Por Narciso Basic, Business Information Security Officer – Chile, Perú y Ecuador en Equifax
La implementación de la Ley Marco de Ciberseguridad se tradujo en una serie de mejoras, entre ellas, la definición de los Operadores de Importancia Vital (OIV). Este listado de empresas reconoce a aquellas que sostienen servicios que no pueden fallar o interrumpirse, pues podría comprometer la seguridad nacional, los servicios esenciales o el funcionamiento del Estado.
No es simplemente una categorización más. Aunque implica mayores regulaciones y exigencias en términos de seguridad de la información, no es simplemente un tema de cumplimiento con impacto operacional, sino más bien de un planteamiento sistémico sobre el tema
En Equifax, por ejemplo, cumplimos estándares globales en materia de ciberseguridad por lo que no se requirió de mayor mejora tras haber sido nombrado como OIV; nominación que se basa en la naturaleza de nuestra operación analítica, que genera información crítica para la economía, el sistema financiero y la calidad de vida de las personas.
Sin embargo, muchas empresas se enfrentan a un contexto transformador, donde cambian las reglas del juego. Durante años, la ciberseguridad fue entendida como una capa técnica, muchas veces confinada al área de TI. La Ley 21.663 rompe con esa lógica. Hoy, el riesgo es del negocio, del directorio y, en última instancia, de la continuidad de la organización.
Lo anterior tiene consecuencias concretas. Primero, porque las sanciones dejan de ser simbólicas. Multas que pueden alcanzar niveles relevantes obligan a que la ciberseguridad se gestione con el mismo rigor que cualquier otro riesgo estratégico.
Segundo, porque los estándares técnicos ya no son opcionales. La interoperabilidad segura, la protección de datos y la resiliencia de la infraestructura pasan a ser condiciones base para operar.
Y tercero —y probablemente más exigente— porque el tiempo de respuesta se mide en horas, no en días. Reportar incidentes en un plazo acotado implica una arquitectura madura en términos de seguridad, con aplicación de automatización con Inteligencia Artificial y una cultura organizacional preparada para reaccionar bajo presión.
Ahora bien, hay que tener en consideración que el riesgo nunca está distribuido de manera uniforme. Siempre hay un punto débil, puede ser un proveedor, una integración, una credencial mal gestionada o un proceso desactualizado. Y es ahí donde se materializan los incidentes más críticos, por lo que se debe trabajar bajo una lógica resiliencia permanente.
En un entorno donde los ataques son cada vez más sofisticados —impulsados, entre otros factores, por el uso de inteligencia artificial y la implementación del Sistema de Finanzas abiertas en el mercado financiero—, la pregunta ya no es si una organización será atacada, sino cuán preparada está para resistir y seguir operando.
