Preparación Ante Ciberataques con Simulacros de Crisis

De qué trata

Pavel Solís, del Banco de México, expuso en la III Jornada Anual de Riesgos (septiembre de 2025) cómo prepararse para ciberataques al sistema financiero mediante simulacros de crisis. Las opiniones son del autor y no reflejan necesariamente la postura oficial del Banco de México.

Las 22 diapositivas parten de que un ciberataque es una amenaza latente (no es cuestión de si ocurrirá, sino de cuándo y qué tan grave será), revisan ataques y amenazas actuales, comparan dos formas de prepararse (ataques reales controlados con hackers éticos y simulacros de crisis) y detallan cómo funcionan los simulacros, sus buenas prácticas, el programa progresivo de México y las lecciones aprendidas.

Objetivos

• Explicar por qué los simulacros de crisis son una herramienta de preparación ante ciberataques.
• Describir cómo se diseñan y se ejecutan, y qué los diferencia de un ejercicio técnico o de supervisión.
• Compartir la experiencia mexicana y sus lecciones sobre mejores prácticas, colaboración y anticipación.

Ideas clave

1. Los simulacros son ejercicios de discusión basados en la toma de decisiones: un facilitador presenta un escenario extremo pero plausible y los participantes deciden cómo responder.
2. No son ejercicios técnicos, no se aprueban ni se reprueban y no son de supervisión: las autoridades no recolectan información de los participantes de la industria durante el ejercicio.
3. Sus objetivos son poner a prueba los protocolos de respuesta y los canales de comunicación, identificar cómo se propagan los incidentes y detectar áreas de mejora antes de que ocurra uno real.
4. México aplicó un enfoque progresivo: solo autoridades en junio de 2023, autoridades y bancos en julio de 2024 y, en octubre de 2025, autoridades e infraestructuras financieras.
5. Lecciones: implementar protocolos robustos de ciberseguridad, fomentar la coordinación público-privada y definir con anticipación una estrategia de comunicación, porque el tiempo es escaso en una crisis.