Nota del Editor: Las opiniones expresadas en esta columna de opinión invitada son únicamente del(a) autor(a) y no necesariamente reflejan las opiniones y creencias de Noticias de Bayamón o sus afiliados.
La Ley 40 y la oportunidad de fortalecer la resiliencia digital en Puerto Rico
Por Julio Uricari, gerente de Ingeniería de Fortinet Puerto Rico
Los estándares que el Gobierno exige a sus suplidores no son burocracia local: son el piso mínimo que cualquier empresa en la isla debería poder acreditar.
Puerto Rico registró 386,6 millones de intentos de ciberataques en 2025, según el reporte de FortiGuard Labs, el laboratorio de inteligencia de amenazas de Fortinet. La cifra confirma que una interrupción tecnológica no es un asunto exclusivo del departamento de informática. Un incidente puede paralizar servicios, exponer datos, provocar pérdidas económicas y erosionar la confianza de ciudadanos y clientes.
En ese contexto, proteger la información y garantizar la continuidad de las operaciones se ha convertido en una prioridad estratégica para cualquier organización. La seguridad digital ya no debe verse únicamente como una obligación técnica o regulatoria, sino como una condición indispensable para operar y mantener la confianza.
Ante esta realidad, la Ley 40-2024 creó un marco de ciberseguridad para el Gobierno de Puerto Rico. Su aplicación directa alcanza a agencias, municipios y corporaciones públicas, así como a personas y empresas que manejan fondos o datos públicos o prestan servicios al Gobierno en relación con esas funciones.
Si bien no es una regulación general para todo el sector privado, sus lineamientos representan una guía práctica para cualquier empresa que busque reducir riesgos, fortalecer su resiliencia y prepararse para las exigencias de clientes, socios y mercados cada vez más conscientes de la seguridad.
La ley promueve un enfoque de confianza cero, basado en verificar cada usuario, dispositivo y acceso, y exige controles en múltiples capas. Entre ellos se incluyen la protección contra malware y phishing; el cifrado de datos en tránsito y en reposo; la autenticación multifactor; el acceso basado en roles y privilegio mínimo; la clasificación de información; las conexiones remotas seguras; la detección de amenazas; y las capacidades de respaldo y recuperación.
Asimismo, contempla evaluaciones de riesgo, pruebas de vulnerabilidad, programas de capacitación y procesos para responder y reportar incidentes. Además, determinados proveedores de tecnología y comunicaciones deben notificar a PRITS y a la agencia contratante dentro de un plazo de 48 horas cuando detecten un incidente o un riesgo potencial.
En julio de 2026, la Ley 140 enmendó el estatuto y adoptó oficialmente el nombre de Ley de Ciberseguridad del Gobierno de Puerto Rico. Su principal actualización fue incorporar el uso de la inteligencia artificial dentro del programa virtual de educación pública y del curso anual requerido para oficiales de información y servidores públicos. La modificación reconoce que la IA puede impulsar la productividad y la innovación, pero también generar desafíos relacionados con la privacidad, la seguridad y la sofisticación de los ataques. El reto no es evitar su adopción, sino promover un uso responsable sustentado en reglas claras, conocimiento y supervisión.
Sin embargo, el verdadero valor de estos controles no radica en completar una lista de requisitos ni en adquirir herramientas de forma aislada. Una estrategia efectiva de ciberseguridad integra personas, procesos y tecnología. Implica identificar los activos y datos críticos, evaluar brechas, definir responsabilidades y medir continuamente la eficacia de las defensas implementadas.
Por eso, la Ley 40 ofrece al sector privado un punto de referencia valioso, aun cuando no exista una obligación directa de cumplimiento. Adoptar sus principios como buenas prácticas permite pasar de una postura reactiva ante los incidentes a una gestión preventiva y estratégica del riesgo.
En 2026, proteger la información no es solamente una cuestión de cumplimiento. Es preservar la capacidad de operar, servir y mantener la confianza que sostiene toda organización.
Deja un comentario