Panorama de la Ciberseguridad en Perú

Tesis

Perú ha construido un marco legal e institucional para la seguridad digital, pero persisten vacíos regulatorios y una brecha entre la preparación percibida y la inversión real. El ecosistema estatal se articula en torno al CNSD y la SGTD, con instrumentos recientes como la ESNACIB 2026–2028 y el ejercicio nacional SIMAC.

Marco legal

• Ley N.º 30096 (Delitos Informáticos, 2013): sanciona el acceso no autorizado a cualquier sistema informático. Consecuencia directa para el sector: el hacking ético / pentesting solo está permitido con autorización explícita.
• Ley N.º 29733 (Protección de Datos): consagra el derecho a la privacidad de los datos personales.
• Decreto de Urgencia N.º 007-2020: aprueba el "Marco de Confianza Digital", crea formalmente el Centro Nacional de Seguridad Digital (CNSD) y establece la obligatoriedad de reportar incidentes para proveedores de servicios digitales críticos.
• Ley de Gobierno Digital (DL 1412, 2018): gobernanza de identidad, interoperabilidad y seguridad; su Artículo 32 reconoce al CNSD dentro del "Marco de Seguridad Digital del Estado Peruano".

Pese a este andamiaje, los analistas señalan vacíos regulatorios fuera de los sectores público y financiero: las obligaciones a empresas privadas (p. ej. notificación de incidentes) aún se están consolidando — con el DS 126-2025 que fija protocolos específicos de notificación y el DS 016-2024-JUS que actualizó la ley de protección de datos a inicios de 2025. Perú carece de una ley integral de ciberseguridad que abarque todos los sectores y de una política nacional unificada para la industria privada, a diferencia de países con estatutos de ciberseguridad independientes y autoridades unificadas.

Instituciones clave: CNSD y SGTD

El CNSD — creado por el DU 007-2020 y ubicado en la Presidencia del Consejo de Ministros — "gestiona, dirige, coordina y supervisa" todas las actividades nacionales de seguridad digital. Funciona como coordinador civil: opera el CSIRT nacional (PECERT, Equipo de Respuesta ante Incidentes de Seguridad Digital Nacional), gestiona un registro nacional de incidentes y es el punto único de contacto para CERT internacionales y coordinación público-privada.

Está encabezado por la Secretaría de Gobierno y Transformación Digital (SGTD) de la PCM, la agencia digital del gobierno: supervisa la estrategia nacional de transformación digital, la política de confianza y seguridad digital y los sistemas de identidad digital. La SGTD creó una Subsecretaría de Tecnologías y Seguridad Digital para gestionar los esfuerzos de ciberdefensa.

En resumen, el tándem SGTD–CNSD es la agencia nacional de ciberseguridad de facto: la SGTD define política y coordinación; el CNSD ejecuta operaciones y respuesta a incidentes.

Datos de actividad

• En 2024, el CNSD procesó más de 8 millones de transacciones de alertas de seguridad en apoyo a entidades públicas (intercambio automatizado de threat intelligence).
• Un informe de Kaspersky contabilizó 64 millones de intentos de ataques de malware contra Perú entre junio de 2023 y julio de 2024 (~177,000 por día).
• El gobierno reconoce que muchos ciudadanos y organizaciones carecen aún de conciencia básica en ciberseguridad.

Estrategia Nacional de Ciberseguridad (ESNACIB 2026–2028)

Lanzada como borrador oficial en agosto de 2025 por la PCM (a través de la SGTD y el CNSD), es el principal instrumento estatal para la protección digital del trienio. Objetivo: consolidar un entorno cibernético seguro, resiliente y confiable frente a amenazas crecientes (cita explícita a IA y computación cuántica).

Se estructura en ocho pilares estratégicos: gobernanza y liderazgo; protección de infraestructura crítica; regulación y cumplimiento; gestión de riesgos y respuesta a incidentes; cibercrimen; ciberdefensa; investigación e innovación; cooperación internacional.

• Obligatoria para todas las entidades del sector público; recomendada para privado y ciudadanía.
• Se integra con el Plan Estratégico de Desarrollo Nacional 2050, la Política Nacional de Transformación Digital 2030 y la Ley de Protección de Datos Personales; referencia el Índice Global de Ciberseguridad de la UIT y directrices de la OCDE.
• El tercer año (2028) está designado para la evaluación y ajuste de objetivos.

SIMAC 2026: Simulacro Nacional de Ciberataques

El 16 de julio de 2026, la PCM/SGTD ejecutó el cuarto ejercicio anual del SIMAC ("Simulacro de Ataques Cibernéticos"), liderado por el CNSD y con participación pública y privada en un escenario coordinado de ataque y defensa.

• Alcance: ataques simulados realistas contra sistemas de los participantes, probando detección, análisis, contención, recuperación y coordinación.
• Organización: el CNSD actúa como equipo rojo en una red de entrenamiento controlada; los equipos participantes actúan como equipos azules.
• Escenarios: robo de credenciales, explotación de vulnerabilidades, ataques a aplicaciones web, ransomware, infiltración de malware, acceso remoto no autorizado y movimiento lateral.
• Participantes: Oficiales de Seguridad y Confianza Digital (OSCD), CSIRT o equivalentes de instituciones públicas, y personal de seguridad de organizaciones privadas, operadores de servicios esenciales, infraestructura crítica y universidades.
• Resultados: el CNSD entrega a cada entidad un informe confidencial con fortalezas, debilidades y recomendaciones.
• Trayectoria: comenzó en 2022 y es un ejercicio anual establecido; cada edición aumentó realismo y alcance.

El SIMAC es el análogo peruano de ejercicios nacionales como CyberNuke (Estonia) o Cyber Storm (EE. UU.), apostando por la "cultura de ciberseguridad" mediante práctica proactiva.

Sector privado y mercado

• Más del 70 % de las empresas grandes y medianas peruanas se consideran preparadas para afrontar brechas — quizás de forma optimista —, pero muchas carecen de presupuesto o personal dedicado.
• Kaspersky: el 12 % de las empresas latinoamericanas sufrieron incidentes por bajo gasto en ciberseguridad.
• Medidas en adopción (LatAm): detección avanzada de amenazas y capacitación de usuarios (53 %), contratación de más profesionales TI/seguridad (45 %), protección de endpoints (43 %), migración a seguridad en la nube (32 %).
• Kaspersky advierte que "la escasez de recursos financieros y las protecciones insuficientemente robustas" son problemas generalizados.

La brecha entre preparación percibida y gasto real se atribuye a falta de incentivos y conciencia. Opciones de política propuestas: incentivos fiscales para empresas que actualicen su seguridad, auditorías de seguridad subsidiadas para pymes y estándares obligatorios para las principales iniciativas digitales.

Fuentes: documentos gubernamentales recientes e informes de prensa (textos legales peruanos, comunicados de la PCM y estudios latinoamericanos de ciberseguridad).