El Banco Interamericano de Desarrollo (BID), la Organización de Estados Americanos (OEA) y el Centro Global de Capacidades en Ciberseguridad de la Universidad de Oxford publicaron el ‘Informe de Ciberseguridad 2025: Desafíos de vulnerabilidad y madurez para cerrar brechas en América Latina y el Caribe’. Este estudio evalúa 30 países de la región y muestra avances modestos desde 2020,aunque también persiten algunos vacíos institucionales que exponen servicios públicos y economías digitales.
Aunque la mayoría cuenta con estrategias nacionales, solo 13 países poseen capacidad institucional para implementarlas efectivamente, y apenas 9 protegen infraestructura crítica pese a ataques que afectan aduanas, puertos y hospitales. Colombia puntualmente presenta avances significativos en políticas y estructuras, y se posiciona entre los 12 países con mejoras en 3 dimensiones, destacándose por los avances en gobierno digital, pero tiene retos pendientes en implementación plena.
Índice de temas
¿Cuál es el estado actual de la ciberseguridad en la región?
Entre 2020 y 2025, la madurez promedio en capacidades de ciberseguridad creció en todas las cinco dimensiones del Modelo de Madurez de Ciberseguridad: política y estrategia, cultura y sociedad, conocimiento y capacidades, marcos legales, y estándares tecnológicos. El factor con mayor progreso fue la divulgación responsable de vulnerabilidades,, que pasó de ser uno de los menos maduros a mostrar mejoras notables, junto con mecanismos de reporte de cibercrimen e integración de ciberseguridad en defensa nacional.
En total, 12 países mejoraron 0,5 puntos o más en al menos tres dimensiones, especialmente en marcos de políticas, gestión de riesgos, educación y estructuras legales. Países como Uruguay, Colombia, Chile y Costa Rica destacan por avances en estrategias nacionales, equipos CSIRT (Equipos de Respuesta a Incidentes de Seguridad) y coordinación público-privada, lo que correlaciona con mejores índices de gobierno digital según la ONU y el Foro Económico Mundial.
El rezago en la protección de infraestructura crítica.
A pesar del progreso, factores como protección de infraestructura crítica, calidad de software y mercado de ciberseguridad siguen rezagados. Solo 15 países alcanzaron nivel 3 o superior en estrategias nacionales, y 9 en protección de infraestructura crítica y gestión de crisis. La investigación en ciberseguridad es el factor menos maduro, con inversiones incipientes en la mayoría de naciones.
En el informe también se identificaron inequidades: las economías emergentes y las pymes enfrentan mayores vulnerabilidades por falta de recursos y talento, con un vacío global de 4,8 millones de profesionales. En la región, las brechas de género agravan el problema, con mujeres representando solo el 25 % de especialistas y enfrentando discriminación.
¿Cómo se posiciona Colombia en el Modelo de Madurez de Ciberseguridad?
Las mejoras de Colombia en el Modelo de Madurez de Capacidades en Ciberseguridad cuentan con evidencias concretas y cambios en los niveles de desarrollo, desde etapas iniciales hacia prácticas más consolidadas y estratégicas, a través de las 5 dimensiones analizadas en el estudio:
Dimensión 1: Política y estrategia
Colombia ha fortalecido notablemente su capacidad para diseñar e implementar estrategias nacionales de ciberseguridad. Se han adoptado tres documentos clave: los Conpes 3701 de 2011, 3854 de 2016 y 3995 de 2020, que guían la confianza digital con participación de gobierno, sociedad civil, academia y sector privado. En 2024, se avanza en la Estrategia Nacional de Seguridad Digital, apoyada por el Banco Interamericano de Desarrollo y alineada con la Estrategia Digital Nacional 2023-2026, incluyendo aspectos de inteligencia artificial. El Decreto 338 de 2022 establece una estructura integral de toda la nación, con un Coordinador Nacional, Comité de Seguridad Digital, grupos de trabajo y equipos CSIRT sectoriales. Esto permite mejor respuesta a incidentes y protección de infraestructuras críticas, pasando de enfoques básicos a operativos estratégicos.
Dimensión 2: Cultura y sociedad
Presenta progreso en la creación de conciencia y confianza ciudadana. El Ministerio de Tecnologías de la Información y las Comunicaciones promueve campañas como Ciberpaz y Cibereduca, mientras el Ministerio de Educación ofrece cursos gratuitos en la plataforma Colombia Aprende, dirigidos a estudiantes, docentes, padres y específicamente a mujeres en temas de seguridad e identidad digital. Estas iniciativas fomentan reportes de incidentes y priorización de la seguridad en gobierno y sector privado, elevando la comprensión pública de riesgos y protección de datos personales en línea.
Dimensión 3: Conocimiento y capacidades
La formación en ciberseguridad ha ganado terreno, cubriendo desde sensibilización general hasta habilidades avanzadas. Existen programas educativos en todos los niveles, con énfasis en posgrados universitarios para profesionales especializados. El Ministerio de Tecnologías impulsa capacitaciones continuas, respondiendo a la creciente demanda de talento. Esto incluye esfuerzos de gobierno, sector privado y sociedad civil para elevar la alfabetización digital y el desarrollo de competencias técnicas, lo que posiciona al país con una base más sólida de expertos.
Dimensión 4: Marcos legales y regulatorios
Los marcos contra cibercrimen son robustos, con la Ley 1273 como pilar principal, complementada por la adhesión a la Convención de Budapest en 2020. Hay unidades dedicadas como el Centro Cibernético de la Policía Nacional y fiscalías especializadas. Se discute un nuevo régimen general de protección de datos personales, y se fortalece la capacidad judicial para manejar evidencia digital. Estos avances aseguran cumplimiento en seguridad TIC, ejecución y cooperación internacional, con énfasis en derechos humanos en línea.
Dimensión 5: Estándares y tecnologías
Colombia adopta estándares internacionales como el Marco de Seguridad y Privacidad de la Información del Ministerio TIC, actualizado a ISO 27001 versión 2022. Entidades clave como la Dian y la Contraloría han mejorado con apoyo del BID. Cuenta con 24 CSIRTs registrados, incluyendo ColCERT nacional y sectoriales en telecomunicaciones, banca, energía y salud. Sin embargo, persisten retos en pymes y protección operativa de infraestructuras críticas, donde se busca mayor adopción de controles tecnológicos y divulgación responsable de vulnerabilidades.
¿Cómo impacta la IA en estas vulnerabilidades?
La adopción acelerada de Inteligencia Artificial amplifica riesgos existentes y crea nuevos, como el envenenamiento de datos, los ataques adversarios y las deepfakes para el fraude o la desinformación. “La IA transforma herramientas de cibercriminales, facilitando phishing y código malicioso”, advierte la profesora Sadie Creese, directora del GCSCC de Oxford.
Las naciones necesitan evaluar preparación en IA-ciberseguridad, adaptando estrategias, regulaciones y capacitación. Así las cosas, la colaboración regional e internacional es clave, dada la naturaleza transfronteriza de cadenas de suministro de Inteligencia Artificial.
¿Cómo pueden los países cerrar las brechas de ciberseguridad?
El informe proyecta que cerrar brechas requiere inversión sostenida en talento, marcos regulatorios inclusivos y cultura de ciberseguridad. Sin acción coordinada, la Transformación Digital de la región arriesga disrupciones económicas y erosión de confianza pública, pero con enfoque estratégico, puede catalizar crecimiento inclusivo y resiliente.
De igual manera, presenta algunas recomendaciones como priorizar estrategias nacionales consolidadas con revisiones periódicas, protección efectiva de infraestructuras críticas y su integración en gestión de crisis y defensa nacional. Insta también a invertir en concientización masiva, educación formal desde pregrados hasta posgrados —priorizando mujeres—, y investigación local, junto con marcos legales actualizados contra cibercrimen, reguladores independientes y cooperación judicial internacional.
Además, propende por adoptar estándares globales (ISO 27001, NIST) en adquisiciones y software, desarrollar mercados locales de seguros cibernéticos y evaluar riesgos de cloud/outsourcing. Frente a la IA, sugiere evaluar cadenas de suministro y deepfakes vía herramientas GCSCC, fortaleciendo colaboración regional en CSIRTAméricas, LAC4 y Ciberlac con voluntad política para tener una capacidad absorbente.
