La resiliencia digital ya no depende únicamente de detener ataques: exige conectar estrategia, identidad, datos, continuidad operacional y evidencia de cumplimiento.
Por eso, el principal aprendizaje compartido entre líderes empresariales y especialistas durante el encuentro del 18 de agosto fue claro: la ciberseguridad dejó de ser un asunto exclusivo del área de TI y pasó a ser un pilar de continuidad del negocio. La pregunta relevante ya no es solamente cómo impedir un ataque, sino cuánto tiempo puede operar la organización bajo presión, cómo protege la información crítica, quién toma decisiones durante una crisis y qué antecedentes puede presentar después para demostrar una actuación diligente.
Continuidad antes que herramientas
La seguridad debe proteger la capacidad de operar, responder y recuperar servicios críticos.
Datos bajo gobierno
No es posible proteger ni acreditar aquello que la organización no sabe dónde está, quién utiliza o con qué finalidad se trata.
Cumplimiento demostrable
Las políticas deben convertirse en controles, registros, responsables y evidencia verificable.
La regulación está acelerando una conversación que el negocio ya necesitaba
La Ley 21.663 estableció la institucionalidad nacional de ciberseguridad, requisitos mínimos de prevención, contención y respuesta, y mecanismos de supervisión, infracciones y sanciones. Para quienes prestan servicios esenciales, la obligación de reportar incidentes con efectos significativos se encuentra vigente desde el 1 de marzo de 2025 y contempla una alerta temprana dentro de un máximo de tres horas desde que se toma conocimiento del incidente.
A este marco se suma la Ley 21.719, que entrará en vigencia el 1 de diciembre de 2026. La normativa amplía los derechos de las personas sobre sus datos, establece obligaciones de transparencia, seguridad y responsabilidad, incorpora privacidad desde el diseño y por defecto, y crea la Agencia de Protección de Datos Personales. También exige que las organizaciones sean capaces de acreditar la licitud de sus tratamientos y responder a solicitudes de acceso, rectificación, supresión, oposición, portabilidad y bloqueo.
La Ley 21.459 agrega otra dimensión: tipifica conductas como el acceso ilícito, la interceptación ilícita, el ataque a la integridad de sistemas o datos, la falsificación y el fraude informático, además de incorporar reglas asociadas a la preservación de evidencia digital. Esto obliga a mirar la respuesta a incidentes no sólo desde la recuperación tecnológica, sino también desde la trazabilidad y la posible investigación posterior.
Desde la perspectiva jurídica presentada por Lilian Jiménez Orellana, el cambio más importante es pasar de declaraciones generales a obligaciones verificables: gobierno, gestión de riesgos, controles técnicos, reporte de incidentes y auditoría documentada. Los materiales también enfatizan la privacidad desde el diseño, la responsabilidad proactiva y la necesidad de demostrar que los controles existían y operaban antes del incidente
Resiliencia digital: prepararse para operar durante la crisis
Una organización resiliente no es aquella que promete que nunca será atacada. Es aquella que conoce sus activos críticos, puede identificar rápidamente qué fue afectado, contiene la propagación, mantiene informada a la dirección, recupera servicios prioritarios y conserva evidencia de sus decisiones.
La ANCI instruye a los Operadores de Importancia Vital a restringir o aislar sistemas comprometidos, revisar accesos administrativos, proteger respaldos, segmentar redes, registrar las decisiones y evidencias obtenidas durante la gestión del incidente. Estas medidas son obligatorias para los OIV, SE y sus proveedores, la propia Agencia las considera posteriormente recomendables para otras organizaciones.
Esto transforma la continuidad operacional en una capacidad multidisciplinaria. Tecnología debe coordinarse con gerencia, legal, cumplimiento, comunicaciones, operaciones y protección de datos. Cuando un mismo incidente afecta a las operaciones y datos, para los afectados del suceso es recomendable que trabajen con una sola línea de tiempo, una coordinación documentada entre responsables y una agrupación común de evidencia, evitando relatos contradictorios ante distintas autoridades.
El siguiente modelo sintetiza esa visión integrada: la continuidad del negocio se fortalece cuando gobierno, identidad, datos, respuesta y evidencia operan como un solo sistema, bajo mejora continua
Figura 1: La resiliencia digital surge al conectar gobierno, identidad, datos, respuesta y evidencia en un sistema de mejora continua orientado a la continuidad del negocio
Identidad y acceso: el nuevo perímetro empresarial
El trabajo híbrido, la nube, los dispositivos móviles, los proveedores y las aplicaciones distribuidas hicieron desaparecer el perímetro tradicional. Hoy, una identidad comprometida puede abrir acceso a correo, información corporativa, aplicaciones y servicios críticos. Microsoft informa que más del 97% de los ataques de identidad observados corresponden a ataques de contraseña y destaca la autenticación multifactor resistente al phishing como una medida especialmente efectiva.
Desde la perspectiva tecnológica compartida por Jose Gaete Sotomayor, el punto de partida no es adquirir productos de manera aislada, sino conectar capacidades con objetivos de riesgo. Los materiales relacionan Microsoft Entra ID con identidad, MFA, acceso condicional, privilegio mínimo y gobierno de identidades; Microsoft Defender y Sentinel con detección y respuesta; Microsoft Purview con clasificación, protección y auditoría de información; e Intune con gobierno y protección de dispositivos.
El enfoque de Confianza Cero (Zero Trust) profundiza en esta lógica: verificar explícitamente, otorgar sólo el privilegio mínimo, asumir que puede existir una vulneración e inspeccionar de manera continua. Microsoft estructura su modelo en torno a identidades, dispositivos, aplicaciones, datos, infraestructura y redes; la propuesta presentada por NextTime lo traduce en identidad verificada, mínimo privilegio, segmentación e inspección continua.
El aprendizaje estratégico es que la tecnología aporta capacidad, pero no reemplaza las decisiones de gobierno. Las herramientas requieren responsables, políticas, criterios de excepción, procesos de respuesta, capacitación y seguimiento. Por eso, el éxito debe medirse en reducción del riesgo y capacidad operacional, no en la cantidad de productos instalados.
Gobierno de datos: proteger comienza por saber
La conversación impulsada por Cristian Maulen abordó una tensión habitual: las organizaciones reconocen el valor de los datos, pero muchas todavía no convierten esa intención en capacidad de ejecución. El gobierno de datos es una combinación de roles y responsabilidades, políticas y procedimientos, calidad, objetivos de negocio y cultura; además, distinguen responsabilidades estratégicas, tácticas y operacionales.
Este punto es esencial para la ciberseguridad. No se puede aplicar acceso mínimo si no existen propietarios de datos. No se puede responder a una solicitud de supresión si la organización desconoce en qué sistemas está la información. No se puede evaluar el riesgo de un proveedor sin saber qué datos recibe, para qué los utiliza y dónde los almacena.
El gobierno de datos tampoco debe convertirse en una capa burocrática paralela. Su propósito es entregar orden, claridad y rendición de cuentas. Los materiales resumen esta idea de manera directa: el gobierno de datos debe traducirse en estrategia, roles, directrices de uso, gestión de metadatos, reglas de calidad y resolución de problemas.
La protección de datos, por tanto, no comienza en el aviso de privacidad. Comienza en el inventario de tratamientos, en la identificación de finalidades y bases de licitud, en la definición de plazos de conservación, en el control de accesos y en la trazabilidad del recorrido del dato.
Del cumplimiento declarado al cumplimiento demostrable
La Ley 21.719 obliga a los responsables a adoptar medidas de seguridad adecuadas al riesgo y, en caso de controversia, a acreditar su existencia y funcionamiento. También dispone que las respuestas a solicitudes de titulares deben conservar respaldos que permitan demostrar su fecha, remisión y contenido.
Esta exigencia introduce una diferencia decisiva entre tener documentación y contar con evidencia operacional. Una política aprobada es importante, pero no demuestra por sí sola que los accesos se revisan, que los consentimientos pueden acreditarse, que los incidentes se registran o que las solicitudes de los titulares se responden dentro de plazo.
En la exposición de Leonardo Jadue, Lineage Platform fue presentada como una forma de centralizar consentimientos, derechos ARCO+, incidentes, registros de tratamiento, auditoría y trazabilidad del dato. En una conversación posterior al encuentro se profundizó en la necesidad de conectar esa información con CRM, ERP, sistemas de marketing y otras plataformas mediante API o webhooks, manteniendo registros de accesos, eventos y evidencias.
El valor no está únicamente en digitalizar formularios. Está en disponer de una fuente confiable que permita responder preguntas críticas: qué datos tenemos, de quién son, por qué los tratamos, dónde circulan, qué terceros los reciben, quién accedió y qué ocurrió cuando se ejerció un derecho o se produjo una brecha.
El riesgo de terceros ya forma parte del riesgo propio
Otro de los aprendizajes compartidos fue que la resiliencia no termina en las fronteras de la organización. Prestadores tecnológicos, integradores, plataformas de marketing, servicios administrados y empresas logísticas pueden acceder a información o participar en procesos críticos. Destacar que la Ley 21.663 alcanza directamente a prestadores de SE (Servicios Esenciales) y OIV (Operador de Importancia Vital), generando exigencias indirectas para su cadena tecnológica, compra y servicios.
El desafío no se resuelve con una cláusula genérica. Requiere clasificar proveedores según criticidad, datos tratados y dependencia operacional; definir obligaciones contractuales; controlar accesos; establecer canales de notificación; y comprobar periódicamente que los controles comprometidos funcionan. La Ley 21.719 también exige que el contrato con el encargado especifique el objeto, duración, finalidad, tipos de datos, categorías de titulares y responsabilidades de las partes
Una agenda ejecutiva para comenzar
La conclusión del encuentro no fue “comprar más seguridad”, sino avanzar de forma ordenada:
- Diagnosticar: identificar servicios críticos, datos, sistemas, identidades, terceros, obligaciones aplicables y brechas.
- Diseñar el gobierno: definir responsables, decisiones, políticas, indicadores y escalamiento ejecutivo.
- Implementar controles prioritarios: identidad, acceso, dispositivos, datos, respaldos, monitoreo y continuidad.
- Preparar la respuesta: establecer protocolos, comunicaciones, responsables y ejercicios.
- Construir evidencia: registrar decisiones, accesos, consentimientos, cambios, incidentes y respuestas.
- Sostener la mejora: revisar riesgos, probar planes y actualizar controles.
Esta secuencia coincide con el enfoque presentado por NextTime: assessment de brechas e inventario, diseño de estrategia y roadmap, despliegue de controles y simulacros de respuesta. La propuesta combina capacidades Microsoft, gobernanza de datos, protección de datos con Lineage Platform, acompañamiento legal, CISOaaS/DPUaaS y transferencia de capacidades al equipo interno
Conclusión: la confianza también se diseña
La ciberseguridad empresarial del futuro no se construirá con una herramienta aislada ni con una política guardada en un repositorio. Se construirá conectando decisiones, personas, procesos, identidades, datos, infraestructura y evidencia.
La regulación está elevando el estándar, pero la oportunidad va más allá del cumplimiento. Una organización que conoce sus riesgos, protege los accesos, gobierna sus datos, controla a sus terceros y puede demostrar cómo actúa ante un incidente está mejor preparada para mantener operaciones, preservar confianza y acelerar su transformación digital.
En NextTime acompañamos a las organizaciones desde el diagnóstico inicial hasta la implementación de un modelo moderno y sostenible de seguridad, resiliencia, protección de datos y cumplimiento. El primer paso es entender la situación actual y convertir las brechas en una hoja de ruta priorizada, conectada con el negocio y con las capacidades tecnológicas que la empresa ya posee.
¿Su organización podría responder hoy, con evidencia, dónde están sus datos críticos, quién accede a ellos y cómo actuaría durante las primeras horas de un incidente?
Conversemos para realizar un diagnóstico ejecutivo de ciberseguridad y protección de datos, revisar el nivel de aprovechamiento de Microsoft 365 y Azure, y construir una hoja de ruta de resiliencia y cumplimiento acorde con sus riesgos reales. https://nexttimesoftware.com/ciberseguridad-y-proteccion-de-datos/
