El INE refuerza la ciberseguridad electoral con un marco DevSecOps para sus sistemas

La Junta General Ejecutiva del Instituto Nacional Electoral (INE) aprobó el 14 de septiembre de 2026, en Ciudad de México, lineamientos para integrar desarrollo, seguridad y operaciones —conocidos como DevSecOps— en los sistemas y servicios tecnológicos del organismo, junto con la primera modificación al proyecto G090310, destinado a fortalecer su resiliencia tecnológica y operativa.

La decisión coloca la ciberseguridad electoral en México dentro de una fase más preventiva: la protección ya no deberá concentrarse únicamente en revisar una plataforma antes de ponerla en funcionamiento, sino acompañar todo el ciclo de vida, desde la planeación y la programación hasta la operación, el mantenimiento y la mejora continua.

En breve

Los lineamientos serán obligatorios para las áreas del INE que diseñen, desarrollen, adquieran, implementen, operen o supervisen sistemas institucionales.
El modelo contempla análisis automatizados de código, dependencias, contenedores, infraestructura y secretos, así como controles de acceso, cifrado y trazabilidad.
El proyecto de resiliencia tecnológica tendrá un ajuste presupuestal de 784 mil 476 pesos para sostener tres plazas de ingeniería especializada durante el segundo semestre de 2026.

Qué sistemas quedarán bajo el marco

Los lineamientos no limitan su aplicación a una plataforma específica. El alcance incluye proyectos, plataformas, componentes y entornos de desarrollo gestionados por el INE, tanto los realizados internamente como aquellos desarrollados con terceros. La incorporación será gradual y deberá considerar el riesgo, la exposición, la criticidad, la madurez tecnológica y las capacidades presupuestales del instituto.

El Grupo de Gobierno de Tecnologías de la Información y Comunicaciones deberá mantener actualizado el catálogo de sistemas sujetos a estas reglas. Entre los criterios para incluirlos están que soporten procesos electorales o sustantivos del INE; que almacenen, procesen o transmitan datos personales o información reservada; que estén expuestos a redes públicas o presten servicios a la ciudadanía; que correspondan a nuevos desarrollos o a mantenimientos evolutivos mayores; o que utilicen integración y despliegue continuos.

Esto significa que el marco puede alcanzar sistemas administrativos, plataformas de atención pública y herramientas relacionadas con la organización electoral. Sin embargo, los documentos revisados no identifican todavía, en el texto general de los lineamientos, un listado nominal de todas las aplicaciones que serán incorporadas ni un calendario público de adopción por sistema. Esa será una de las primeras señales que permitirán medir el cumplimiento real de la decisión.

Los controles de seguridad serán parte del desarrollo

El cambio central consiste en convertir la seguridad en un requisito de calidad y no en una revisión aislada al final del proyecto. El INE estableció que el código y sus componentes deberán pasar por análisis automatizados dentro de los flujos de integración continua. Entre ellos aparecen las pruebas estáticas de seguridad de aplicaciones, las pruebas dinámicas, el análisis de dependencias, la detección de secretos, el escaneo de contenedores y la revisión de infraestructura como código.

Las vulnerabilidades clasificadas como críticas, altas o medias deberán corregirse antes de que un cambio llegue a los ambientes de integración o producción, salvo que exista una excepción formalmente autorizada. El flujo también deberá bloquear despliegues cuando detecte riesgos no remediados. Los problemas de severidad baja no detendrán automáticamente la liberación, pero tendrán que registrarse como deuda técnica para su atención planificada.

El documento incorpora además requisitos que suelen ser determinantes para investigar incidentes: firma digital de artefactos, uso de imágenes base confiables, control de acceso basado en roles, autenticación centralizada, aplicación del principio de mínimo privilegio y adopción del modelo Zero Trust cuando sea posible.

Otro elemento relevante es la obligación de generar una lista de materiales de software, conocida como SBOM, para identificar librerías, componentes y dependencias de cada artefacto. Esa información puede ayudar a ubicar rápidamente qué sistemas están expuestos cuando se descubre una vulnerabilidad en un componente utilizado por varias aplicaciones.

Los lineamientos también ordenan cifrar o enmascarar columnas que contengan datos personales, claves o tokens. Para los registros de actividad, establecen una retención mínima de 90 días en almacenamiento operativo y un año adicional en archivo, mientras que las evidencias de pruebas de seguridad deberán conservarse entre uno y tres años, o durante todo el ciclo de vida de la versión liberada si ese periodo es mayor.

El reto: proveedores, excepciones y evidencia

La norma alcanza desarrollos realizados con terceros, pero su aplicación dependerá de que los contratos, anexos técnicos y acuerdos de nivel de servicio traduzcan los lineamientos en obligaciones verificables. En la documentación de contratación de servicios de resiliencia del INE ya aparecen exigencias de capacidad técnica, experiencia especializada, monitoreo, respuesta a incidentes y cumplimiento de niveles de servicio.

La pregunta práctica será cómo se evaluará a cada proveedor: si deberá entregar resultados de escaneos, reportes de penetración, inventarios SBOM, bitácoras inmutables, tiempos de atención o evidencias de recuperación ante fallas. El marco DevSecOps ofrece una base para pedir esos elementos, pero la eficacia dependerá de que el instituto los convierta en criterios de contratación, supervisión y penalización.

También será importante vigilar las excepciones. El documento permite liberar componentes con vulnerabilidades relevantes cuando exista una autorización formal. Esa flexibilidad puede ser necesaria para evitar interrupciones, pero exige que cada excepción tenga justificación, responsable, plazo de corrección y seguimiento público o auditable. De lo contrario, el bloqueo automático previsto en los lineamientos podría perder fuerza en la operación cotidiana.

Qué cambia en la resiliencia tecnológica

La Junta General Ejecutiva vinculó los lineamientos con la modificación del proyecto G090310, cuyo objetivo es prevenir, detectar, contener y recuperar oportunamente al INE ante eventos que afecten su infraestructura. El proyecto contempla protección perimetral, monitoreo permanente, respuesta a incidentes, gobierno y cumplimiento normativo, análisis especializados y atención técnica bajo demanda.

Los indicadores previstos incluyen la disponibilidad de la infraestructura, el porcentaje de tickets atendidos y la proporción de observaciones resueltas en los entregables. La documentación presupuestal establece que el seguimiento de las metas debe reportarse mensualmente y que la Dirección Ejecutiva de Administración integrará informes trimestrales sobre los proyectos específicos.

En materia de recursos, el ajuste aprobado mueve 784 mil 476 pesos de partidas de los capítulos 2000 a 6000 hacia el capítulo 1000, sin aumentar el presupuesto total del proyecto. El dinero permitirá mantener de julio a diciembre de 2026 tres plazas de ingeniero especialista en seguridad informática. El monto total modificado del proyecto queda en 235 millones 90 mil 477 pesos, frente a 235 millones 94 mil 824 pesos aprobados previamente, según el cuadro incluido en el acuerdo.

El propio INE justifica esas plazas por actividades como el seguimiento de servicios administrados de ciberseguridad, la gestión de vulnerabilidades, el análisis de amenazas, la evaluación técnica de plataformas y la supervisión de los niveles de servicio de proveedores.

Por qué importa para la ciudadanía

La seguridad informática del INE no sólo protege servidores. También resguarda datos personales, información operativa, herramientas de consulta, procesos de capacitación, sistemas de resultados y servicios que la ciudadanía utiliza para informarse o participar en la vida electoral. Una falla de disponibilidad puede impedir el acceso a un servicio; una alteración de integridad puede afectar la confianza en la información publicada; y una filtración puede exponer datos de electores o de personas que colaboran en la organización de los comicios.

El modelo DevSecOps no garantiza por sí mismo que no ocurran ataques. Su valor está en establecer controles repetibles, evidencia técnica y responsabilidades distribuidas. Para que la medida se traduzca en confianza pública, el INE tendrá que informar qué sistemas se incorporan, qué metas de disponibilidad y recuperación se fijan, cuántas vulnerabilidades se detectan y corrigen, cuántas excepciones se autorizan y cómo se verifica a los proveedores.

El antecedente presupuestal muestra que la ciberseguridad electoral en México ya se está tratando como una capacidad operativa permanente y no únicamente como un gasto extraordinario de temporada electoral. La siguiente etapa será comprobar si los lineamientos se aplican de forma homogénea y si sus resultados pueden ser revisados por auditorías, órganos de control y ciudadanía.