EN RESUMEN
Esta serie explica, en siete entregas, cómo una organización encuentra sus debilidades informáticas antes que un atacante, decide cuáles corregir primero y demuestra que lo hizo con diligencia. Cada tema conecta la práctica técnica con lo que hoy exige la normativa ecuatoriana: la Ley Orgánica de Protección de Datos Personales (LOPDP) y la Ley Orgánica para el Fortalecimiento de la Ciberseguridad de 2026.
Una precisión necesaria: la LOPDP no es una norma exclusivamente informática. Según su art. 2, se aplica al tratamiento de datos personales contenidos en cualquier tipo de soporte, automatizados o no, así como a toda modalidad de uso posterior; protege igual un expediente en papel que una base de datos. Esta serie la analiza desde un ángulo concreto: la seguridad de los sistemas informáticos en los que se tratan esos datos.
POR QUÉ ESTE TEMA, Y POR QUÉ AHORA
Muchos ataques no necesitan una técnica sofisticada: aprovechan fallas que ya son conocidas y que nadie corrigió a tiempo. El catálogo de vulnerabilidades explotadas en la práctica que mantiene la agencia estadounidense CISA reúne 1 754 casos confirmados a octubre de 2026.
El problema no es la falta de información, sino el exceso. Un escaneo puede devolver cientos o miles de hallazgos, y ningún equipo puede corregirlos todos a la vez. Por eso la pregunta de fondo no es "¿tengo vulnerabilidades?", que siempre tendrá un sí por respuesta, sino "¿cuáles atiendo primero y cómo lo demuestro?".
En Ecuador esa pregunta tiene hoy consecuencias legales. En 2026 cambiaron tres cosas:
- Mayo: la Ley Orgánica para el Fortalecimiento de la Ciberseguridad reformó la notificación de vulneraciones de datos personales, que ahora también llega al CSIRT. Además reguló por primera vez el hacking ético y fijó 72 horas para que entidades públicas e infraestructura crítica reporten incidentes.
- Junio: CISA cambió en Estados Unidos la forma de priorizar parches, del puntaje de gravedad a un análisis de riesgo con cuatro criterios.
- Septiembre: la Superintendencia de Protección de Datos Personales expidió la norma técnica de notificación de vulneraciones.
QUÉ ES LA GESTIÓN DE VULNERABILIDADES
Es el proceso continuo de identificar, clasificar, priorizar y corregir las debilidades de los sistemas de una organización. En inglés se la conoce como Vulnerability Assessment and Management (VAM).
Tres ideas la resumen:
- Es un ciclo, no un evento. Va del inventario a las métricas que mejoran la siguiente vuelta.
- Se decide por riesgo, no por volumen. Lo urgente depende de qué tan grave es la falla, si ya se explota, qué tan expuesto está el sistema y qué datos protege.
- Lo que no se documenta no existe. El informe, el plan de corrección y la verificación son la evidencia de diligencia que pedirá una autoridad después de un incidente.
QUÉ VAMOS A RECORRER
Cada entrega tendrá un artículo como este, material de estudio y preguntas de práctica.
- Fundamentos y ciclo de vida.
- Tipos de vulnerabilidades y metodologías.
- CVE, CVSS, Cyber Kill Chain y OWASP Top 10.
- Herramientas de evaluación (Nmap, OpenVAS, Nessus, Burp Suite) y sus reglas legales de uso.
- Interpretar resultados y priorizar.
- Mitigación y monitoreo continuo.
- Integración y recursos.
El hilo conductor ecuatoriano: en cada entrega se verá qué parte de la LOPDP, de la Ley de Ciberseguridad o de las resoluciones de la SPDP se cumple con esa práctica técnica. Esa conexión casi no se encuentra en español.
PARA QUIÉN ES Y CÓMO APROVECHARLA
- Estudiantes de TI y seguridad: cada entrega trae lectura, ejercicios y preguntas en el estilo de las certificaciones internacionales.
- Docentes: el material es reutilizable bajo licencia abierta, con guía de clase, presentación y rúbrica.
- Responsables de TI y delegados de protección de datos: la serie traduce cada práctica técnica en la evidencia de cumplimiento que pide la normativa.
No hace falta ser experto: basta con nociones de redes y sistemas. Las partes prácticas se hacen siempre en laboratorios propios, nunca sobre sistemas de terceros.
FUENTES
- CISA. Known Exploited Vulnerabilities Catalog (1 754 entradas, consultado el 22 de octubre de 2026). https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- CISA (2026, 10 de junio). BOD 26-04: Prioritizing Security Updates Based on Risk. https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- Ley Orgánica para el Fortalecimiento de la Ciberseguridad. Registro Oficial, Quinto Suplemento 290, 22 de mayo de 2026. https://www.asambleanacional.gob.ec/es/system/files/ro_29.pdf
- SPDP (2026). Resolución SPDP-SPD-2026-0040-R. https://www.fielweb.com/App_Themes/InformacionInteres/Resoluci%C3%B3n%20N%C2%B0%20SPDP-SPD-2026-0040-R.pdf
Contenido educativo; no constituye asesoría legal. Licencia CC BY-SA 4.0.