Informe sobre la Implementación de la Nueva Política Nacional de Ciberseguridad de Chile 2023-2028

Resumen Ejecutivo

La reciente promulgación del Decreto 164, que aprueba la Política Nacional de Ciberseguridad 2023-2028 en Chile, marca un hito significativo en el compromiso del país con la seguridad digital. Este marco regulatorio establece directrices claras para fortalecer la infraestructura de información, proteger los derechos de los ciudadanos en el ciberespacio, y promover una cultura de ciberseguridad a nivel nacional e internacional. Para las empresas que operan en Chile, este decreto implica la necesidad de adaptarse a un entorno regulador más estricto, con potenciales implicaciones en términos de riesgos, costos y operaciones. Este informe proporciona un análisis exhaustivo de las disposiciones clave del decreto, su impacto en el ámbito empresarial, y ofrece un plan detallado para que las empresas se alineen con estas nuevas regulaciones.

Aspectos destacados de la politica 

La Política Nacional de Ciberseguridad 2023-2028 es un documento exhaustivo que aborda una amplia gama de aspectos clave relacionados con la seguridad cibernética. Entre los puntos más destacados, se encuentran los siguientes:

Decreto 164 : https://www.bcn.cl/leychile/navegar?idNorma=1198702

Analisis del impacto empresarial

Esta política tendrá un impacto significativo en las empresas de todos los sectores, con algunos sectores que tendrán que lidiar con retos específicos:

Riesgos y Costos Potenciales

• Aumento del escrutinio regulatorio y riesgo de sanciones en caso de incumplimiento.

• Costos elevados para actualizar sistemas, políticas y controles de ciberseguridad.

• Ampliación de la responsabilidad en caso de violaciones de datos y ciber incidentes.

• Interrupción de las operaciones durante las iniciativas importantes de transformación de ciberseguridad.

• Requisitos rigurosos para informar oportunidades sobre incidentes de ciberseguridad y revelarlos al público.

Cambios Operacionales Necesarios

• Designar un encargado de Seguridad de la información (CISO) por parte de la junta directiva y establecer una estructura de gobernabilidad definida.

• Realizar análisis completos de riesgos de ciberseguridad y pruebas periódicas.

• Implementar nuevas herramientas y controles de seguridad, con énfasis en protección de datos.

• Realizar análisis completos de riesgos de ciberseguridad y pruebas periódicas.

• Rediseñar procesos comerciales para la resiliencia y respuesta a incidentes.

• Lanzar programas obligatorios de concientización y capacitación de ciberseguridad para todos los colaboradores de la organización.

• Desarrollar capacidades de ciberseguridad y gestión de riesgos en toda la organización.

Implicaciones Estratégicas

• La ciberseguridad de hace indispensable para la junta directiva y la alta gerencia, demandando inversión y un seguimiento constante. 

• Ventaja competitiva para las organizaciones que aprovechan esta política para fortalecer su posición de ciberseguridad.

• Oportunidades de asociarse o adquirir de empresas locales de ciberseguridad en crecimiento.

• Diferenciación de marca y fidelización del cliente mediante un liderazgo sólido en protección de datos y derechos digitales.

• Impulso al desarrollo de habilidades de ciberseguridad en futuros profesionales a través de la aplicación de programas de educación e investigación.

Hoja de ruta de mitigación de riesgos

Para adaptarse de manera efectiva a los nuevos requisitos, recomendamos que las organizaciones emprendan las siguientes acciones prioritarias:

Fase 1: Evaluación y Planificación (Corto Plazo)

1. Realizar una evaluación comparativa integral de las capacidades actuales de ciberseguridad y las brechas con la nueva política.

2. Desarrollar una estrategia y hoja de ruta detalladas para abordar las deficiencias y cumplir con los nuevos estándares.

3. Obtener el apoyo y el seguimiento de la junta directiva y el liderazgo ejecutivo para el programa de ciberseguridad.

4. Asignar el presupuesto y los recursos necesarios para implementar mejoras críticas de ciberseguridad.

Fase 2: Implementación de Controles Básicos (Mediano Plazo)

1. Nombrar a un CISO y establecer una estructura de gobierno de riesgos cibernéticos con roles y responsabilidades claros.

2. Actualizar las políticas, procedimientos y controles de ciberseguridad para alinearse con los nuevos requisitos, con énfasis en la protección de datos.

3. Usar herramientas y sistemas esenciales de seguridad, como el cifrado, la autenticación robusta, las actualizaciones de seguridad periódicas, etc.

4. Implementar un programa integral de capacitación y concientización sobre ciberseguridad, obligatorio para todos los colaboradores en la organización.

5. Establecer capacidades de monitoreo, detección y respuesta a incidentes, en coordinación con CSIRT externos.

Fase 3: Madurez Avanzada (Largo Plazo)

6. Ejecutar frecuentemente pruebas de penetración, búsqueda de amenazas y simulacros para detectar y resolver vulnerabilidades.

7. Utilizar soluciones avanzadas de seguridad como SIEM, análisis de comportamiento de usuarios y entidades (UEBA), orquestación de seguridad, etc.

8. Incorporar la ciberseguridad como un componente transversal en todos los aspectos de la estrategia y las operaciones empresariales.

9. Participar activamente en el intercambio de información y los esfuerzos de colaboración de la industria en torno a las amenazas emergentes.

10. Aprovechar las asociaciones público-privadas y los incentivos para la innovación y el desarrollo de la fuerza laboral de ciberseguridad.

Mirando hacia el futuro 

A medida que el panorama de amenazas digitales continúa evolucionando rápidamente, esperamos un mayor escrutinio regulatorio y requisitos de ciberseguridad más estrictos en los próximos años. Para mantenerse a la vanguardia, las empresas deben adoptar una mentalidad proactiva y orientada al futuro:

Estrategias de seguridad cibernética

Conclusión