¿Y si la República Dominicana un día se desconecta?

Durante años, hemos medido el progreso digital dominicano contando trámites en línea, plataformas nuevas, kilómetros de fibra óptica tendidos y velocidad de internet. Son señales reales de avance. Pero hay una pregunta que como país todavía no nos hacemos con suficiente seriedad: ¿qué pasará el día que algo falle? No un fallo menor, sino un ataque capaz de tocar, al mismo tiempo, la banca, las telecomunicaciones y una institución pública crítica.

Dependemos de lo digital más de lo que percibimos en el día a día. Nóminas, pagos interbancarios, historiales médicos, expedientes judiciales, sistemas de distribución eléctrica, la distribución de combustible, y toda la cadena comercial nacional dependen hoy de sistemas conectados. La digitalización dejó de ser una capa adicional sobre la operación tradicional: en la mayoría de los sectores, es la operación. Y ahí está el verdadero riesgo, porque no se trata de que caiga un sistema aislado, sino de la interdependencia entre ellos. Un ataque que afecte simultáneamente la operación bancaria, la conectividad, y una institución del Estado no se resuelve con el manual de continuidad de una sola empresa, porque ninguna empresa opera sola. República Dominicana todavía no ha probado, a escala nacional, qué tan bien coordinan sus sectores críticos una respuesta conjunta ante un incidente de esa magnitud, y un plan de contingencia que nunca se ha ensayado en conjunto es, en la práctica, un plan sin probar.

Esa exposición crece porque hemos digitalizado más rápido de lo que hemos protegido. La Ley 172-13 obliga a proteger los datos personales, pero recolectar y proteger no son lo mismo. Muchas organizaciones, públicas y privadas, han avanzado en digitalizar la captura de información sin que la seguridad de esos repositorios crezca al mismo ritmo. Acumular datos sin gobernarlos, cifrarlos, y auditar quién accede a ellos no es protección, es exposición diferida.

A esa fragilidad técnica se suma una ambigüedad de gobernanza: cuando un incidente se sale de control, la respuesta suele improvisarse entre el área de tecnología, la alta gerencia, el ente regulador del sector y, eventualmente, alguna instancia del Estado, sin que exista siempre claridad previa sobre roles, tiempos de reporte y niveles de decisión. La ciberseguridad todavía se trata, en muchas juntas directivas, como un asunto técnico que se delega hacia abajo, cuando debería tratarse como un riesgo estratégico que se gestiona desde arriba, con protocolos de responsabilidad definidos antes de que ocurra la crisis, no durante ella.

El panorama se complica porque el adversario también está evolucionando. La misma inteligencia artificial que hoy optimiza calendarios, detecta fraude o analiza rendimiento, también está siendo usada por atacantes para automatizar campañas de phishing más creíbles, generar malware que muta para evadir detección y suplantar identidades con voz e imagen sintéticas.

La defensa dominicana, mayormente basada en controles perimetrales tradicionales, corre el riesgo de quedar un paso atrás frente a amenazas que aprenden y se adaptan más rápido de lo que se actualizan nuestras políticas internas. Y enfrentar esa evolución exige un capital humano que todavía no tenemos en la cantidad necesaria: formar analistas de seguridad, especialistas forenses digitales y criptógrafos, toma años, y la demanda crece más rápido que la oferta local, lo que empuja a muchas organizaciones a depender de terceros externos para funciones que deberían tener capacidad propia. Cerrar esta brecha requiere una alianza sostenida entre universidades, el sector privado y el Estado, no iniciativas aisladas.

Aquí está, para mí, el punto central. Ciberseguridad es evitar que entren; ciberresiliencia es seguir funcionando cuando, de todas formas, entraron.

El país ha dado pasos institucionales importantes en esa dirección: el Centro Nacional de Ciberseguridad (CNCS) trabaja en fortalecer la protección del ciberespacio dominicano, y coordinar la respuesta ante incidentes a nivel nacional, mientras el Instituto Criptográfico Nacional (ICN) sostiene funciones críticas de seguridad de la información y cifrado para el Estado.
Son cimientos necesarios. Pero una arquitectura nacional de ciberresiliencia exige ir más allá de la existencia de estas entidades: requiere ejercicios de simulación conjuntos entre sectores, protocolos de comunicación de crisis ya probados, y la convicción, compartida por empresas e instituciones, de que la resiliencia no se decreta, se entrena.

La transformación digital dominicana tiene una deuda pendiente: la ciberresiliencia. No basta con seguir sumando trámites en línea si no sabemos, con certeza, qué tan rápido volveríamos a estar en pie después de un golpe serio.
Un país digital no se mide únicamente por la cantidad de servicios que puede ofrecer en línea, sino por su capacidad de mantenerlos disponibles cuando alguien intenta apagarlos.