Por qué esta guía existe

En las últimas semanas, Ecuador ha vivido dos filtraciones masivas de datos atribuidas a entidades públicas: la Agencia Nacional de Tránsito con cerca de 17 millones de registros, y el Registro Civil con casi 15 millones de identidades y 165 GB de imágenes biométricas.

Si las instituciones que manejan los datos más sensibles del país están comprometidas, es ingenuo creer que las empresas privadas — bancos, cooperativas, retail, salud, fintechs, e-commerce — están a salvo. No lo están.

Esta guía es para fundadores, CTOs, IT managers y responsables técnicos en Ecuador que necesitan acciones concretas, no charlas motivacionales.

Cambia el enfoque: del "perímetro" al "Zero Trust"

El modelo viejo asumía que dentro de la red corporativa todo era confiable y solo había que vigilar el borde. Ese modelo murió.

Zero Trust parte de tres principios:

Nunca confíes, siempre verifica. Cada solicitud — interna o externa — se autentica y autoriza.
Mínimo privilegio. Cada usuario, servicio y token tiene exactamente los permisos que necesita, ni uno más.
Asumir compromiso. Diseña el sistema asumiendo que el atacante ya está dentro.

Esto cambia decisiones cotidianas:

Las VPNs corporativas tradicionales se reemplazan por acceso por aplicación (ZTNA).
Las cuentas de servicio dejan de ser "admin" por defecto.
Las sesiones expiran y requieren reautenticación frecuente.
Cada acceso queda registrado y es auditable.

Los 10 controles mínimos que toda empresa ecuatoriana debe tener

No son recomendaciones teóricas: es el piso mínimo para que tu empresa no termine en un titular.

1. MFA en todo lo administrativo

Sin excepciones. Google Workspace, Microsoft 365, AWS, Azure, GCP, GitHub, GitLab, base de datos, panel del proveedor de hosting, cuenta del banco, dominio en el registrar.

Si una sola de esas cuentas no tiene MFA, esa es la puerta por donde entrarán.

2. SSO centralizado

Cuando un colaborador deja la empresa, debes poder revocar todos sus accesos en un solo clic. Si tienes 30 sistemas con 30 usuarios distintos, ese clic se vuelve un proceso manual de horas — y siempre se olvida alguno.

3. Gestión de secretos

Cero credenciales en código. Cero .env versionados. Cero llaves API en mensajes de Slack.

Usa AWS Secrets Manager, HashiCorp Vault, Doppler o equivalentes. Rota las credenciales periódicamente y audita su uso.

4. Cifrado en reposo y en tránsito

Bases de datos: cifrado nativo activado (RDS, Cloud SQL, MongoDB Atlas).
Almacenamiento de archivos: cifrado a nivel de bucket.
Backups: cifrados con llaves gestionadas (KMS).
TLS 1.3 obligatorio en aplicaciones públicas.
Sin tráfico HTTP plano "porque es interno".

5. Buckets privados por defecto

Tu provider cloud te avisará si un bucket es público, pero solo si revisas las alertas. Audita hoy:

aws s3api list-buckets --query 'Buckets[].Name' --output text \
  | xargs -I {} aws s3api get-bucket-acl --bucket {}

Si aparece AllUsers o AuthenticatedUsers con permisos de lectura, es un incidente esperando a publicarse.

6. Logs centralizados y auditables

Sin logs no hay forensia. Y sin forensia no hay forma de saber qué se llevaron, cuándo y cómo.

Activa CloudTrail (AWS), Cloud Audit Logs (GCP) o Activity Log (Azure).
Centraliza con Datadog, New Relic, Grafana Loki o OpenSearch.
Retención mínima de 12 meses para datos sensibles.
Logs en cuenta separada — un atacante que toma tu cuenta principal no debe poder borrar tus logs.

7. Backups probados (no solo "configurados")

Un backup que nunca restauraste no es un backup, es una ilusión.

Restauración ensayada al menos cada trimestre.
Backups cifrados.
Copias geográficamente distribuidas.
Inmutabilidad cuando sea posible (S3 Object Lock, Azure Immutable Blob) — protege contra ransomware.

8. Parches y actualizaciones

Las CVEs explotadas masivamente casi siempre son vulnerabilidades conocidas con parche disponible.

Automatiza actualizaciones de SO en servidores.
Dependabot / Renovate en repositorios.
Política clara de tiempos: críticas en 48h, altas en 7 días.

9. Hardening de endpoints

Las laptops del equipo son la primera línea de ataque.

Disco cifrado (FileVault, BitLocker).
EDR / antivirus moderno.
Bloqueo automático de pantalla.
Política de actualizaciones forzada (MDM).
Prohibición de instalar software sin aprobación.

10. Plan de respuesta a incidentes

Antes del incidente, decide:

Quién toma decisiones cuando todo está caído.
Cómo se comunica internamente (sin usar los sistemas comprometidos).
Quién contacta a la Superintendencia de Protección de Datos.
Qué se le dice a clientes y prensa.
Qué proveedor externo de respuesta a incidentes (DFIR) llamar.

Documentado, ensayado, conocido por el equipo. No se improvisa a las 3 AM.

Arquitectura cloud responsable: el patrón que recomendamos

Para empresas que están construyendo o modernizando su plataforma, este es el esqueleto que aplicamos en VeegSoft:

Cuentas separadas por entorno

Cuenta cloud para producción.
Cuenta cloud para staging.
Cuenta cloud para desarrollo.
Cuenta cloud para logs y auditoría (solo lectura para el resto).

Esto impide que un compromiso en dev se propague a prod.

Red segmentada

VPC privada por defecto.
Subnets públicas solo para load balancers y bastiones.
Bases de datos en subnets privadas, sin IP pública.
Security groups con reglas mínimas, no 0.0.0.0/0.

CI/CD con controles

Pipelines firmados.
Escaneo de secretos antes del merge.
SAST (escaneo estático) y SCA (dependencias) automáticos.
Despliegues a producción requieren aprobación humana y registran quién aprobó.

Observabilidad

Métricas de negocio + métricas de seguridad.
Alertas sobre patrones sospechosos: descargas masivas, picos de errores 401/403, accesos desde geografías inusuales.
Tablero único para SecOps.

Errores comunes que vemos en auditorías locales

Patrones que se repiten en empresas ecuatorianas — desde fintechs hasta retailers:

Una sola cuenta cloud para todo, con todo el equipo como administrador.
Bases de datos de producción accesibles desde la laptop del CTO vía IP pública.
Repositorios públicos en GitHub con .env filtrados en commits antiguos.
Cédulas e información de clientes almacenadas en Google Drive con enlace "cualquiera con el enlace".
Cuentas administrativas compartidas entre 4 personas, sin MFA.
Logs solo en el servidor afectado, fáciles de borrar.
"Lo arreglamos cuando tengamos tiempo" desde hace 18 meses.

Cada uno de estos puntos es una filtración esperando ocurrir.

Cumplimiento LOPDP: lo que la ley exige y la auditoría va a revisar

La Ley Orgánica de Protección de Datos Personales y su reglamento ya están en plena ejecución. Estos son los puntos que cualquier empresa debe poder demostrar:

Obligación	Qué significa en la práctica
Designación de DPO	Persona responsable, formada, con autoridad real (no un cargo simbólico).
Registro de actividades de tratamiento	Documento vivo: qué datos, para qué, durante cuánto tiempo.
Análisis de impacto (DPIA)	Cuando se procesan datos sensibles o se usa IA / perfilamiento.
Contratos de tratamiento	Con cada proveedor que toca datos personales (hosting, email, CRM, IA).
Política de retención	Plazo claro y proceso real de eliminación / anonimización.
Notificación de incidentes	Procedimiento documentado y plazos definidos.
Derechos ARCO	Mecanismo accesible para acceso, rectificación, cancelación y oposición.

La autoridad ya tiene capacidad sancionatoria. Las multas no son simbólicas y, lo más importante, las pruebas de cumplimiento se piden antes de que ocurra el incidente, no después.

Cómo abordar esto si recién empiezas

Si tu empresa no tiene nada de lo anterior, no entres en pánico. Este es un orden razonable de 90 días:

Mes 1 — Visibilidad y quick wins

Inventario de datos personales: qué hay, dónde, quién accede.
MFA en todas las cuentas administrativas.
Auditoría de buckets públicos.
Cierre de accesos huérfanos (ex-colaboradores, integraciones viejas).

Mes 2 — Controles base

Centralización de logs.
Gestión de secretos.
Backups cifrados con prueba de restauración.
Política de actualizaciones automática.

Mes 3 — Madurez

Plan de respuesta a incidentes documentado.
Capacitación al equipo (phishing, manejo de datos).
Designación de DPO y registro de tratamientos.
Auditoría externa o pentest dirigido.

A los 90 días no estarás "blindado", pero estarás muy lejos del nivel de exposición típico de las empresas que terminan filtradas.

Lo que VeegSoft hace por las empresas ecuatorianas

En VeegSoft trabajamos en proyectos donde la seguridad no es un módulo opcional, es parte del diseño. Acompañamos a las empresas en:

Diagnóstico técnico de la plataforma actual y su nivel de exposición.
Diseño e implementación de arquitecturas cloud Zero Trust en AWS, GCP y Azure.
Migración segura de sistemas legados sin perder funcionalidad ni datos.
Desarrollo de software alineado con OWASP, Privacy by Design y la LOPDP.
Implementación de SSO, MFA, secrets management y observabilidad.
Apoyo técnico al equipo legal y al DPO para traducir la ley en controles reales.

No vendemos checklists vacíos. Construimos sistemas que aguantan auditoría real y, sobre todo, que aguantan ataques reales.

Si después de leer esto te das cuenta de que tu empresa no está lista, es buen momento para conversar. Empezar tarde es mejor que no empezar — y muchísimo mejor que empezar después del incidente.