Al frente de la Dirección de Seguridad y Control Informático de la Unidad Técnica de Servicios de Informática (UTSI)  en el Instituto Nacional Electoral, Cecilia Calderón ha consolidado un liderazgo clave durante su primer año y medio de gestión. Este periodo ha estado marcado por intensos retos, pero sobre todo, por su firme compromiso y visión estratégica para blindar la seguridad de la información de la institución, transformando los desafíos en un profundo sentido de propósito y protección tecnológica.

Al mirar atrás, la CISO destacó que su misión ha sido proteger la infraestructura, las comunicaciones, los sistemas y los equipos institucionales de dicho organismo. Con pasión y entrega, ha guiado sus esfuerzos hacia la consolidación de un entorno seguro, fuerte y resiliente, donde la gestión de riesgos y la mejora continua son el motor que impulsa el día a día del instituto.

“Esto ha implicado revisar procesos, reforzar los mecanismos de monitoreo, ampliar la visibilidad sobre los activos tecnológicos y promover una mayor coordinación entre las áreas responsables de la operación, el desarrollo y la seguridad de los servicios informáticos. Asimismo, se ha impulsado que la seguridad de la información se incorpore desde la planeación y el diseño de los proyectos, y no solamente como una medida reactiva ante incidentes”, expresó Cecilia Calderon

Desde la perspectiva de Calderón el camino no ha sido fácil. Hubo un momento definitorio que la marcó profundamente en 2025, ya que el mayor reto no fue blindar la infraestructura, sino asumir la inmensa responsabilidad de cuidar y cobijar la percepción que la sociedad tiene de esta institución. En octubre de 2025 en la red X publicaron capturas que parecían convincentes acerca de que el grupo de hacker Sc0rp10n habría instalado backdoors persistentes en servidores del INE.

“El primer movimiento no fue técnico: fue contener la narrativa interna antes de que el área de comunicación social reaccionará con un denegatorio que no podíamos sostener técnicamente en ese momento. Primero verificar, luego comunicar — pero verificar en minutos, no en días. En el INE aprendimos que proteger una elección no es solo proteger infraestructura crítica — es proteger la confianza de millones de personas que no saben qué es un WAF pero sí saben cuándo una institución les está mintiendo”, consideró Cecilia Calderón.

Amenazas constantes, defensas inquebrantables

La seguridad digital del INE se ve desafiada diariamente por una oleada constante de ciberataques, siendo los más comunes el phishing y la suplantación de identidad a través de correo electrónico malicioso. Estos métodos recurrentes se complementan con agresivos ataques de denegación de servicio e intentos repetidos por explotar vulnerabilidades del sistema. El objetivo principal de estas ofensivas digitales es el uso indebido de credenciales para vulnerar y comprometer los equipos, aplicaciones y servicios web que el instituto opera en Internet.

En el último mes, el INE registró:

• 3 millones de correos entrantes analizados.
• 9 millones de mensajes no deseados bloqueados antes del buzón.
• 98,355 de amenazas avanzadas: phishing, malware y suplantación.
• 486 mil llegaron al buzón del usuario.
• 669 buzones y personas del INE reciben 5.8 veces más ataques que el promedio de la institución.

Al respecto, Cecilia Calderon informó  que para su erradicación, el instituto cuenta con controles de seguridad en distintas capas, entre los que se encuentran la protección del correo electrónico, la mitigación de ataques de denegación de servicio, la protección de aplicaciones web, el monitoreo de redes y servicios, la protección de equipos de cómputo, la gestión de vulnerabilidades, el análisis de amenazas y la atención especializada de incidentes.

Estas medidas se complementan con campañas de concientización, ejercicios de phishing controlado, autenticación multifactor y procedimientos de escalamiento y respuesta. El propósito es mantener una capacidad preventiva y de reacción proporcional a la criticidad de los activos y servicios institucionales.

Más adelante, la CISO informó que el instituto se encuentra fortaleciendo de manera gradual sus controles de acceso bajo principios de Zero Trust. Este modelo parte de la premisa de no otorgar confianza únicamente por la ubicación de una persona usuaria o dispositivo dentro de la red institucional.

La estrategia considera verificar de manera continua la identidad, el dispositivo, el contexto y el nivel de riesgo antes de permitir el acceso a los recursos tecnológicos. También contempla la aplicación del principio de mínimo privilegio, la autenticación multifactor, la segmentación de accesos, la revisión de privilegios y una supervisión más precisa de las sesiones.

Su adopción se realiza progresivamente, debido a la diversidad de sistemas, personas usuarias y necesidades operativas del instituto. El objetivo es que los accesos se otorguen únicamente a personas, dispositivos y aplicaciones autorizadas, durante el tiempo necesario y conforme a las funciones que les correspondan.

Adopción de la IA en el INE

De acuerdo con Cecilia Calderón, otro reto relevante que ha asumido es el fortalecimiento del marco de gobierno institucional en materia de seguridad de la información y acompañar la incorporación de nuevas tecnologías. “Se me encomendó coordinar la elaboración de los Lineamientos y principios para el desarrollo estratégico y uso regulado de la Inteligencia Artificial (IA) en el Instituto Nacional Electoral  –en tiempo record-, con el propósito de promover una adopción responsable, segura y alineada con la protección de la información institucional”.

Para la CISO,  la inteligencia artificial planteó un desafío particular: sus implicaciones trascienden el ámbito tecnológico. Evaluar una iniciativa que incorpora IA exige considerar simultáneamente el tratamiento de datos, la seguridad informática, el marco jurídico aplicable, la operación cotidiana del área usuaria y la forma en que el proyecto será gestionado.

El INE aprobó en agosto de 2025 los Principios de Inteligencia Artificial y el Programa de Trabajo correspondiente, estableciendo una base para orientar su desarrollo y uso responsable. Para atender esa materia se constituyó el Grupo de Expertos en Inteligencia Artificial (GEIA), un grupo multidisciplinario cuya función es emitir opinión especializada sobre las iniciativas que incorporan IA.

Asimismo, se promovió la actualización y consolidación de los lineamientos en materia de seguridad de la información, a fin de establecer criterios comunes para la gestión de riesgos y la protección de los activos tecnológicos.

Por otra parte, Cecilia Calderon informó que el instituto está incorporando capacidades de inteligencia artificial principalmente como apoyo para fortalecer el análisis y la detección de comportamientos que podrían representar un riesgo de seguridad.

Estas capacidades permiten procesar grandes volúmenes de eventos, identificar anomalías, correlacionar señales provenientes de distintas fuentes y apoyar la detección oportuna de amenazas, correos maliciosos, comportamientos atípicos y posibles intentos de compromiso.

“La inteligencia artificial complementa el trabajo de los equipos especializados; no sustituye el análisis ni la toma de decisiones del personal responsable. Su uso debe mantenerse bajo criterios de supervisión humana, protección de datos, trazabilidad, seguridad y apego a la normativa institucional”, aclaró la directora.

Agregó que también se trabaja en establecer lineamientos para que la adopción de estas tecnologías se realice de manera responsable, evaluando previamente los riesgos asociados con el tratamiento de información y evitando la exposición de datos institucionales en herramientas que no hayan sido autorizadas.

Voto Electrónico por Internet

El desarrollo del Sistema de Voto Electrónico por Internet (SIVEI) se suma a la lista de éxitos y aportaciones clave de Cecilia Calderón a la democracia inclusiva. Gracias a su impulso, esta modalidad de votación electrónica permitió que la ciudadanía con discapacidad y sus cuidadoras primarias emitieran su sufragio a distancia. Este avance se materializó con la implementación de la Prueba Piloto de Voto Anticipado por Internet durante el Proceso Electoral Local 2025-2026 en el Estado de Coahuila de Zaragoza.

Con la finalidad de contar con una bitácora electoral que incluyera los principales registros de las acciones realizadas en el SIVEI relacionadas con la votación, como: la creación de elecciones, la carga de llaves, la emisión del voto, la descarga de la bóveda de votos, la generación de reportes entre otros, se implementó la tecnología Blockchain con el objetivo de tener una bitácora inmutable que preserve la integridad y orden. En este sentido, el Sistema de Voto Electrónico por Internet se convirtió en el primer sistema del Instituto Nacional Electoral en incorporar la innovadora tecnología Blockchain.

Como parte de su implementación el SIVEI cuenta con tres portales en la nube: el portal de administrador, portal votante y portal de Centro de Ayuda; y un componente fuera de la nube denominado módulo criptográfico. Los principales retos en el diseño de un sistema de votación electrónica por internet radican en preservar los principios de secrecía, integridad y la no vinculación del voto con la persona votante.

“Para solventar estos retos se echó mano de algoritmos criptográficos de cifrado de llave pública, firma digital a ciegas, así como mecanismos de mezclado para abonar a la desvinculación. Adicionalmente, con la finalidad de que la responsabilidad del descifrado de los votos no recayera en una sola persona, se diseñó el Sistema para que la llave privada para el descifrado de los votos se pudiera fragmentar en cinco partes, mismas que serían resguardadas por personas custodias designadas por el INE”, destacó Cecilia Calderón.

Por otra parte, el Instituto Nacional Electoral mediante la Dirección de Seguridad y Control Informático de la Unidad Técnica de Servicios de Informática, obtuvo la certificación internacional ISO/IEC 27001:2022 para el “Protocolo de Cómputo y Generación de Resultados del Sistema de Voto Electrónico por Internet (SIVEI)”.  El alcance certificado comprende el protocolo utilizado para el cómputo y la generación de resultados de la votación a través del SIVEI, asegurando la protección de la información durante todo este proceso de cómputo y generación de resultados electorales, con lo que se mantienen los principios de confidencialidad, integridad y disponibilidad.

Próximos planes y proyectos en materia de seguridad

En su ruta por consolidar una infraestructura informática de vanguardia, Cecilia Calderón ya perfila los próximos pasos del instituto, los cuales se concentrarán en fortalecer la resiliencia tecnológica y operativa del INE. Con el foco puesto en la ciberseguridad, la CISO encabeza una estrategia clave para robustecer las capacidades del organismo en la prevención, detección, atención y recuperación inmediata ante posibles incidentes de seguridad, blindando así la estabilidad operativa de la institución frente a los desafíos digitales actuales.

Entre las principales líneas de trabajo se encuentran:

• Continuar con la adopción gradual del modelo Zero Trust y el fortalecimiento de la autenticación multifactor.
• Mejorar la administración, el control y la supervisión de cuentas con privilegios elevados.
• Ampliar las capacidades para identificar, evaluar y proteger los activos tecnológicos expuestos.
• Fortalecer el monitoreo integral y la supervisión de la infraestructura tecnológica crítica.
• Consolidar los procesos de identificación, atención, seguimiento y remediación de vulnerabilidades.
• Fortalecer las capacidades de análisis de amenazas, búsqueda proactiva y respuesta ante incidentes.
• Reforzar la seguridad de los equipos de cómputo y dispositivos móviles institucionales.
• Impulsar la automatización y el uso responsable de la inteligencia artificial para apoyar el análisis y la detección de eventos de seguridad.
• Promover la aplicación y actualización de los Lineamientos para el uso de la Inteligencia Artificial, con énfasis en la protección de la información, la supervisión humana y la gestión de riesgos.
• Continuar fortaleciendo los lineamientos y mecanismos institucionales en materia de seguridad de la información.
• Dar continuidad al Sistema de Gestión de Seguridad de la Información implementado para el proceso certificado del SIVEI y evaluar la incorporación progresiva de otros procesos bajo buenas prácticas de la norma ISO/IEC 27001:2022.
• Reforzar los ejercicios de continuidad operativa, recuperación y respuesta ante incidentes.
• Mantener las campañas de concientización, capacitación y ejercicios controlados dirigidos al personal del Instituto.
• Consolidar los mecanismos de gobierno, medición, auditoría y mejora continua en materia de seguridad de la información.

“El objetivo transversal es avanzar hacia un modelo de seguridad preventivo, adaptable y medible, en el que la protección de la información sea una responsabilidad compartida y se encuentre integrada desde la planeación, el diseño y la operación de los servicios tecnológicos del Instituto”, finalizó Cecilia Calderón.