México es el país con más intentos de ciberataque de América Latina. El Global Threat Landscape Report de Fortinet registró 324.000 millones de intentos en 2024; se trata de intentos detectados por telemetría, no de brechas exitosas.
Una brecha sale cara. El costo promedio de una filtración de datos en Latinoamérica fue de US$ 2,51 millones en 2025, y de US$ 4,44 millones a nivel global, según el Cost of a Data Breach Report 2025 de IBM. El mismo estudio halló que la seguridad impulsada por IA y automatización reduce esos costos.
No hay una sola ley: hay obligaciones sectoriales. Finanzas (CNBV/Banxico), datos personales (LFPDPPP 2025) y gobierno (MAAGTICSI / Política de la APF) siguen lógicas distintas; una Ley General de Ciberseguridad sigue en proceso legislativo.
El SOC gestionado es un caso de negocio, no solo técnico. El principal motor de la tercerización es la escasez de talento: México tendría un déficit de alrededor de 77.000 especialistas en ciberseguridad.
¿Por qué México es un blanco prioritario y qué tan caro sale una brecha?
Porque combina una economía digital grande con una superficie de ataque creciente, y el costo de no detectar a tiempo es alto. El Global Threat Landscape Report de Fortinet contabilizó 324.000 millones de intentos de ciberataque en México en 2024, la cifra más alta de la región; conviene leerla como intentos detectados por telemetría, no como brechas consumadas. El vector inicial más común y costoso en Latinoamérica es el phishing: afectó al 17% de las organizaciones, con un costo promedio de US$ 2,87 millones, según IBM. En conjunto, el costo promedio de una brecha en la región fue de US$ 2,51 millones en 2025 —cifra oficial de IBM, que corrige versiones erróneas más altas que circulan en medios— frente a US$ 4,44 millones a nivel global.
El tiempo agrava el costo. A nivel global, identificar y contener una brecha tomó 241 días en 2025, el menor registro en nueve años; en Latinoamérica, en cambio, subió a 316 días. Aquí aparece el doble filo de la IA: escala ataques como el phishing, pero, del lado defensivo, IBM encontró que la seguridad basada en IA y automatización reduce de forma medible tanto el costo como el tiempo de contención de las brechas.
¿Qué exige la regulación mexicana?
No existe una ley integral de ciberseguridad en México; las obligaciones son sectoriales y conviene mapearlas según el giro de la empresa. La siguiente tabla resume el marco vigente.
Ámbito | Norma principal | Obligación clave |
|---|---|---|
Sector financiero (bancos, Sofomes, casas de bolsa) | Circular Única de Bancos (arts. 168 Bis 11-17) | Designar un Oficial de Seguridad de la Información (CISO) que reporte al director general, y notificar incidentes a la CNBV de forma inmediata, con información complementaria en 5 días hábiles |
Instituciones fintech (IFC, IFPE) | Ley Fintech (LRITF, 2018) | Autorización de la CNBV, CISO designado y reporte de incidentes en 5 días hábiles |
Cualquier empresa que trate datos personales | LFPDPPP (2025) | Medidas de seguridad, notificación de vulneraciones y aviso de privacidad; multas de hasta 320.000 UMA (reglamento aún pendiente) |
Administración Pública Federal | MAAGTICSI / Política General de Ciberseguridad de la APF | Proceso de Administración de la Seguridad de la Información, con ISO 27001 como referente |
Marco transversal (futuro) | Ley General de Ciberseguridad (en proceso) + Plan Nacional 2025-2030 | Aún no vigente; anticipa una Agencia Nacional, un registro de infraestructuras críticas y CISO obligatorio |
Dos precisiones importan para el ejecutivo. La nueva LFPDPPP entró en vigor el 21 de marzo de 2025 y trasladó la autoridad en protección de datos, antes el INAI, a la Secretaría Anticorrupción y Buen Gobierno; su reglamento sigue pendiente, por lo que conviene verificar el estado vigente antes de decidir. Y el marco está en evolución: el Plan Nacional de Ciberseguridad 2025-2030 y la Política General de la APF se presentaron en diciembre de 2025, mientras que la Ley General de Ciberseguridad continúa en el Congreso sin aprobación.
¿Qué marcos de referencia conviene adoptar?
Aunque son voluntarios, tres marcos ordenan la gestión y son mapeables a las exigencias regulatorias. El NIST Cybersecurity Framework 2.0 (2024) organiza la ciberseguridad en seis funciones —Govern, que es nueva, más Identify, Protect, Detect, Respond y Recover—; es voluntario y no certificable, y su función Govern integra la ciberseguridad en la gestión de riesgo del negocio. La norma ISO/IEC 27001 sí es certificable: define un Sistema de Gestión de Seguridad de la Información con 93 controles en su Anexo A. El informe SOC 2 Type II es una atestación emitida por un despacho de contadores que evalúa la eficacia operativa de los controles durante un periodo de 6 a 12 meses. A ello se suma MITRE ATT&CK, la base de conocimiento de tácticas y técnicas de adversarios que sirve para diseñar la detección y medir su cobertura. En la práctica, ISO 27001 y SOC 2 Type II son las certificaciones que se esperan de un buen proveedor de SOC.
¿Qué es un SOC gestionado y cómo se estructura?
Un SOC gestionado es un centro de operaciones de seguridad operado por un tercero que combina tecnología, procesos y personas para monitorear, detectar y responder a incidentes las 24 horas. Conviene distinguir los modelos: el SOC gestionado (SOCaaS) es un SOC completo por suscripción; el MDR se enfoca en detección y respuesta, típicamente sobre endpoints, para reducir el tiempo de permanencia del atacante; y el MSSP es un paraguas más amplio que suele incluir gestión de firewalls, accesos y parcheo, con foco histórico en prevención. Sus tres capas son:
Tecnología: SIEM (correlación de eventos y retención para cumplimiento), SOAR (orquestación y respuesta automatizada), EDR/XDR (detección en endpoint y extendida) y NDR (red), alimentados por inteligencia de amenazas.
Procesos: monitoreo 24/7/365, triaje, respuesta a incidentes, threat hunting, gestión de vulnerabilidades y reporting de cumplimiento.
Personas: analistas de nivel 1 (triaje), nivel 2 (investigación) y nivel 3 (threat hunters e incident responders), con credenciales como OSCP, GCIA, GCIH o CySA+.
Las métricas que gobiernan un SOC son el MTTD (tiempo medio de detección) y el MTTR (tiempo medio de respuesta). No hay un benchmark universal, pero la industria cita rangos orientativos de MTTR de 2 a 4 horas según la criticidad, y los mejores SOC detectan en minutos. Ese horizonte de horas contrasta con los cientos de días que tarda contenerse una brecha sigilosa, justamente porque muchas intrusiones evaden el monitoreo inicial.
¿Conviene construir un SOC interno o contratarlo?
Para la mayoría de las empresas mexicanas, el modelo gestionado o híbrido ofrece mejor relación costo-beneficio, y la razón principal es el talento. Operar un SOC interno 24/7 exige entre 8 y 12 analistas en tres turnos, además de herramientas empresariales de SIEM, EDR e inteligencia de amenazas. Ese requisito choca con la realidad del mercado: México tendría un déficit de alrededor de 77.000 especialistas en ciberseguridad —requiere unos 83.000 y cuenta con unos 6.000, según un estudio de IQSEC con la consultora Select—, aunque estimaciones más conservadoras, como la de ISC2, ubican el faltante en torno a 25.000. En paralelo, un servicio de MDR se referencia en un rango de US$ 15 a 50 por endpoint al mes, por lo general menor que construir un SOC interno equivalente.
El puente entre regulación y operación cierra el argumento: obligaciones como el reporte inmediato de incidentes a la CNBV son operativamente imposibles sin monitoreo continuo. Un SOC —interno, gestionado o híbrido— deja de ser un lujo y se vuelve el mecanismo que hace viable el cumplimiento. La brecha de adopción es notable: aunque más del 60% de las empresas reportó un incidente en el último año, solo alrededor del 27% cuenta con servicios especializados de protección, y las empresas medianas invierten apenas entre 0,2% y 0,5% de sus ingresos en ciberseguridad, por debajo del estándar recomendado.
¿Cómo elegir proveedor? Señales de alerta y preguntas al CISO
Un buen proveedor pone los números en el contrato; si el "24/7" y los tiempos de respuesta no están por escrito, son marketing. La siguiente tabla resume qué exigir y qué debe encender las alarmas.
Señales de alerta (red flags) | Qué exigir (green flags) |
|---|---|
"24/7" sin explicar el modelo de turnos | Cobertura 24/7/365 con turnos detallados (qué cambia "a las 2 a.m. de un festivo") |
SLAs vagos ("respuesta rápida") | MTTD/MTTR contractuales, con números concretos |
Liderar con herramientas, no con resultados | Certificaciones ISO 27001 y SOC 2 Type II del proveedor |
Alta rotación de analistas | Referencias verificables del mismo sector y tamaño |
Resistencia a auditorías de terceros | Conocimiento de la regulación local (CNBV/CUB, LFPDPPP) |
Cargos ocultos sobre el precio base | Residencia de datos conforme a la LFPDPPP |
Incapacidad de ingerir telemetría crítica (puntos ciegos) | Threat intelligence propia y reporting auditable |
Antes de firmar, conviene que el CISO haga preguntas concretas: ¿qué significa "24/7" operativamente por turno?, ¿pondrán MTTD/MTTR en el contrato?, ¿puedo hablar con analistas de cada nivel?, ¿cuál es la antigüedad y rotación de su equipo?, ¿qué telemetría no pueden ingerir?, ¿dónde residen mis datos? y ¿tienen experiencia con reportes de incidentes a la CNBV o notificaciones bajo la LFPDPPP?
Conclusión: un marco de decisión escalonado
La ruta más segura va de la regulación a la operación, en cuatro pasos. Primero, un diagnóstico regulatorio: determinar el régimen aplicable —CUB y reporte a la CNBV si es entidad financiera, LFPDPPP si trata datos personales— y formalizar al responsable de seguridad de la información. Segundo, definir el modelo de SOC con una regla práctica: si el equipo interno "apaga incendios" y no puede sostener operación 24/7, el modelo gestionado o híbrido gana en costo-beneficio. Tercero, un RFP con SLAs y certificaciones exigibles —MTTD/MTTR por escrito, ISO 27001 y SOC 2 Type II, residencia de datos— evaluando a varios proveedores con el mismo brief. Y cuarto, una validación operativa antes de firmar: hablar con analistas de cada nivel, revisar términos de salida y pedir referencias del mismo sector. Como referencia de casos, incidentes verificables como el ataque de 2019 con ransomware a Pemex —con un rescate exigido de unos US$ 4,9 millones— o el de 2018 a los sistemas de conexión al SPEI de varias instituciones —donde Banxico confirmó que el sistema central no fue vulnerado— muestran por qué la detección y la respuesta rápidas son decisivas.
Preguntas frecuentes
¿México tiene una ley de ciberseguridad?
No una ley integral. Las obligaciones son sectoriales: CNBV/Banxico en finanzas, LFPDPPP en datos personales y MAAGTICSI en gobierno. Una Ley General de Ciberseguridad sigue en proceso legislativo.
¿Cuánto cuesta en promedio una brecha de datos en Latinoamérica?
Alrededor de US$ 2,51 millones en 2025, según el Cost of a Data Breach Report de IBM; el promedio global fue de US$ 4,44 millones.
¿Qué diferencia hay entre SOC gestionado, MDR y MSSP?
El SOC gestionado es un centro completo que monitorea y responde 24/7; el MDR se concentra en detección y respuesta, típicamente en endpoints; y el MSSP es un paraguas más amplio, con foco histórico en prevención y gestión.
¿Conviene construir un SOC interno o contratarlo?
Depende del tamaño y la madurez del equipo. Un SOC interno 24/7 exige entre 8 y 12 analistas y herramientas empresariales; ante un déficit de talento de decenas de miles de especialistas, el modelo gestionado o híbrido suele ofrecer mejor costo-beneficio.
¿Qué certificaciones debe tener un proveedor de SOC?
ISO 27001 y SOC 2 Type II a nivel de proveedor, y analistas con credenciales como OSCP, GCIA, GCIH o CySA+.
¿Qué debe reportarse a la CNBV y en qué plazo?
Los incidentes relevantes deben notificarse de forma inmediata, con información complementaria en un plazo de 5 días hábiles, según la Circular Única de Bancos.
Referencias
Últimas noticias
AI
México
Tecnología
De la prueba de concepto a producción: qué necesita una empresa en México para escalar un proyecto de IA
Construir un piloto de inteligencia artificial que funcione en una demo es hoy relativamente fácil. Convertirlo en un sistema que opere de forma confiable, día tras día, sobre los datos reales del negocio es donde la mayoría de las iniciativas se detiene. Esta guía explica, con datos verificables, por qué se abre esa brecha entre la prueba de concepto (PoC) y la producción, y qué se necesita para cruzarla en una operación mexicana.
AI
Digital Services
México
Noticias
Cómo elegir un socio para implementar inteligencia artificial en una gran empresa en México
La adopción de inteligencia artificial en México se disparó, pero el verdadero cuello de botella ya no es decidir si usar IA: es ejecutarla bien. Y el factor que más determina el resultado es la elección del socio de implementación. Esta guía reúne, con datos verificables, los criterios, las señales de alerta, las preguntas y el marco contractual y regulatorio que un ejecutivo debería considerar antes de firmar.
Ciberseguridad
México
Noticias
Ciberseguridad corporativa en México: qué exige la regulación y cómo se estructura un SOC gestionado
México es hoy uno de los países más atacados de América Latina, pero todavía no cuenta con una ley integral de ciberseguridad: las obligaciones están repartidas por sector. Esa combinación —alta exposición y un marco fragmentado— vuelve estratégica la decisión de cómo detectar y responder a incidentes. Esta guía explica, con datos verificables, qué exige la regulación mexicana, cómo se estructura un SOC gestionado y qué debe evaluar una gran empresa antes de contratar uno.
