. Y lo que es más preocupante: no fue la primera vez ni será la última.
La digitalización acelerada del Estado, impulsada por políticas de gobierno digital y teletrabajo, ha ampliado exponencialmente la superficie de ataque de las entidades públicas. Pero la inversión en ciberseguridad no ha crecido al mismo ritmo.
El diagnóstico
Colombia cuenta con instrumentos de política en ciberseguridad: el CONPES 3854 de 2016 estableció la política nacional, y existe el ColCERT como equipo de respuesta a emergencias cibernéticas. Sin embargo, la implementación en el nivel territorial y en entidades medianas y pequeñas sigue siendo precaria.
Los problemas más frecuentes que he identificado:
- Falta de controles básicos: muchas entidades no tienen actualizados sus sistemas operativos, no aplican parches de seguridad de forma sistemática, o utilizan software sin licencia.
- Ausencia de gestión de identidades: el control de accesos basado en roles (RBAC) y la autenticación multifactor son excepciones, no la norma.
- Débil gestión de proveedores: los riesgos de la cadena de suministro tecnológica rara vez se gestionan formalmente.
- Escasa cultura de seguridad: el eslabón más débil siempre es el humano, y la formación en ciberseguridad para servidores públicos es insuficiente.
Lo que hay que hacer
La ciberseguridad del Estado no puede seguir siendo una responsabilidad exclusiva de las áreas de TI. Es una responsabilidad institucional y política que debe gestionarse desde los más altos niveles directivos.
Propongo:
- Actualizar el CONPES de ciberseguridad con indicadores de resultado claros y financiación explícita para el nivel territorial.
- Crear un esquema de supervisión y asistencia técnica a entidades del orden municipal y departamental, similar al que existe para la gestión fiscal.
- Exigir evaluaciones de seguridad periódicas como requisito para acceder a recursos de transformación digital del Estado.
- Fortalecer el ColCERT con mayores capacidades operativas y capacidad de respuesta proactiva, no solo reactiva.
La seguridad digital del Estado no es un lujo tecnológico. Es una condición indispensable para la confianza ciudadana y la soberanía digital de la nación.