Uruguay se ha consolidado como un referente regional en digitalización, alcanzando una penetración de Internet del 94%, un porcentaje que nos sitúa a la vanguardia de América Latina y el Caribe. No obstante, la hiperconectividad puede ser también un arma de doble filo y en ese sentido es válido preguntarse ¿estamos realmente protegidos o solo estamos más expuestos?
La reciente aprobación de la Estrategia Nacional de Ciberseguridad 2024-2030 y la promulgación de la Ley 20.327 de Ciberdelincuencia en setiembre de 2024 constituyen hitos legislativos innegables. Sin embargo, la historia reciente de la región implica un llamado de atención.
El Reporte de ciberseguridad 2025, una colaboración entre el Banco Interamericano de Desarrollo (BID), la Organización de los Estados Americanos (OEA) y el Centro de capacitación en Capacidad de Ciberseguridad Global de la Universidad de Oxford, revela un panorama crítico pero en evolución en la región de América Latina y el Caribe. A pesar que la mayoría de los países ya cuentan con estrategias nacionales en ciberseguridad, solo 13 países poseen la capacidad institucional, recursos o mecanismos de coordinación para implementarlas de manera efectiva. Aún más preocupante es que solo nueve países están equipados para proteger su infraestructura crítica, en un contexto donde los ataques ya afectan servicios públicos esenciales como las administraciones tributarias, puertos y hospitales. Uruguay, pese a sus avances, se encuentra en una carrera contra el tiempo para adaptarse a los desafíos diarios de la ciberseguridad y la inteligencia artificial, que abre tanto oportunidades como nuevas dimensiones de riesgo. Un repaso rápido de los riesgos del nuevo ecosistema digital muestra una potenciación de los atacantes ya que, incluso si tienen pocas habilidades pueden utilizar modelos de lenguaje para escribir correos phishing convincentes, generar código malicioso y encontrar vulnerabilidades con mayor rapidez. El uso de deepfakes para fraude, coerción, desinformación a gran escala es algo que significa un nuevo desafío para los marcos tradicionales de seguridad. A su vez, los países consumidores de inteligencia artificial heredan vulnerabilidades de cadenas de suministro complejas que cruzan múltiples jurisdicciones.
Por éstas y otras razones más complejas y técnicas, la ciberseguridad debe dejar de ser vista como un problema puramente de las tecnologías de la información y convertirse en una prioridad para el desarrollo nacional y la seguridad ciudadana ya que es claro que la rápida adopción de la inteligencia artificial está transformando el panorama de las amenazas, permitiendo a los criminales realizar ataques más sofisticados y amplios.
El andamiaje institucional uruguayo para responder a estos desafíos presenta una fragmentación que podría comprometer la respuesta ante una crisis a gran escala. Por una parte la Agesic supervisa las infraestructuras críticas de información, mientras que el Ministerio de Defensa Nacional las infraestructuras críticas físicas en una bicefalia que exige una coordinación sin fisuras que puede no ser sencilla en la práctica.
Países como Chile han avanzado hacia la creación de una Agencia Nacional de Ciberseguridad con capacidad de respuesta, fiscalización y sanción tanto para el sector público como privado. Uruguay ha optado por un modelo de carácter más consultivo a través del Consejo Asesor Honorario de Seguridad de la Información y comités de gestión. Si bien esto fomenta la participación, cabe preguntarse ante el panorama actual y futuro si se cuenta con la agresividad institucional necesaria para imponer estándares de seguridad en sectores privados que manejan datos sensibles de la ciudadanía.
Un punto importante en el debate nacional actual debería ser el de la Inteligencia Artificial, que ya no es una promesa futurista sino que está integrada invisiblemente en las infraestructuras nacionales críticas, la administración pública y los servicios financieros donde potencia la defensa a la vez que multiplica los riesgos.
El reporte del BID y OEA advierte a los países que deben construir una “preparación nacional de ciberseguridad en IA” para soportar ataques automatizados y orquestados a gran escala. Para Uruguay el desafío es grande. En general somos consumidores, no desarrolladores de estas tecnologías, lo que nos expone a vulnerabilidades heredadas de las cadenas de suministro globales. Nuestra estrategia país 2024-2030 debe ir más allá de la ciberseguridad tradicional y requiere la alineación de los estándares técnicos con la conciencia pública sobre los riesgos de la inteligencia artificial.
Uno de los puntos más preocupantes para la economía local es la marcada inequidad cibernética entre las grandes corporaciones y el tejido empresarial de micro y pequeños empresarios. Las pequeñas y medianas empresas representan el 90% de los negocios y generan más de la mitad del empleo mundial, pero son tres veces más propensas a carecer de las habilidades necesarias para ser ciber-resilientes, según el estudio.
En Uruguay las PYME a veces operan bajo la falsa premisa de que no son un objetivo. Sin embargo, el reporte revela que el 98% de las empresas están conectadas con al menos un tercero que ha sufrido un ciberataque en los últimos dos años.
En este sentido es que la resiliencia no puede ser un lujo de las empresas de mayor tamaño y el Estado debe incentivar fuertemente la madurez digital del sector privado local ya que un ataque a una pequeña cooperativa o un comercio podría ser la puerta de entrada para una irrupción en las cadenas de suministro nacionales.
Algunos países vecinos se están preparando fuertemente. Brasil se posiciona actualmente en el Nivel 1 del Índice Global de Ciberseguridad de la UIT. Costa Rica, luego del ataque de 2022 a su Ministerio de Hacienda por parte del grupo Conti –que paralizó la actividad de esa secretaría de Estado y obligó a declarar el primer estado de emergencia nacional por un ciberataque– tuvo que realizar una modernización acelerada creando un Centro de Operaciones de Seguridad centralizado. Uruguay ha recibido apoyo financiero del BID con un programa inicial de 10 millones de dólares y un componente adicional de 6 millones de dólares, cifra menor a los 27 millones que ha invertido Chile exclusivamente para fortalecer su capacidad central en ciberseguridad.
En definitiva, la ciberseguridad ya no es solo un asunto de informáticos, es la base de la confianza digital que, a su vez, es crucial para el desarrollo moderno. Uruguay tiene cimientos en esta área y una hoja de ruta pero se requiere una voluntad política sostenida y una capacidad técnica que supere las decisiones electorales y tenga en cuenta la necesidad de formación de recursos humanos acorde a la ciberseguridad que el país necesita para el futuro próximo.
