El Perú avanza en su transformación digital, pero ¿está protegiendo adecuadamente sus activos, instituciones y ciudadanos? El especial «El Costo Nacional de la Improvisación: Ciberseguridad», cuatro reconocidos especialistas examinan las brechas que mantienen expuesto al país: debilidad en la gobernanza, prevención insuficiente, responsabilidades dispersas y una cultura de seguridad todavía relegada. Sus reflexiones ponen sobre la mesa una advertencia: digitalizar sin proteger no es modernización, es asumir riesgos que pueden traducirse en pérdidas económicas, interrupción de servicios y desconfianza ciudadana. No se trata de sembrar alarma, sino de exigir decisiones. Y esto continúa: venimos trabajando en una segunda entrega, para profundizar en las infraestructuras críticas y las acciones urgentes que el país necesita.

Primera entrega del especial 

Ciberseguridad: el Perú digitaliza, pero ¿quién protege al país?

Mientras el Perú acelera su transformación digital, sus defensas avanzan de manera desigual. Cuatro especialistas revelan las brechas de gobernanza, prevención y responsabilidad que podrían convertir la improvisación en una costosa factura nacional.

(americasistemas.pe. Lima, Perú – 11 de noviembre 2026) Hay una pregunta que el Perú debería hacerse antes de seguir inaugurando plataformas, anunciando servicios digitales y multiplicando sus operaciones en línea: ¿estamos construyendo un país digital seguro o simplemente estamos ampliando nuestra exposición a los riesgos?

La pregunta no es retórica. Detrás de cada trámite digital, registro ciudadano, operación bancaria o servicio público existe una infraestructura que debe funcionar, proteger información y responder cuando las cosas salen mal. Y precisamente allí aparece una de las mayores contradicciones de nuestra transformación digital: avanzamos en conectividad, plataformas y automatización, pero no necesariamente al mismo ritmo en prevención, inteligencia de amenazas y capacidad de respuesta.

América Sistemas reunió a cuatro especialistas de reconocida trayectoria para abordar, con un mismo cuestionario, ocho dimensiones de la ciberseguridad nacional. Sus respuestas no son idénticas. Tampoco pretenden serlo. Sin embargo, hay una coincidencia que atraviesa sus análisis: el país necesita abandonar la cultura de la reacción y asumir la protección digital como una responsabilidad de Estado.

La digitalización no equivale a estar protegidos
Alfredo Alva, actual CISO de Banco Falabella Perú y presidente del capítulo peruano de la Cloud Security Alliance, plantea una advertencia contundente: el Perú ha avanzado tecnológicamente, pero no necesariamente en seguridad. Su experiencia en los sectores financiero, seguros y medios de pago le permite observar una realidad desigual: organizaciones que comprenden el riesgo y otras que todavía confían en que un antivirus y un firewall serán suficientes.

Su planteamiento merece atención: la madurez digital de un país no debería medirse por la cantidad de plataformas que implementa, sino por su capacidad de protegerlas y mantenerlas operativas durante una crisis.

Norman Oré, ejecutivo senior con veinte años de experiencia en ciberseguridad, gobernanza de inteligencia artificial y gestión estratégica de riesgos en América Latina, introduce un matiz importante. Reconoce los avances normativos, las alertas y los ejercicios nacionales de preparación. Recuerda, por ejemplo, que el simulacro de julio de 2026 reunió a 152 entidades. Pero advierte que participar en un ejercicio no significa estar preparado para una crisis real.

Su prueba es más exigente: ¿sabemos cuáles son nuestros servicios críticos?, ¿cuánto tardaríamos en detectar una intrusión?, ¿cuándo fue la última vez que recuperamos efectivamente un sistema desde una copia de respaldo?

Aldo Villaseca Hernández, consultor internacional con maestría en Ciberseguridad y Ciberdefensa y más de 27 años de experiencia, coincide en que existen avances, pero considera indispensable establecer una gobernanza sólida, una Política Nacional de Ciberseguridad y una estrategia de largo plazo.

Desde otra perspectiva, Jorge Zeballos Chávez, gerente general de ESET Perú desde hace casi doce años, aporta una mirada especialmente relevante desde la inteligencia de amenazas. Su diagnóstico apunta a una brecha entre digitalización, conocimiento de los adversarios y protección efectiva de los derechos ciudadanos.

Zeballos advierte que una organización puede invertir en tecnología y, aun así, desconocer que está siendo atacada. El ESET Security Report 2026, según la información presentada por el especialista, señala que el 52,7 % de las organizaciones latinoamericanas encuestadas detectó intentos de ciberataque durante los últimos doce meses, mientras que el 15,4 % no sabe si fue atacada. Son cifras regionales, no una medición exclusiva del Perú, pero describen una debilidad que merece atención.

La conclusión es incómoda: no basta con comprar herramientas; hay que saber qué amenazas existen, quiénes están detrás y qué activos podrían estar comprometidos.

El Estado: muchas competencias, pero ¿quién responde?
El segundo gran problema aparece en la gestión pública.

Para Alfredo Alva, la ciberseguridad continúa siendo tratada en numerosas instituciones como una función subordinada al soporte tecnológico. La fragmentación presupuestaria, los cambios de autoridades y la falta de coordinación impiden construir una defensa conjunta. A ello añade una práctica especialmente peligrosa: minimizar u ocultar incidentes por temor al costo político.

Cuando una institución no comunica oportunamente una vulneración, las demás pierden la oportunidad de aprender de ese ataque y protegerse frente a las mismas técnicas.

El especialista también pone el dedo en una herida que América Sistemas conoce bien: las contrataciones públicas. El Estado no puede evaluar únicamente el precio de una solución tecnológica. Debe examinar cómo el proveedor protege los datos que administra y qué riesgos introduce en la cadena de suministro.

Norman Oré coincide en la necesidad de mejorar la gestión, pero introduce una precisión institucional que no debe pasarse por alto. El Perú no parte de cero: la Presidencia del Consejo de Ministros, mediante la Secretaría de Gobierno y Transformación Digital, tiene responsabilidades rectoras, mientras que el Centro Nacional de Seguridad Digital cumple funciones de articulación y respuesta.

Por tanto, el desafío no consiste necesariamente en multiplicar organismos, sino en convertir las competencias existentes en responsabilidades efectivas, con presupuesto, metas verificables y evaluación independiente.

Villaseca propone crear una Agencia de Ciberseguridad con autonomía y capacidad de conducción, respaldada por un comité especializado que integre al sector público, privado, academia y colegios profesionales.

Alfredo Alva también defiende una agencia nacional independiente, con dependencia directa de la PCM y autoridad suficiente para auditar y exigir el cumplimiento de estándares.

Zeballos, por su parte, propone fortalecer una autoridad rectora capaz de identificar los activos digitales críticos, establecer estándares, coordinar alertas y exigir planes de remediación, sin concentrar todas las bases de datos en una sola institución ni desconocer las competencias de otros organismos.

Aquí aparece una diferencia de enfoque que enriquece el debate: mientras algunos especialistas reclaman una nueva institucionalidad con mayor autonomía, otros consideran que la prioridad es hacer funcionar y exigir resultados a la estructura existente. Pero todos apuntan a una misma necesidad: alguien debe responder por los resultados, no solamente por las reuniones y los documentos aprobados.

La factura de la improvisación: mucho más que servidores dañados
¿Cuánto pierde el Perú por no invertir oportunamente en ciberseguridad? La respuesta más responsable es que no existe, en la documentación examinada para este especial, una medición nacional integral y verificable que permita establecer una cifra única. Sin embargo, los especialistas coinciden en que contabilizar solamente la reparación de equipos y la recuperación de plataformas constituye un error.

Alva describe una factura que incluye paralización de operaciones, reconstrucción de infraestructura, contratación de servicios forenses, penalidades, pérdida de productividad y deterioro reputacional. Pero va más allá: cuando se comprometen registros de identidad o información sanitaria, el daño deja de ser exclusivamente empresarial o institucional. El ciudadano puede terminar enfrentando una suplantación de identidad, un fraude, la exposición de información médica o el retraso de una atención que no admite demoras.

Norman Oré plantea una salida concreta: medir las horas de interrupción, los costos de recuperación, la sensibilidad de los datos comprometidos, el número de usuarios afectados y el tiempo necesario para restablecer los servicios. Lo que no se mide, advierte, termina desapareciendo de las prioridades presupuestales, aunque la sociedad siga pagando sus consecuencias.

Jorge Zeballos amplía esa mirada. El costo debe incorporar cuatro dimensiones: pérdidas económicas, daño institucional, pérdida de confianza y afectación de los derechos de las personas.

Los resultados del estudio de Experian Perú de 2026 que presenta en sus respuestas son reveladores: el 73,5 % de los ciudadanos encuestados recibió al menos un intento de fraude durante el último año y el 88 % considera que estos intentos aumentaron. Asimismo, el 66 % reconoce consecuencias de estrés y ansiedad relacionadas con el fraude digital.

Estas cifras corresponden al estudio citado, no a un censo de la población peruana. Pero permiten entender que el costo de la inseguridad digital también se expresa en miedo, desconfianza y tiempo perdido por las víctimas.

Hay, además, una dimensión que merece especial atención: el ciberespionaje. Una organización puede seguir funcionando mientras un adversario permanece dentro de sus sistemas y obtiene información estratégica. La ausencia de una interrupción visible no significa que no exista daño. 

Gobernanza: el país necesita pasar de los documentos a los resultados
La gobernanza es el punto donde las propuestas adquieren mayor importancia.

Villaseca plantea tres decisiones estructurales: una Agencia de Ciberseguridad autónoma, una Política Nacional y una Estrategia Nacional de largo plazo, de por lo menos diez años.

Alva reclama autoridad política, capacidad de auditoría y consecuencias reales para las instituciones que incumplan. No basta con tener normas si nadie responde cuando una vulnerabilidad conocida termina paralizando un servicio.

Oré pide aprovechar la institucionalidad existente y traducir la Estrategia Nacional de Ciberseguridad 2026–2028 en un plan operativo con responsables, financiamiento, ejercicios conjuntos, indicadores públicos agregados y evaluación independiente.

Zeballos propone que la conducción nacional incluya un inventario de activos digitales críticos, conocimiento de sus administradores, identificación de proveedores y una capacidad permanente de inteligencia de amenazas. También incorpora una dimensión que no debería quedar fuera: la integridad institucional. Las amenazas pueden proceder de organizaciones criminales externas, pero también del uso indebido de credenciales y privilegios internos.

La diferencia entre estas propuestas no debe entenderse como una discrepancia irreconciliable. Es precisamente el debate que el país necesita: definir qué autoridad debe conducir, qué competencias debe tener, cómo se articula con los organismos existentes y cómo se comprueba que cumple.

América Sistemas: una advertencia que no puede quedar archivada
El aporte de estos cuatro especialistas permite llegar a una conclusión que trasciende el ámbito tecnológico.

El Perú no necesita otra declaración solemne sobre la importancia de la ciberseguridad. Necesita decisiones sostenidas, presupuestos adecuados, autoridades responsables y mecanismos de supervisión que sobrevivan a los cambios de gobierno.

También necesita una cultura de transparencia frente a los incidentes. Ocultar una vulneración no protege la reputación de una institución: puede dejar expuestos a otros organismos y, sobre todo, a millones de ciudadanos.

Desde América Sistemas consideramos que la ciberseguridad debe ocupar un lugar central en la agenda nacional. No como una preocupación exclusiva de los responsables de tecnología, sino como una obligación de quienes dirigen el Estado, administran empresas y toman decisiones sobre información que pertenece a las personas.

La improvisación tiene una factura. Y no siempre la pagan quienes la provocaron. La pregunta final es inevitable: ¿seguiremos esperando el próximo gran incidente para descubrir cuánto nos costaba haberlo evitado? …seguiremos!