¿Qué protegemos realmente cuando hablamos de ciberseguridad?

«La primera lección de ciberseguridad que aprendí nunca habló de computadoras.»

La montaña

—Franche…

La voz de mi abuelo llegaba desde el marco de la habitación cuando la mayoría de las personas todavía dormía. Así me ha llamado siempre. Nunca me ha gustado levantarme antes del amanecer, mucho menos cuando el frío de Constanza parecía convencerme de que la cama era el único lugar donde debía estar. Pero había una invitación a la que nunca aprendí a decir que no. Todavía medio dormida, buscaba cualquier abrigo y salía detrás de él.

Mi abuelo, Juan Bautista Feliz Bueno, siempre estaba listo antes que yo. En mi familia lo conocemos como ManitoPapi. Cuando intento reconstruir su imagen en aquellas mañanas, no pienso primero en su rostro. Pienso en sus botas, en el pantalón marcado por el uso, en aquella camisa que parecía haber conocido más amaneceres que cualquier otra prenda de mi infancia.

El camino era de tierra. La neblina cubría los sembradíos del valle y apenas dejaba ver lo que teníamos delante; el aire olía a tierra húmeda. Yo caminaba detrás de él llenando el trayecto de preguntas. Él respondía con pocas palabras y sin apresurarse. Tiene esa forma de hablar que obliga a escuchar; de alguna forma siempre he sabido que no repetiría las cosas muchas veces.

Al llegar al intento de establo con apenas dos vacas comenzaba la parte que más esperaba: intentar ayudar. Nunca fui buena ordeñando; mis manos eran pequeñas y torpes. Yo esperaba el regaño, pero nunca llegó más allá de un largo suspiro y una mirada compasiva. ManitoPapi se sentaba a mi lado, tomaba mis manos y me mostraba nuevamente el movimiento. Después esperaba y volvía a dejar que lo intentara. Sin prisa, sin molestia, sin hacerme sentir que había fallado. Miraba sus manos y luego las mías: lo que para él era una rutina construida durante años, para mí era un gesto difícil que apenas comenzaba a aprender. Cuando alguna vaca se movía demasiado, yo terminaba colocándome, casi por instinto, un paso detrás de él. No tenía que decirme que estaba a salvo. Me bastaba con que estuviera allí.

Regresábamos por el mismo camino, yo con más preguntas, él con la misma calma. Antes de continuar con su rutina, casi siempre encontraba espacio para un consejo. Uno de ellos todavía me acompaña:

—El que estudia siempre tendrá oportunidades, mi nieta.

Entonces no entendía cuánto esfuerzo había detrás de cada litro de leche. Ni las madrugadas, ni el cansancio, ni el tiempo. Todavía no podía comprender cuántos años de trabajo cabían en aquellas manos, ni todo lo que dependía de que, al amanecer siguiente, volvieran a empezar.

La revelación

Pasaron varios años antes de que aquellas mañanas encontraran un significado distinto. Durante la universidad, la tecnología era un conjunto de sistemas, procesos y reglas que había que comprender. Los datos formaban parte de esa lógica: se recopilaban, se almacenaban, se compartían. Entendía su utilidad. Todavía no su peso.

Esa distancia comenzó a desaparecer en mi primer trabajo. Cada permiso concedido abría una posibilidad; cada control ausente dejaba un espacio que alguien podía aprovechar. Y detrás de cada registro había una persona que probablemente nunca sabría cuántas veces su información había sido consultada, por quién o con qué propósito.

La revelación no ocurrió frente a una pantalla. Ocurrió durante una conversación sobre privacidad, mientras se analizaba un caso real en el que la información de una persona había quedado expuesta a controles insuficientes. Nadie había diseñado un sistema para causar daño; tampoco hubo uno de esos grandes ataques que ocupan titulares. El problema era más silencioso: entre lo que la regulación pretendía garantizar y lo que los controles protegían en la práctica había una distancia demasiado grande.

Esa distancia fue lo que me indignó. Una norma puede reconocer un derecho sin que una organización haya construido todavía las condiciones para respetarlo. Para la organización, aquello era una debilidad de control o un requisito por implementar. Para la persona afectada podía significar la pérdida de su tranquilidad, la exposición de una parte de su vida, un daño que nunca había autorizado. Comprendí que el problema no comenzaba cuando la información era robada. Comenzaba mucho antes: cuando una organización recopilaba más de lo que podía proteger, concedía accesos sin preguntarse si eran necesarios o confundía tener una política con haber construido una capacidad real de protección.

Hasta entonces había pensado en la privacidad como un conjunto de obligaciones. Aquella conversación me obligó a verla como una relación de confianza. Una persona entrega una parte de su historia a una institución porque necesita abrir una cuenta, recibir atención, conseguir un empleo. En ese intercambio hay una promesa, aunque nadie la pronuncie: puedes confiar en que cuidaremos esto. La mayoría de las personas no conoce la arquitectura que sostiene esa promesa; solo puede confiar. Y cuando esa confianza se deposita en una organización sin controles suficientes, la vulnerabilidad nunca se comparte de manera equitativa: la institución conoce sus procesos, la persona asume las consecuencias.

Comencé a mirar los datos de otra manera. Un registro podía contener el nombre que una familia eligió para alguien, la dirección del lugar que llama hogar, los ingresos conseguidos con años de trabajo. Una base de datos podía parecer un activo tecnológico, pero lo que contenía había sido producido por vidas humanas. Y la seguridad no podía medirse por la ausencia de incidentes: a veces solo significaba que una debilidad aún no había encontrado a quien supiera aprovecharla.

En medio de aquella indignación apareció una pregunta que no ha dejado de acompañarme, y cuya respuesta inmediata parecía sencilla: información, sistemas, infraestructuras. Pero no me indignaba que una base de datos pudiera estar mal protegida; me indignaba que alguien pudiera sufrir las consecuencias de una debilidad que nunca creó. No protegíamos datos porque tuvieran valor para una organización. Los protegíamos porque pertenecían a personas. La tecnología era el lugar donde todo aquello quedaba depositado. No era lo que realmente importaba.

El mundo real

La pregunta no tardó en encontrar respuestas. Fueron apareciendo en incidentes de sectores que parecían no tener demasiado en común: una empresa de energía, una infraestructura sanitaria, una cadena de hoteles, una persona frente a la pantalla de su teléfono. En los informes podían clasificarse bajo categorías conocidas —ransomware, interrupción operativa, exposición de información, fraude—, pero esas palabras describían el mecanismo, no lo que realmente estaba siendo vulnerado.

Lo que sostiene una vida cotidiana

En mayo de 2021, Colonial Pipeline sufrió un ataque de ransomware contra su red de tecnología de información. La empresa desconectó sistemas como medida de seguridad y detuvo temporalmente las operaciones del oleoducto, lo que produjo escasez de combustible en zonas del sureste de Estados Unidos.

La historia parecía tratar sobre una infraestructura energética atacada. Pero el combustible no permanece dentro de una tubería: llega hasta la persona que conduce varias horas para trabajar, hasta el camión que transporta alimentos, hasta la ambulancia que necesita mantenerse disponible. Cuando la operación se detuvo, el incidente se extendió hacia personas que nunca habían escuchado hablar de la empresa y que no participaron en ninguna de las decisiones que determinaron su nivel de protección. Una infraestructura crítica no se llama así por la complejidad de sus sistemas, sino por todo lo que depende de que continúe funcionando. El incidente no destruyó el oleoducto, pero durante varios días interrumpió la promesa silenciosa sobre la que millones de personas organizaban su vida: que el combustible estaría disponible cuando lo necesitaran.

Lo que mantiene abierto un consultorio

En febrero de 2024, un ciberataque afectó a Change Healthcare, una organización que procesaba funciones esenciales dentro del sistema sanitario estadounidense. La interrupción alcanzó servicios relacionados con recetas médicas, reclamaciones y pagos; UnitedHealth Group priorizó la restauración de los que afectaban el acceso a atención médica y medicamentos.

La palabra pagos puede parecer administrativa. En salud, no lo es. Un pago permite que un consultorio cubra su nómina, que una farmacia reponga medicamentos, que una institución pequeña continúe atendiendo mientras espera los fondos de servicios que ya prestó. Cuando el sistema dejó de procesar aquellas transacciones, el problema se trasladó a los mostradores de las farmacias y a los pacientes que no necesitaban conocer la causa técnica para experimentar sus consecuencias.

El Departamento de Salud y Servicios Humanos de Estados Unidos informó después que Change Healthcare había estimado en aproximadamente 192.7 millones el número de personas afectadas por la exposición de información relacionada con el incidente. Cuanto más grande es un número, más fácil resulta olvidar que está compuesto por individuos. No eran 192.7 millones de archivos: eran personas que habían acudido a un médico porque necesitaban ayuda, y cuya información fue producida durante momentos concretos de sus vidas —una enfermedad, una consulta, un diagnóstico, una recuperación—. El ataque hizo visibles dos fragilidades a la vez. Una operativa: servicios indispensables podían detenerse porque dependían de una infraestructura compartida que muchos pacientes ni siquiera sabían que existía. Otra personal: la información generada al buscar atención podía quedar expuesta mucho después de que la consulta hubiera terminado.

Lo que una cifra no consigue contar

Los grandes incidentes reciben nombres. Las víctimas individuales, casi nunca: sus historias —la cuenta bancaria vulnerada, la inversión que era un engaño— suelen terminar resumidas dentro de una estadística anual. En 2025, el Centro de Quejas de Delitos en Internet del FBI recibió más de un millón de denuncias y registró pérdidas reportadas por aproximadamente 20,877 millones de dólares; cerca del 85 % estuvo relacionado con fraudes facilitados por medios digitales.

La cifra mide dinero reportado. No mide completamente lo perdido. No contiene los años que una persona necesitó para reunir esos fondos, las horas adicionales que aceptó trabajar, la disciplina de ahorrar una pequeña cantidad cada mes. Cuando alguien pierde los ahorros de años en una operación que dura minutos, también pierde una parte del tiempo que ese dinero representaba. Esa es una de las asimetrías más crueles del fraude digital: para el atacante, la víctima puede ser apenas una oportunidad; para la víctima, la pérdida puede contener una parte significativa de su historia. Ahorrar continúa requiriendo meses o años. Robar puede requerir segundos.

Colonial Pipeline no protegía solamente una red: protegía una continuidad de la que dependían millones de actividades cotidianas. Change Healthcare no protegía únicamente datos y transacciones: protegía el acceso a medicamentos y la intimidad de personas que confiaron información producida en los momentos más vulnerables de sus vidas. Una institución financiera no protege solamente cuentas: protege el tiempo, la disciplina y los sacrificios contenidos en ellas.

La ciberseguridad suele describirse mediante el lenguaje de los activos. El término es útil, pero puede crear distancia, porque detrás de cada activo existe algo que alguien necesitó tiempo para construir. Los sistemas contienen trabajo; los datos, historias; las cuentas, sacrificios; las instituciones, la confianza de quienes dependen de ellas. Eso es lo que los incidentes hacen visible: no atacan únicamente aquello que una organización posee. Amenazan aquello que otras personas han depositado en ella.

El propósito

A veces vuelvo a aquellas mañanas en Constanza. No de manera literal: vuelvo cuando alguien reduce una brecha a la cantidad de equipos afectados, cuando una conversación se concentra únicamente en sistemas, vulnerabilidades y tiempos de recuperación. En esos momentos recuerdo las botas de ManitoPapi. Sus manos haciendo con naturalidad aquello que a mí me parecía difícil. Y recuerdo algo que entonces no podía ver: cada litro de leche contenía años de levantarse temprano, de cuidar los animales, de reparar cercas, de continuar aun cuando hacía frío o nadie observaba el trabajo. Lo que yo veía como una rutina era una vida entera sosteniendo algo que necesitaba ser cuidado todos los días.

Con el tiempo comprendí que las organizaciones se construyen de una manera parecida: personas que llegan antes de la hora, equipos que resuelven problemas que nadie más llega a conocer, clientes que deciden confiar, familias que dependen de un salario. Nada de eso aparece en un diagrama de arquitectura ni cabe en un inventario de activos. Pero está allí, dentro de cada sistema, detrás de cada proceso, en cada cuenta y servicio que una organización promete mantener disponible.

Por eso me cuesta aceptar que la ciberseguridad se explique únicamente como la protección de computadoras. Las computadoras pueden reemplazarse; las aplicaciones, restaurarse; las redes, reconstruirse. El esfuerzo humano no siempre. La confianza no vuelve porque un servidor haya regresado a funcionamiento. Un paciente no deja de necesitar atención porque un sistema esté fuera de servicio. Cada incidente obliga a responder una pregunta que debería haberse formulado mucho antes:

¿Qué protegemos realmente?

Esa convicción es el origen de Desde la Montaña. No nace de la intención de explicar una herramienta nueva cada semana ni de utilizar el miedo para convencer. Nace de la necesidad de mirar la ciberseguridad desde el lugar donde sus consecuencias adquieren verdadero significado: las personas, su trabajo, sus historias, todo aquello que han construido y esperan poder conservar. Este proyecto existe para volver una y otra vez a esa pregunta: para hablar de riesgo sin reducirlo a una cifra y de los incidentes sin convertir a quienes los sufren en estadísticas.

ManitoPapi nunca me habló de privacidad. No conocía el lenguaje con el que años después aprendería a describir amenazas, controles e incidentes. Me enseñó algo anterior a todo eso: a observar el trabajo que otros no ven, a reconocer la paciencia detrás de lo que parece sencillo, a comprender que cuidar algo no es una acción que se realiza una sola vez, sino una responsabilidad que comienza de nuevo cada mañana.

Quizá por eso, cuando pienso en la ciberseguridad, no pienso primero en una computadora. Pienso en unas manos marcadas por años de trabajo. En todo lo que fueron capaces de construir. Y en aquella voz que, antes del amanecer, llegaba desde la puerta de mi habitación:

—Franche…

Yo todavía quería seguir durmiendo.
Él ya estaba listo para comenzar otra vez.