Por Jordan Barrera, Especialista en Cumplimiento Normativo.
Hay una escena que se repite en muchas organizaciones: una auditoría que termina bien. Políticas aprobadas, matriz de riesgos al día, cada control con su evidencia en una carpeta ordenada. Todos salen tranquilos de la reunión. Y, sin embargo, nadie en esa sala puede responder con certeza una pregunta simple: si alguien intentara entrar mañana, ¿esos controles lo detendrían?
Esa pregunta hoy pesa más que nunca en Chile. Con el cierre del primer proceso de calificación, la ANCI ya identificó a más de 1.150 Operadores de Importancia Vital (OIV) que deben demostrar gestión de riesgos, capacidad de respuesta y reporte oportuno de incidentes, bajo un régimen sancionatorio que puede llegar a las 40.000 UTM. La Ley Marco de Ciberseguridad dejó de ser un proyecto y pasó a ser una exigencia. Y ahí aparece el riesgo que más me preocupa: que la respuesta sea producir documentos en lugar de producir seguridad.
Un control que nunca ha sido atacado es, en el mejor de los casos, una hipótesis.
Trabajo en cumplimiento normativo, pero me he formado también en seguridad ofensiva, y esa doble mirada me enseñó algo incómodo: un control que nunca ha sido atacado es, en el mejor de los casos, una hipótesis. La política dice que las cuentas privilegiadas están segmentadas. El atacante no lee la política; revisa si existe una cuenta de servicio con más permisos de los necesarios y una contraseña que nadie cambia desde hace años. La matriz dice que el cifrado protege la información sensible. El atacante no discute el algoritmo; busca dónde quedó guardada la llave, quién tiene acceso a ella y si alguien notaría que la usó.
Este último ejemplo es más común de lo que parece. Muchas organizaciones declaran el cifrado como control implementado sin tener un inventario de sus llaves criptográficas, sin políticas de rotación y sin claridad sobre quién las custodia. En el papel, el control existe. En la práctica, basta con encontrar un archivo de configuración olvidado para que deje de existir.
Marcos como ISO 27001 o NIST dicen qué debe existir. Solo un adversario, real o simulado, dice si funciona.
El cumplimiento documental y la seguridad real no son opuestos, pero tampoco son sinónimos. Marcos como ISO 27001 o NIST dicen qué debe existir. Solo un adversario, real o simulado, dice si funciona.
Por eso creo que el siguiente paso en la madurez del cumplimiento en Chile es integrar la seguridad ofensiva como fuente formal de evidencia. No como un pentest anual que se archiva, sino como parte del ciclo: cada ejercicio de red team debería mapearse contra los controles declarados, y cada hallazgo debería actualizar la matriz de riesgos con la misma seriedad que una observación de auditoría. Cuando un equipo ofensivo logra moverse lateralmente por la red sin ser detectado, eso no es solo un hallazgo técnico: es evidencia de que un control reportado como “implementado” no está operando.
Esto cambia también la conversación con el directorio. Un reporte que dice “92% de controles implementados” tranquiliza, pero no informa. Uno que dice “simulamos el ataque que hoy usan los grupos activos contra nuestro sector, y estos tres controles fallaron” permite decidir dónde invertir. Lo mismo ocurre con la respuesta a incidentes: la ley exige reportar en plazos de horas, y esa capacidad no se demuestra con un procedimiento escrito, sino ejercitándola antes de necesitarla.
Hay además una lógica de largo plazo. La labor fiscalizadora de la ANCI recién comienza, y es razonable esperar que con el tiempo el estándar pase de “¿tienes el control?” a “¿puedes demostrar que funciona?”. Las organizaciones que hoy validen sus controles contra un adversario no solo estarán mejor protegidas: llegarán a esa conversación con evidencia que otras tendrán que construir a última hora.
El cumplimiento no debería ser la meta, sino el piso.
El cumplimiento no debería ser la meta, sino el piso. La meta es que, cuando alguien intente entrar —y alguien lo va a intentar—, lo que está escrito en la carpeta sea exactamente lo que ocurra en la red. Para llegar ahí, tenemos que dejar de preguntarle solo al auditor si cumplimos, y empezar a preguntárselo también al atacante.
