“¿Qué nos obliga la ley en materia de ciberseguridad?” es una pregunta que las gerencias hacen cada vez más, y que suele recibir respuestas confusas. Parte de la confusión viene de que en Ecuador no existe una única norma que concentre todas las obligaciones: hay varias fuentes que se superponen.
Esta guía ordena el panorama para que sepas qué te aplica según tu actividad y por dónde empezar.
Nota importante: el marco normativo evoluciona y sus reglamentos se actualizan. Lo que sigue es orientación general sobre qué revisar, no asesoría legal ni un listado exhaustivo. Antes de tomar decisiones de cumplimiento, valida el estado vigente con asesoría jurídica.
De dónde salen tus obligaciones
Las exigencias de seguridad de la información llegan por cuatro vías distintas, y muchas empresas solo conocen una:
| Fuente | A quién aplica | Qué exige, en general |
|---|---|---|
| Protección de datos personales | A toda organización que trate datos de personas | Medidas técnicas y organizativas, gestión de incidentes, derechos de los titulares |
| Normativa sectorial | Sectores regulados: financiero, salud, telecomunicaciones, entre otros | Controles específicos definidos por el organismo de control |
| Requisitos contractuales | Quien presta servicios a terceros | Lo que exija el cliente en el contrato |
| Estándares voluntarios | Quien busca certificarse | Sistema de gestión con evidencia auditable |
La cuarta fila es voluntaria en origen pero se vuelve obligatoria en la práctica: cada vez más empresas grandes exigen a sus proveedores demostrar controles de seguridad para poder contratarlos.
La base que aplica a casi todos: protección de datos
Si tu empresa maneja nombres, cédulas, correos, teléfonos o cualquier información de personas identificables —y prácticamente todas lo hacen— estás dentro del alcance de la normativa de protección de datos personales.
Las obligaciones que más impacto operativo tienen:
- Medidas de seguridad razonables sobre los datos que tratas, tanto técnicas como organizativas.
- Finalidad declarada. Saber para qué recolectas cada dato y no usarlo para otra cosa.
- Minimización. No recolectar ni conservar más de lo necesario.
- Gestión de incidentes. Procedimiento para detectar, evaluar y, cuando corresponda, notificar una vulneración.
- Derechos de los titulares. Canal para atender solicitudes de acceso, rectificación, eliminación y oposición.
- Contratos con encargados. Si un proveedor trata datos por ti, las obligaciones deben constar por escrito.
El panorama completo lo desarrollamos en qué es la LOPDP y cómo afecta a tu empresa.
Qué significa “medidas razonables” en la práctica
La normativa no publica una lista cerrada de controles, porque lo razonable depende del tamaño de la organización, del volumen de datos y de su sensibilidad. Pero hay un conjunto que difícilmente se considera prescindible:
| Medida | Por qué se espera |
|---|---|
| Control de accesos por rol | Que cada persona vea solo lo que necesita |
| Autenticación reforzada | Una contraseña sola dejó de ser suficiente |
| Cifrado de datos sensibles | En tránsito y en reposo |
| Respaldos con restauración probada | Disponibilidad ante incidentes |
| Actualizaciones de seguridad | Cerrar vulnerabilidades conocidas |
| Registro de actividad | Poder reconstruir qué pasó |
| Concienciación del personal | El factor humano es el vector principal |
| Procedimiento de incidentes | Saber qué hacer antes de necesitarlo |
Si tuvieras que demostrar diligencia ante una revisión, estos ocho son los que primero te van a preguntar.
Cómo saber qué te aplica a ti
Cuatro preguntas ordenan el diagnóstico:
- ¿Qué datos personales tratas y de quiénes? Clientes, colaboradores, proveedores. Si incluyes datos sensibles como salud o biométricos, el nivel de exigencia sube.
- ¿Estás en un sector regulado? Financiero, salud, telecomunicaciones y otros tienen normativa propia del organismo de control.
- ¿Tus contratos exigen algo? Revisa los contratos con clientes grandes: muchos incluyen cláusulas de seguridad que ya te obligan.
- ¿Buscas certificarte? Si un cliente o una licitación lo pide, aplica el estándar correspondiente.
Por dónde empezar si estás en cero
El error común es empezar comprando tecnología. El orden que funciona es otro:
- Inventario de datos. Qué datos personales tienes, dónde están, quién accede y para qué. Sin esto, todo lo demás es a ciegas.
- Diagnóstico de brecha. Comparar tu estado actual contra lo exigible y priorizar.
- Documentos base. Política de privacidad, política de seguridad, procedimiento de incidentes, cláusulas para contratos con proveedores.
- Controles técnicos prioritarios. Accesos, doble factor, respaldos, cifrado.
- Concienciación del personal. Capacitación y ejercicios prácticos.
- Evidencia y revisión periódica. Documentar lo que haces, porque cumplir sin poder demostrarlo tiene poco valor ante una revisión.
Ese último punto define la diferencia entre estar seguro y poder demostrarlo. Ante una autoridad o un auditor, lo segundo es lo que cuenta.
El componente que más se subestima
La concienciación del personal. Se puede invertir en infraestructura y aun así perder los datos porque alguien entregó sus credenciales en un correo falso.
Además, es de los pocos controles que produce evidencia medible y comparable en el tiempo, lo que lo vuelve especialmente útil frente a auditorías. Lo desarrollamos en simulación de phishing para cumplir ISO 27001.
Preguntas frecuentes
¿Una empresa pequeña también tiene estas obligaciones?
Sí. Las obligaciones de protección de datos no dependen del tamaño sino del tratamiento: si manejas datos personales, aplican. Lo que sí varía es qué se considera razonable: a una empresa de diez personas no se le exigen los mismos controles que a un banco, pero sí se espera diligencia proporcional.
¿Certificarme en un estándar me exime de otras obligaciones?
No. Una certificación demuestra que tienes un sistema de gestión ordenado y es una evidencia valiosa, pero no reemplaza el cumplimiento de la normativa de protección de datos ni de la regulación sectorial. Son capas que se complementan.
¿Qué pasa si tercerizo mis sistemas en la nube?
La responsabilidad como responsable del tratamiento sigue siendo tuya. Contratar un proveedor no traslada la obligación: lo que debes hacer es asegurarte de que ese proveedor ofrece garantías suficientes y que las obligaciones constan por escrito en un contrato de encargo de tratamiento.
¿Cómo verifico qué normativa está vigente hoy?
El marco evoluciona y sus reglamentos se actualizan, así que conviene revisar las publicaciones oficiales de la autoridad de protección de datos y del organismo de control de tu sector, y validar con asesoría legal. Un diagnóstico de cumplimiento con acompañamiento jurídico es la forma más segura de saber exactamente qué te aplica.
Artículos relacionados
- Simulación de phishing para cumplir ISO 27001
- Aseguramiento de servidores: hardening y protección de datos
- Dónde quedan los datos de una simulación de phishing
Ciberseguridad para empresas
¿Necesitas medir la exposición real de tu equipo?
Ejecutamos simulaciones controladas con autorización formal, escenarios por área e informes ejecutivo y técnico. Sin almacenar contraseñas reales y con evidencia lista para auditoría.
Solicitar propuesta
Ver servicios
proyectos@bluenova.com.ec · +593 96 949 8704 · Quito, Ecuador
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.