Introducción

La creciente digitalización de los procesos productivos, gubernamentales y sociales ha ampliado significativamente las superficies de exposición a riesgos cibernéticos, posicionando a la ciberseguridad como una prioridad estratégica a nivel global. En este sentido, Perú enfrenta desafíos importantes que amenazan su estabilidad digital, infraestructura crítica y soberanía tecnológica. Aunque se ha registrado una disminución en los intentos de ataque -de 15 mil millones en 2022 a 5 mil millones en 2023-, las pérdidas económicas asociadas a delitos informáticos alcanzaron los S/ 40 millones (^{BCRP, 2024}; ^{Forbes, 2024}), lo que evidencia que la sofisticación de las amenazas supera los avances defensivos implementados.

Asimismo, el país se encuentra aún en la etapa formativa del Modelo de Madurez de Capacidades en Ciberseguridad (CMM), ubicándose por debajo del estándar regional (^{Martín, 2023}). Esta situación se agrava debido a una legislación desactualizada y poco alineada con los riesgos emergentes del entorno digital. Aunque existen normas como la Ley de Protección de Datos Personales (Ley N.º 29733) y la Ley de Delitos Informáticos (Ley N.º 30096), ambas han quedado rezagadas frente a la velocidad de innovación de las amenazas (^{Congreso de la República, 2021}; 2023). Además, la limitada implementación de la Política Nacional de Ciberseguridad, aprobada en 2017, dificulta la articulación efectiva entre los sectores público, privado y académico (^{Presidencia del Consejo de Ministros, 2017}).

Por otro lado, la brecha de talento especializado en el ámbito laboral es alarmante. La demanda de profesionales en tecnologías de la información, ciberseguridad e inteligencia artificial ha crecido entre un 50 % y 60 % en los últimos tres años (^{ProInnóvate, 2024}), pero la oferta sigue siendo insuficiente para cubrir las necesidades de empresas, entidades públicas y plataformas digitales en expansión. Esta carencia genera vacantes sin cubrir, sobrecarga de equipos y mayor vulnerabilidad frente a ataques dirigidos (^{OEA, 2023}; ^{Towhidi, 2023}). Sectores como transporte, salud y logística se han visto especialmente comprometidos debido a su alta dependencia de sistemas interconectados (^{Bermúdez & Cano, 2023}; ^{Cervera & Alyson, 2024}).

Simultáneamente, la adopción de tecnologías emergentes -como el Internet de las cosas (IoT), la computación en la nube y los sistemas de inteligencia artificial- presenta tanto oportunidades como riesgos. Estudios recientes advierten que, sin una gobernanza adecuada y mecanismos de protección efectivos, estas tecnologías amplían los vectores de ataque y aumentan la exposición a incidentes de seguridad (Ortiz, 2023; ^{Reyes, 2023}). Por ello, la gestión de estos desafíos requiere marcos regulatorios más flexibles, mayor inversión en infraestructura y mecanismos de control, así como la formación continua del capital humano. Aunque la inversión en ciberseguridad en Perú ha crecido de un 3 % a un 10 % en los últimos años (^{Calderón, 2020}), sigue siendo insuficiente frente a los costos promedio por ataque, que pueden oscilar entre 13 mil y más de 5 millones de dólares (^{Gómez, 2023}).

Este panorama se inscribe en una realidad regional marcada por asimetrías normativas y debilidades estructurales. En comparación con países como Estados Unidos o Canadá, que han consolidado políticas activas de diplomacia cibernética y alianzas estratégicas (^{Aguilar, 2024}), Perú depende aún en gran medida de proveedores internacionales y carece de un modelo robusto de ciberdefensa nacional (^{Amasifuen, 2024}). Por lo tanto, resulta urgente adoptar un enfoque holístico e intersectorial que fortalezca las capacidades locales, promueva la innovación regulatoria, incentive la cooperación multinivel y articule esfuerzos sostenibles de alfabetización digital.

En este marco, el presente estudio tiene como propósito analizar el estado actual de la ciberseguridad en el Perú, considerando los tipos de ataques más frecuentes, los costos asociados, el nivel de madurez institucional, la legislación vigente, las tendencias tecnológicas y la dinámica del mercado laboral. Para ello, se emplea una revisión sistemática de literatura académica y técnica publicada entre 2020 y 2024, seleccionada en la base de datos Scopus. Se espera que los hallazgos contribuyan a identificar las principales brechas estructurales del país y a proponer lineamientos estratégicos que refuercen su resiliencia cibernética en un entorno global cada vez más complejo y hostil.

Metodología

El presente estudio adoptó un enfoque metodológico basado en una revisión sistemática de la literatura, con el propósito de examinar rigurosamente el estado actual de la ciberseguridad en el Perú entre 2010 y 2024. Para ello, se utilizó el método histórico-lógico como marco analítico, lo que permitió rastrear la evolución de políticas, prácticas, tendencias y desafíos relacionados con la seguridad digital en el contexto nacional.

En este proceso, la estrategia de búsqueda bibliográfica se llevó a cabo en bases de datos científicas de alto impacto, como Scopus, seleccionadas por su solidez académica y relevancia temática. Asimismo, la ecuación de búsqueda fue diseñada para maximizar la relevancia y precisión de los resultados, combinando operadores booleanos y términos clave vinculados a la ciberseguridad, tales como: ( TITLE-ABS-KEY ( "cybersecurity" OR "information security" OR "cyber resilience" OR "digital resilience" OR "resilience" ) ) AND ( TITLE-ABS-KEY ( "cyber attacks" OR "cyber threats" OR "security incidents" OR "data breaches" OR "malware" OR "phishing" OR "ransomware" ) ) AND ( TITLE-ABS-KEY ( "policy" OR "regulation" OR "law" OR "governance" OR "legal framework" OR "compliance" OR "normative framework" ) ) AND ( TITLE-ABS-KEY ( "capacity building" OR "training" OR "skills development" OR "capabilities" OR "education" OR "awareness" ) ).

Esta búsqueda avanzada, aplicada en los campos de título, resumen y palabras clave (TITLE-ABS-KEY), permitió identificar artículos relevantes y actualizados que abordan aspectos técnicos, normativos y formativos de la ciberseguridad. Además, la ecuación fue refinada de manera iterativa para evitar resultados irrelevantes y garantizar una cobertura adecuada del fenómeno desde una perspectiva multidimensional.

Figura 1 Diagrama de flujo PRISMA mostrando el proceso de selección de artículos 

Nota. Contenido generado desde https://hollyhartman.shinyapps.io/PRISMAFlowDiagram/

El proceso inicial de identificación arrojó un total de 942 registros tras eliminar duplicados, sin encontrarse fuentes adicionales mediante otros medios. A continuación, todos los registros fueron sometidos a un riguroso proceso de cribado, en el que se evaluaron los títulos, resúmenes y palabras clave, conservando únicamente aquellos que se alineaban con los objetivos del estudio. Para ello, se aplicaron criterios de inclusión claramente definidos: se consideraron exclusivamente estudios en español e inglés, publicados entre 2010 y 2024, que abordaran explícitamente temas relacionados con ciberseguridad, ciberataques, legislación, costos, tendencias tecnológicas o dinámica del mercado laboral.

Posteriormente, se procedió a la evaluación de los textos completos de los 942 artículos para determinar su elegibilidad. De este conjunto, se excluyeron 918 estudios por diversas razones: 246 no cumplían con el rango temporal establecido (2020-2025), 554 pertenecían al campo de las ciencias sociales sin conexión directa con la temática de ciberseguridad, 66 eran artículos incompletos o no revisados por pares, 41 carecían de contribuciones sustantivas al tema específico, y 10 no guardaban relación alguna con el eje central del estudio. Como resultado de este proceso sistemático de selección, se incluyeron 24 estudios en la síntesis cualitativa final.

La extracción y organización de datos se realizó mediante técnicas de análisis temático y síntesis narrativa. Se examinaron en detalle las dimensiones abordadas por cada estudio, incluyendo tipos de ciberataques, marcos legales vigentes, niveles de madurez institucional, patrones de inversión, avances en tecnologías emergentes y brechas en el mercado laboral. Esta sistematización permitió construir una visión comprensiva, crítica y contextualizada sobre los desafíos y oportunidades que enfrenta el Perú en materia de ciberseguridad, sentando las bases para futuras investigaciones y recomendaciones estratégicas.

Resultados

A medida que el entorno digital gana protagonismo en todos los sectores productivos, la ciberseguridad se ha consolidado como un eje estratégico fundamental dentro de las políticas públicas y el desarrollo empresarial en el Perú. Sin embargo, diversos informes señalan que durante 2023 el país fue blanco de más de 5 mil millones de intentos de ciberataques, una cifra alarmante que refleja tanto la creciente sofisticación de las amenazas como la urgente necesidad de fortalecer los sistemas de protección (^{Forbes, 2024}; PNP, 2024). Según el Informe del ^{BCRP (2024)}, las pérdidas económicas derivadas de estos delitos informáticos alcanzan cifras multimillonarias, afectando a empresas que pueden perder desde US$ 13 mil hasta más de US$ 5 millones por incidente, como advierte ^{Gómez (2023)}.

No obstante, a pesar de estos indicadores preocupantes, persisten rezagos normativos y técnicos en la implementación de una política nacional integral de ciberseguridad (^{Presidencia del Consejo de Ministros, 2017}; ^{Amasifuen, 2024}), lo que contrasta con los avances observados en países vecinos o aliados estratégicos como Estados Unidos y Canadá (^{Aguilar, 2024}).

El panorama global evidencia una necesidad urgente de cooperación multilateral y armonización normativa en materia de ciberseguridad. En Norteamérica, por ejemplo, se ha consolidado un ecosistema regulatorio más cohesionado que facilita la interoperabilidad de sistemas y el intercambio de inteligencia frente a amenazas emergentes (^{Aguilar, 2024}). Mientras tanto, en el Perú, el marco legal se ha ido fortaleciendo de forma fragmentada, con normativas como la Ley de Protección de Datos Personales (^{Congreso de la República, 2021}) y la Ley de Delitos Informáticos (^{Congreso de la República, 2023}), las cuales, si bien representan avances, no se articulan de manera suficiente con los desafíos que impone el actual entorno digital. Como destacan Bravo (2024) y ^{Martín (2023)}, el país aún depende de una respuesta mayoritariamente reactiva ante los ataques cibernéticos, situación que también ha sido documentada por ^{Optiv (2019)} al señalar que muchas empresas están atrapadas en un ciclo de respuesta y no de prevención. Esta falta de anticipación se agrava por la escasa inversión sostenida en tecnología, infraestructura y talento humano especializado (^{Calderón, 2020}; ProInnóvate, 2024).

Frente a este contexto, diversas investigaciones coinciden en la urgencia de transitar hacia modelos proactivos y adaptativos de gestión del riesgo digital. El uso de plataformas de protección de puntos finales, como las descritas por Evgeny et al. (2023), junto con la implementación de marcos de gobernanza tecnológica en sectores estratégicos como salud (^{Cervera & Alyson, 2024}), transporte (^{Bermúdez & Cano, 2023}) y educación superior (^{Towhidi, 2023}), se perfilan como componentes esenciales en una estrategia nacional coherente. Además, el desarrollo de capacidades en aprendizaje automático para la detección de amenazas (^{Reyes et al., 2023}) y el análisis de arquitecturas IoT (Ausecha et al., 2022) abren nuevas posibilidades para fortalecer la resiliencia digital. La ^{OEA (2023)} advierte sobre el déficit de profesionales capacitados en ciberseguridad en la región, lo que exige un compromiso interinstitucional para la formación de talento, mientras autores como ^{Sánchez (2022)} y ^{Tapia (2021)} enfatizan que el fenómeno debe abordarse también desde una perspectiva sociocultural y de derechos. Así, la ciberseguridad no solo implica una mejora tecnológica, sino una transformación estructural, ética y educativa que garantice una ciudadanía digital protegida y consciente.

Perú se ha consolidado como uno de los principales objetivos de ciberataques en América Latina. Aunque el número de intentos de intrusión ha disminuido en comparación con el año anterior, la cantidad sigue siendo alarmante y continúa generando pérdidas económicas significativas. En este contexto, modalidades como el phishing, el fraude electrónico y el robo de identidad -que en conjunto representan más del 80 % de los delitos cibernéticos de índole económica- ponen de manifiesto la sofisticación y frecuencia de estas amenazas.

Esta situación se agrava debido a las debilidades estructurales del ecosistema digital peruano, entre las que destacan brechas legislativas, infraestructuras tecnológicas obsoletas y una limitada capacidad de respuesta frente a ataques dirigidos a sectores críticos como el transporte, la salud y la logística. En efecto, el país aún se encuentra en la etapa formativa del Modelo de Madurez de Capacidades en Ciberseguridad (CMM), lo que refleja una capacidad institucional restringida para enfrentar con eficacia los riesgos cibernéticos.

Además, esta condición no solo genera vulnerabilidades operativas, sino que también evidencia una desconexión entre la normativa vigente y la naturaleza dinámica del entorno digital. Si bien se han promulgado leyes clave relacionadas con la protección de datos y los delitos informáticos, su alcance resulta insuficiente ante la rápida evolución tecnológica y la aparición constante de nuevos vectores de ataque. Por otro lado, aunque la inversión empresarial en ciberseguridad ha mostrado un crecimiento progresivo, todavía no logra compensar las deficiencias en gobernanza digital ni cerrar la brecha de riesgo que amenaza la sostenibilidad de los sistemas críticos nacionales.

Uno de los desafíos más urgentes que enfrenta Perú es la escasez de talento especializado en ciberseguridad. A pesar de que la demanda de profesionales en esta área ha aumentado entre un 50 % y 60 % en los últimos años, las organizaciones continúan enfrentando dificultades significativas para cubrir vacantes estratégicas. Esta disparidad entre la oferta y la demanda genera una sobrecarga en los equipos técnicos y debilita la capacidad del país para implementar políticas preventivas efectivas.

Asimismo, factores como la digitalización acelerada, la proliferación del Internet de las Cosas (IoT) y la adopción masiva de servicios en la nube incrementan la complejidad de las amenazas, lo que exige contar con un cuerpo profesional altamente capacitado. Por lo tanto, sin una estrategia coordinada entre el gobierno, la academia y la industria para fortalecer el capital humano, Perú corre el riesgo de consolidar su vulnerabilidad estructural en un ecosistema digital que se vuelve cada vez más hostil.

Por último, el análisis de tendencias y proyecciones revela un cambio paradigmático en la manera en que las organizaciones enfrentan la ciberseguridad, destacando la incorporación de tecnologías emergentes como la inteligencia artificial y el Internet de las cosas. Estas innovaciones brindan importantes ventajas, especialmente en la detección automatizada de amenazas y en la capacidad de respuesta en tiempo real; no obstante, también amplían considerablemente la superficie de ataque.

Asimismo, continúan presentes desafíos estructurales, tales como la complejidad en la configuración de servicios en la nube, la falta de soberanía sobre los datos y la vulnerabilidad ante errores humanos. La combinación de estos factores pone de manifiesto que la transformación digital en el Perú no podrá sostenerse sin una política de ciberseguridad sólida, transversal y articulada, que reconozca tanto los riesgos tecnológicos como las debilidades humanas e institucionales.

Discusión

El análisis sistemático de 24 investigaciones recientes permite identificar tendencias clave en ciberseguridad desde diversas perspectivas: tecnológica, organizacional, legal y educativa. En primer lugar, uno de los hallazgos más relevantes es la dualidad de la inteligencia artificial en el ciberespacio. Por un lado, ^{Dumchikov et al. (2025)} y ^{Tok & Chattopadhyay (2023)} evidencian su uso tanto en actividades delictivas como en procesos de investigación forense; por otro lado, ^{Houichi et al. (2024)} y ^{Zhang et al. (2022)} advierten sobre su contribución al aumento de vulnerabilidades en ciudades inteligentes e infraestructuras críticas. En conjunto, estos estudios coinciden en que la adopción tecnológica debe ir acompañada de capacidades de defensa adaptativas y marcos éticos sólidos.

En segundo término, la ciberseguridad en pequeñas y medianas empresas (PYMEs) se presenta como un área especialmente vulnerable. Investigaciones como las de ^{Chidukwani et al. (2024)}, ^{Song & Park (2024)}, ^{Rawindaran et al. (2023)} y ^{Wong et al. (2022)} muestran que factores como el bajo presupuesto, la escasa formación y la falta de una cultura preventiva afectan negativamente su resiliencia digital. Frente a ello, las propuestas más efectivas giran en torno a incentivos fiscales, el fortalecimiento de la conciencia del personal y un rol activo del gobierno en la gestión de la respuesta post-incidente.

Por otra parte, en el ámbito educativo y organizacional se confirma la importancia de la formación y la cultura en ciberseguridad. ^{Zanke et al. (2024)}, ^{Nastjuk et al. (2024)} y ^{Dodge et al. (2023)} destacan que las políticas de capacitación deben estar alineadas con los perfiles de los usuarios para lograr un impacto sostenido. Asimismo, ^{Orosco-Fabian (2024)}, ^{Alhumud et al. (2023)} y ^{Ricci et al. (2024)} alertan sobre la carencia de estándares internacionales claros en la educación superior, mientras que ^{Alsharida et al. (2023)} subrayan la necesidad de adaptar las teorías conductuales a los nuevos contextos digitales.

En cuanto a los aspectos legales, los estudios de ^{Serini (2024)}, ^{Pravdiuk (2022)}, ^{Smikle (2023)}, ^{Mat et al. (2022)} y ^{Gibbs (2020)} ponen de relieve la falta de articulación normativa y la necesidad de coherencia entre los marcos regulatorios nacionales e internacionales. En este sentido, ^{Koolen et al. (2024)} proponen modelos de madurez que traducen las obligaciones legales en acciones operativas sostenibles. Esta propuesta se complementa con la demanda de una mayor coordinación entre los sectores público y privado para garantizar una gobernanza digital robusta.

Finalmente, no puede subestimarse el papel de los factores individuales y contextuales en la ciberseguridad. ^{Lukáč et al. (2025)} y ^{Dodge et al. (2023)} demuestran que la alfabetización digital, la autoeficacia y la percepción de amenaza influyen directamente en la adopción de prácticas seguras. En conjunto, los estudios revisados indican que la ciberseguridad requiere una visión integral e intersectorial que articule tecnología, formación, normativa y motivación individual para afrontar los riesgos emergentes con eficacia y equidad.

Conclusiones

Los estudios revisados evidencian que la ciberseguridad es un fenómeno multidimensional que debe abordarse desde enfoques integrales e intersectoriales. En efecto, las amenazas digitales no se circunscriben únicamente al ámbito tecnológico, sino que también impactan dimensiones legales, educativas, sociales y organizacionales. Por ello, resulta fundamental fortalecer los marcos normativos, fomentar la educación digital, promover culturas organizacionales resilientes y adaptar las estrategias a los diversos perfiles sociotécnicos para enfrentar los desafíos de un entorno digital en constante evolución.

De esta manera, se concluye que las políticas de ciberseguridad deben sustentarse en una visión articulada entre actores públicos y privados, en la que la formación continua, la concienciación del usuario final, la evaluación de riesgos y la aplicación contextualizada de tecnologías emergentes ocupen un lugar prioritario. En un mundo cada vez más interconectado, la construcción de capacidades cibernéticas sólidas e inclusivas no solo protege los activos digitales, sino que también garantiza la sostenibilidad, la confianza institucional y el desarrollo seguro de las sociedades.