Gestión de Vulnerabilidades (VAM)

Esta serie explica, en siete entregas, cómo una organización encuentra sus debilidades informáticas antes que un atacante, decide cuáles corregir primero y demuestra que lo hizo con diligencia. Cada tema conecta la práctica técnica con lo que hoy exige la normativa ecuatoriana: la Ley Orgánica de Protección de Datos Personales (LOPDP) y la Ley Orgánica para el Fortalecimiento de la Ciberseguridad de 2026.
Una precisión necesaria: la LOPDP no es una norma exclusivamente informática. Según su art. 2, se aplica al tratamiento de datos personales contenidos en cualquier tipo de soporte, automatizados o no, así como a toda modalidad de uso posterior; protege igual un expediente en papel que una base de datos. Esta serie la analiza desde un ángulo concreto: la seguridad de los sistemas informáticos en los que se tratan esos datos.

POR QUÉ ESTE TEMA, Y POR QUÉ AHORA
Muchos ataques no necesitan una técnica sofisticada: aprovechan fallas que ya son conocidas y que nadie corrigió a tiempo. El catálogo de vulnerabilidades explotadas en la práctica que mantiene la agencia estadounidense CISA reúne 1 754 casos confirmados a octubre de 2026.
El problema no es la falta de información, sino el exceso. Un escaneo puede devolver cientos o miles de hallazgos, y ningún equipo puede corregirlos todos a la vez. Por eso la pregunta de fondo no es "¿tengo vulnerabilidades?", que siempre tendrá un sí por respuesta, sino "¿cuáles atiendo primero y cómo lo demuestro?".
En Ecuador esa pregunta tiene hoy consecuencias legales las cuales deben ser tomadas en cuenta por toda empresa pública o privada.