En esta guía · 12 secciones
Puntos clave
- La LOPDP (art. 37) pide al responsable y al encargado medidas de seguridad según las categorías y el volumen de datos, el estado de la técnica y los costos, y evidenciar que mitigan los riesgos identificados.
- Entre las medidas que la ley menciona están el cifrado o la seudonimización y las que mantienen la confidencialidad, integridad y disponibilidad de los sistemas (art. 37, numerales 1 y 2).
- Una vulneración de datos personales se notifica a la Autoridad de Protección de Datos, al organismo de regulación y control competente y, con fines informativos y de coordinación técnica, al CSIRT correspondiente, a más tardar en el término de cinco días desde que se conoce, salvo que sea improbable que genere riesgo para las personas (LOPDP art. 43, reformado el 22-may-2026).
- La Superintendencia de Protección de Datos Personales recibe esas notificaciones en un formulario en línea que aclara que notificar no es una denuncia.
- El marco de ciberseguridad del NIST (CSF 2.0, febrero de 2024) ordena el trabajo en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar.
La seguridad informática es el conjunto de medidas que protegen los datos y los sistemas de una empresa para que la información no se filtre, no se altere sin permiso y esté disponible cuando se necesita. En Ecuador, además, si esos sistemas guardan datos personales de clientes o empleados, la Ley Orgánica de Protección de Datos Personales (LOPDP) pide medidas de seguridad proporcionales al riesgo y avisar de las vulneraciones a la Superintendencia, al organismo de regulación y control competente y al CSIRT correspondiente (artículo 43, reformado por la Ley Orgánica para el Fortalecimiento de la Ciberseguridad de mayo de 2026).
Qué es la seguridad informática
Se resume en tres propiedades de la información, las mismas que nombra la LOPDP en su artículo 37:
- Confidencialidad: solo acceden quienes deben (un exempleado con su clave activa rompe esto).
- Integridad: los datos no se modifican sin autorización (una factura alterada, una base de clientes borrada).
- Disponibilidad: los sistemas funcionan cuando se necesitan (un ransomware que cifra el servidor rompe esto).
No es solo tecnología. La ley habla de medidas «de carácter técnico, organizativo y de cualquier otra índole»: una política de accesos, un respaldo probado y una persona capacitada para reconocer un correo fraudulento pesan tanto como un antivirus.
Ciberseguridad y seguridad de la información: la diferencia
En el día a día se usan como sinónimos. Con matices: la seguridad de la información protege la información en cualquier formato (también papel y conversaciones); la seguridad informática, los equipos y sistemas que la procesan; y la ciberseguridad, la protección frente a amenazas que llegan por redes e internet. Desde mayo de 2026 la ley ecuatoriana define ciberseguridad como la protección de servicios esenciales e infraestructura crítica digital, la gestión de riesgos e incidentes, la resiliencia del ecosistema digital y la confianza en el entorno digital (Ley Orgánica de Transformación Digital y Audiovisual, art. 2, literal h, agregado por la Ley Orgánica para el Fortalecimiento de la Ciberseguridad).
Principios de la seguridad informática
Los tres clásicos, que la ley también recoge:
- Confidencialidad: solo acceden quienes están autorizados.
- Integridad: la información y los sistemas no se alteran sin autorización.
- Disponibilidad: los datos y servicios funcionan cuando se necesitan.
La Ley de Ciberseguridad de 2026 suma, entre otros, control de daños (actuar rápido ante un incidente), proporcionalidad (medidas acordes al riesgo), seguridad y privacidad desde el diseño y por defecto, resiliencia y responsabilidad compartida entre quien presta un servicio digital y quien lo usa (art. 20-B).
Tipos de seguridad informática
Una clasificación muy citada distingue tres tipos: seguridad de hardware, de software y de red. Para una empresa conviene una más completa, según lo que se protege:
| Tipo | Qué protege | Medidas típicas |
|---|---|---|
| De la información | Los datos en sí, estén donde estén | Clasificación, cifrado, respaldos, control de quién ve qué |
| De equipos (endpoint) | Computadoras, portátiles y celulares | Actualizaciones, antivirus, cifrado de disco, bloqueo remoto |
| De red | La conexión de la oficina y el acceso remoto | Firewall, wifi separada para visitas, VPN, cierre de puertos y escritorio remoto expuestos |
| De aplicaciones y nube | Correo, facturación, CRM, tienda en línea | Doble factor de autenticación, permisos por rol, configuración revisada |
| Física | Servidores, equipos y documentos | Acceso restringido, energía de respaldo, destrucción segura |
| Humana | Las personas que usan todo lo anterior | Capacitación contra el phishing, procedimiento de alta y baja de usuarios |
Otra forma de ordenarla, útil para planificar, es el marco de ciberseguridad del NIST (CSF 2.0), que agrupa todo en seis funciones:
| Función (NIST CSF 2.0) | Pregunta que responde | Ejemplo en una pyme |
|---|---|---|
| Gobernar | ¿Quién decide y con qué política? | Un responsable y una política de seguridad escrita |
| Identificar | ¿Qué tenemos y qué riesgos corre? | Inventario de equipos, cuentas, datos y proveedores |
| Proteger | ¿Cómo lo resguardamos? | Accesos, doble factor, cifrado, actualizaciones, capacitación |
| Detectar | ¿Cómo nos enteramos de un ataque? | Alertas de inicio de sesión, revisión de registros |
| Responder | ¿Qué hacemos cuando pasa? | Procedimiento de incidente y a quién notificar |
| Recuperar | ¿Cómo volvemos a operar? | Restaurar respaldos y comunicar |
Amenazas más comunes para una empresa
| Amenaza | Cómo ocurre | Qué la frena |
|---|---|---|
| Phishing | Un correo o mensaje que imita a un banco, al SRI o a un proveedor pide una clave o un pago | Capacitación, doble factor y verificar por otro canal |
| Suplantación de proveedor | Llega una «nueva cuenta bancaria» de un proveedor conocido para cambiar un pago | Confirmar todo cambio de cuenta por teléfono con un contacto conocido |
| Ransomware | Un programa cifra los archivos y pide un rescate | Actualizaciones, respaldos fuera de línea y restauración probada |
| Credenciales robadas o repetidas | La misma clave en varios servicios; una filtración abre todos | Gestor de contraseñas y doble factor |
| Accesos de exempleados | Cuentas que siguen activas después de una salida | Baja de accesos el mismo día |
| Pérdida o robo de equipos | Una portátil o memoria sin cifrar con datos de clientes | Cifrado de disco y borrado remoto |
| Suplantación de tu dominio de correo | Alguien envía correos que parecen de tu empresa | Registros SPF, DKIM y DMARC en tu dominio |
Google explica, por ejemplo, que el registro SPF impide que los generadores de spam envíen mensajes no autorizados que parezcan provenir de tu dominio; la guía de email marketing explica cómo configurarlo.
Medidas mínimas para una empresa pequeña o mediana
- Inventario: equipos, cuentas (correo, banca, SRI, redes), sistemas y qué datos personales guarda cada uno.
- Actualizaciones al día del sistema operativo y las aplicaciones: los parches corrigen vulnerabilidades que ya son públicas. La guía de mantenimiento de computadoras tiene las fechas de fin de soporte de Windows.
- Doble factor de autenticación en correo, banca y todo sistema en la nube.
- Accesos por rol y baja el mismo día en que alguien sale de la empresa.
- Respaldos automáticos, con una copia fuera de la oficina, y una prueba de restauración periódica.
- Cifrado de portátiles y memorias externas, y guarda de los certificados de firma electrónica y sus claves fuera del escritorio.
- Capacitación breve y repetida contra el phishing y la suplantación.
- Procedimiento de incidente escrito: quién decide, a quién se llama y a quién se notifica.
Qué hacer en las primeras horas de un incidente
- Contener: desconectar de la red el equipo afectado, cambiar las claves comprometidas y cerrar sesiones abiertas.
- No borrar evidencia: no formatear ni reinstalar hasta saber qué pasó.
- Avisar al responsable definido en el procedimiento y registrar la hora en que se conoció el incidente: desde ese momento corre el plazo de la LOPDP si hay datos personales afectados.
- Evaluar qué sistemas y qué datos se afectaron, y si hay riesgo para las personas.
- Notificar a quien corresponda (ver la tabla más abajo) y, si hay riesgo para sus derechos, a las personas afectadas.
- Recuperar desde respaldos probados y documentar qué se cambia para que no se repita.
El marco del NIST ordena este mismo recorrido en sus funciones de detectar, responder y recuperar.
Teletrabajo y equipos personales
Cuando el equipo trabaja desde casa o con su propio celular, las mismas medidas aplican fuera de la oficina: doble factor en el correo y los sistemas, sesión separada para el trabajo, equipos con bloqueo de pantalla y cifrado, y acceso a los datos de la empresa solo desde aplicaciones que la empresa controla. Si un celular personal tiene el WhatsApp de ventas o el correo de la empresa, conviene definir qué pasa con esa información cuando la persona deja de trabajar ahí.
Ley de Ciberseguridad 2026: ¿aplica a tu empresa?
La Ley Orgánica para el Fortalecimiento de la Ciberseguridad (Registro Oficial 5.º Suplemento 290, 22 de mayo de 2026) agregó un título de ciberseguridad a la Ley Orgánica de Transformación Digital y Audiovisual. Según su artículo 20-A, ese título se aplica a:
| Quién | Hasta dónde |
|---|---|
| Sector público | En lo que corresponda a la gestión de servicios esenciales o infraestructura crítica digital |
| Prestadores de servicios digitales: nube, centros de datos, pasarelas de pago, plataformas de intermediación, entre otros | Solo respecto de lo que está bajo su control (responsabilidad compartida) |
| Empresas privadas responsables de infraestructura crítica digital o con incidencia directa en servicios esenciales | Según los criterios de la normativa técnica |
La misma ley aclara que no es exigible a personas naturales ni a empresas cuya actividad no haya sido clasificada como crítica o esencial por el ente rector, salvo el último caso de la tabla. Y en los sectores sin un órgano de control especializado, el régimen sancionador será exigible después de 24 meses desde que se expida la normativa técnica básica. Para la mayoría de pymes, la obligación de seguridad que ya rige es la de la LOPDP (siguiente sección); la Ley de Ciberseguridad pesa más si eres proveedor de servicios digitales o trabajas para un sector crítico.
Qué exige la LOPDP en seguridad
La ley no impone una lista cerrada de herramientas. Pide al responsable y al encargado del tratamiento:
- Medidas proporcionales: según las categorías y el volumen de datos, el estado de la técnica, las mejores prácticas y los costos (art. 37).
- Un análisis de riesgos, amenazas y vulnerabilidades con una metodología que considere el tratamiento, las partes involucradas y los datos (art. 40), y medidas elegidas a partir de ese análisis (art. 41).
- Evaluación continua de que las medidas funcionan, y poder evidenciar que mitigan los riesgos identificados (art. 37).
- Entre las medidas posibles, la ley menciona el cifrado o la seudonimización, las que mantienen la confidencialidad, integridad y disponibilidad, y las de resiliencia; y permite acogerse de forma voluntaria a estándares internacionales o a códigos de conducta autorizados por la Autoridad (art. 37, numerales 1 a 4).
La guía de la LOPDP explica el resto de obligaciones y las multas.
Ciberseguridad en Ecuador: a quién notificar un incidente
| Situación | A quién | Base o canal |
|---|---|---|
| Vulneración que afecta datos personales | Autoridad de Protección de Datos, organismo de regulación y control competente y, con fines informativos, el CSIRT correspondiente; a más tardar en el término de cinco días desde que se conoce, salvo que sea improbable que genere riesgo para las personas | LOPDP art. 43; formulario de notificación de vulneración de la Superintendencia |
| Vulneración ocurrida en un proveedor que trata tus datos (encargado) | El proveedor avisa a tu empresa en el término de dos días | LOPDP art. 43 |
| Ayuda técnica para gestionar un incidente | EcuCERT, el centro de respuesta a incidentes de ARCOTEL | Formulario «Reporte de incidente» (registro o asesoría) |
| Hubo un delito (robo de dinero, extorsión, suplantación) | Fiscalía General del Estado | Denuncia |
Cuándo pedir ayuda
Si tu empresa guarda datos de clientes o empleados y no tiene inventario, respaldos probados ni un procedimiento de incidentes, conviene una revisión de seguridad y cumplimiento antes de que el primer incidente lo haga por ti.
Preguntas frecuentes
- ¿Qué es la ciberseguridad según la ley ecuatoriana?
- La Ley Orgánica de Transformación Digital y Audiovisual, reformada por la Ley Orgánica para el Fortalecimiento de la Ciberseguridad (Registro Oficial 5.º Suplemento 290, 22 de mayo de 2026), la define como la protección de servicios esenciales e infraestructura crítica digital, la gestión de riesgos e incidentes, la resiliencia del ecosistema digital y el fortalecimiento de la confianza nacional en el entorno digital.
- ¿La Ley de Ciberseguridad de 2026 aplica a mi empresa?
- Su título de ciberseguridad aplica al sector público que gestiona servicios esenciales o infraestructura crítica digital, a los prestadores de servicios digitales (nube, centros de datos, pasarelas de pago, plataformas de intermediación) respecto de lo que está bajo su control, y a las empresas privadas responsables de infraestructura crítica digital o con incidencia directa en servicios esenciales. La ley dice que no es exigible a personas naturales ni a empresas no clasificadas como críticas o esenciales por el ente rector, salvo ese último caso. La LOPDP sí aplica a toda empresa que trate datos personales.
- ¿Cuáles son los principios de la seguridad informática?
- Los tres clásicos son confidencialidad, integridad y disponibilidad. La Ley de Ciberseguridad de 2026 los recoge y suma otros, como control de daños, proporcionalidad, seguridad y privacidad desde el diseño y por defecto, resiliencia y responsabilidad compartida.
- ¿Qué es la seguridad informática en una empresa?
- Es el conjunto de medidas técnicas, organizativas y de personas que protegen los datos y los sistemas de la empresa para que la información no se filtre (confidencialidad), no se altere sin autorización (integridad) y esté disponible cuando se necesita (disponibilidad). Incluye desde contraseñas y respaldos hasta políticas de acceso y un plan para responder a incidentes.
- ¿Cuál es la diferencia entre seguridad informática y ciberseguridad?
- En la práctica se usan casi como sinónimos. Suele llamarse ciberseguridad a la protección frente a amenazas que llegan por redes e internet, y seguridad informática o de la información al concepto más amplio, que también cubre equipos, documentos, accesos físicos y errores humanos.
- ¿La ley obliga a mi empresa a tener seguridad informática?
- Si la empresa trata datos personales de clientes, empleados o proveedores, la LOPDP le pide medidas de seguridad proporcionales a los datos que maneja y al riesgo (arts. 37, 40 y 41), y un proceso continuo para evaluarlas. La ley no fija una lista cerrada de herramientas: cada medida depende del análisis de riesgos.
- ¿A quién aviso si sufro un ataque o una fuga de datos?
- Si el incidente afecta datos personales, el responsable lo notifica a la Autoridad de Protección de Datos, al organismo de regulación y control competente y, con fines informativos y de coordinación técnica, al CSIRT correspondiente, a más tardar en el término de cinco días (LOPDP art. 43, reformado el 22-may-2026); la Superintendencia tiene un formulario en línea para eso. Para ayuda técnica, EcuCERT, el centro de respuesta a incidentes de ARCOTEL, tiene un formulario de reporte. Si hubo un delito, la denuncia va a la Fiscalía.
- ¿Qué medidas de seguridad informática son las mínimas para una pyme?
- Inventario de equipos, cuentas y datos; actualizaciones al día; doble factor de autenticación en correo y sistemas en la nube; accesos por rol y baja inmediata de exempleados; respaldos que se prueban restaurando; cifrado de equipos portátiles; capacitación contra el phishing; y un procedimiento escrito de qué hacer ante un incidente.
- ¿Qué hacer si la empresa sufre un ataque informático?
- Contener (desconectar el equipo afectado y cambiar claves), no borrar evidencia, registrar la hora en que se conoció, evaluar qué datos se afectaron y notificar: si hay datos personales en riesgo, a la Autoridad de Protección de Datos, al organismo de regulación y control competente y al CSIRT correspondiente en el término de cinco días (LOPDP art. 43, reformado el 22-may-2026); para ayuda técnica, a EcuCERT; y si hubo un delito, a la Fiscalía.
Fuentes consultadas
- Ley Orgánica para el Fortalecimiento de la Ciberseguridad, Registro Oficial 5.º Suplemento 290 (22-may-2026), art. 14: reforma del art. 43 de la LOPDP · cotejado 2026-10-20
- Ley Orgánica de Protección de Datos Personales, RO 5.º Supl. 459 (26-may-2021), arts. 37, 40, 41 y 43 (texto oficial en PDF, MINTEL) · consultado 2026-09-27
- Superintendencia de Protección de Datos Personales · Notificación de vulneración (formulario en línea) · consultado 2026-09-27
- EcuCERT de ARCOTEL · Centro de respuesta a incidentes informáticos del Ecuador · consultado 2026-09-27
- EcuCERT de ARCOTEL · Reporte de incidente · consultado 2026-09-27
- Google · Lineamientos para remitentes de correo (SPF contra la suplantación del dominio) · consultado 2026-09-28
- NIST · The NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29 (26-feb-2024) · consultado 2026-09-27
Sigue leyendo en Protección de datos y seguridad
guia · 10 min · 20 oct 2026
Ley de protección de datos personales Ecuador (LOPDP): qué exige
La LOPDP (Registro Oficial 5.º Suplemento 459, 26 de mayo de 2021) aplica a cualquier empresa que trate datos de clientes, empleados o proveedores. Aquí, lo que exige y cómo cumplirlo, artículo por artículo.