Con el primer proceso de calificación de Operadores de Importancia Vital recién cerrado, Michelle Bordachar, Felipe Harboe y Narciso Basic expusieron ante socios de la Cámara. Coincidieron en el diagnóstico y en la tarea pendiente: la mayoría de los ataques graves parte de credenciales robadas, y la coordinación entre reguladores todavía se debe.

El 24 de julio, una resolución de la Agencia Nacional de Ciberseguridad cerró el primer proceso de calificación de Operadores de Importancia Vital. Desde ese día, 1.154 instituciones —las que sostienen los servicios cuya interrupción más golpearía al país— cargan con el catálogo completo de obligaciones de la Ley 21.663, desde sistemas de gestión de seguridad hasta un delegado acreditado ante la autoridad. El manual que explicará cómo se fiscalizará ese régimen todavía se escribe. En ese intervalo, entre la norma vigente y las instrucciones pendientes, vive hoy la ciberseguridad chilena.

Sobre ese intervalo trabajó el seminario que la Cámara Chilena Norteamericana de Comercio, AmCham Chile, dedicó a la implementación de la ley. Expusieron Michelle Bordachar, directora subrogante de la Agencia Nacional de Ciberseguridad (ANCI); Felipe Harboe, socio del estudio H&CO y una de las voces del debate regulatorio digital; y Narciso Basic, Business Information Security Officer para Chile, Perú y Ecuador de Equifax. La bienvenida corrió por cuenta del consejero de AmCham Chile Juan Francisco Galli; moderó la consejera Macarena Gatica.

Los datos de la propia agencia explican por qué el intervalo importa. De los 410 reportes que recibió en 2025, 161 correspondieron a incidentes de efecto significativo, y más del 60% de esos casos graves comenzó con una contraseña robada o una vulnerabilidad expuesta. "La mayoría de los ciberataques siguen siendo por algo tan básico como malas claves y falta de doble factor de autenticación", afirmó Bordachar. Su lista de nueve medidas elementales, estimó, prevendría entre el 90% y el 95% de los ataques.

El caso que mejor retrata el trabajo del organismo es el de Qilin, grupo internacional de secuestro de datos responsable de tres de los cinco incidentes que costaron al Estado cerca de $850 millones en recuperación durante 2025, según la ANCI con cifras de la Contraloría General de la República. Al revisar a las víctimas, la agencia encontró un patrón: todas usaban una misma marca de firewall que cobraba aparte el doble factor de autenticación y venía mal configurada de fábrica. Con ese hallazgo emitió una instrucción al sector público e identificó a 21 instituciones expuestas al mismo ataque. El impacto evitado, calcula, supera los $1.050 millones.

Nada de eso existe sin reportes, y por eso Bordachar dedicó buena parte de su exposición a explicar por qué a nadie le conviene esconder un ataque. Cuando un incidente compromete datos personales, la competencia recae en la Agencia de Protección de Datos Personales; la ANCI prefiere que la víctima le cuente todo, porque su fiscalización mirará cuánto colaboró. "Siempre vamos a privilegiar la confianza por sobre el castigo", definió, y para explicar el modelo al que aspira recurrió a los videojuegos: "Esto es como Mario Bros: cuando uno reporta a la agencia, la idea es que quede inmune a esa sanción, para fomentar la confianza". Lo que viene, anunció, es ponerlo por escrito en las guías de cumplimiento y el manual de fiscalización que hoy se redactan.

Para Harboe, ese manual cubrirá solo una parte de la tarea. Los estándares de seguridad digital quedaron repartidos en un conjunto de leyes que excede a la 21.663, al que se suman las normas que los reguladores sectoriales dictan por su cuenta. "Adecuarse solo a la ciberseguridad o a datos, respectivamente, no es suficiente", advirtió.

Su ejemplo más comentado fue una caricatura. Una señora compra en un retail con su tarjeta de crédito y, enseguida, la empresa sufre un ciberincidente. Se declaran competentes la ANCI, porque hay un incidente; la Comisión para el Mercado Financiero, porque hay una tarjeta; la Agencia de Protección de Datos, porque los datos de la señora quedaron expuestos; y el Sernac, porque hay una relación de consumo. "Cuatro reguladores para un mismo tema, sin normas de coordinación", resumió. A ese vacío le puso plazo, tomando como referencia la entrada en vigencia de la Ley 21.719 de Protección de Datos Personales: "Antes del 1 de diciembre, debiera la autoridad tener una norma de coordinación que a la ANCI le dé sus competencias y se las fije".

La advertencia más directa para los socios fue contractual. La ley exige alertar a la ANCI dentro de las tres horas siguientes al conocimiento de un incidente, con una actualización a las 72, y cada operador vital trasladará esos plazos a las empresas que le prestan servicios. El reglamento prohíbe además pactar cláusulas de confidencialidad que impidan a un proveedor informar sobre amenazas o vulnerabilidades. El punto pega de lleno en las filiales de matrices estadounidenses, cuyos contratos marco, negociados en la casa central, rara vez contemplan plazos tan estrechos; el anexo local, dijo Harboe, es lo que separa a un acuerdo global bien redactado de una infracción en Chile.

Mientras esa coordinación se discute, el adversario opera a otra velocidad. Basic describió grupos que funcionan como empresas: cobran por sus ataques y reinvierten las ganancias en herramientas para el siguiente, incluida inteligencia artificial generativa que les escribe correos de suplantación impecables. Lo ilustró con un episodio propio. Los atacantes descubrieron que sus herramientas demoraban un segundo en identificar una amenaza y empezaron a lanzar sus intentos de conexión en menos de un segundo, para entrar antes de que la defensa reaccionara.

"El riesgo nunca es cero: uno puede mover todas las variables e igual te puede pasar", planteó. Para las compañías que ya resolvieron el cumplimiento del día a día, su propuesta es dar por hecho que el golpe llegará y trabajar para que el daño sea el menor posible. Es la lección que a Equifax le costó cara. La filtración masiva de datos que sufrió en 2017 la llevó a tener 500 personas trabajando en seguridad, y hoy sus esfuerzos apuntan a reducir el impacto del próximo incidente. Dejó además una recomendación concreta. Los planes de continuidad hay que probarlos, porque muchas instituciones descubren recién en medio de un ataque real que sus respaldos no funcionan.

Organizaron el seminario, de manera conjunta, la Mesa de Seguridad Pública, la Mesa de Regulaciones Digitales, el Comité de Gobierno Corporativo y Compliance y el Comité de Tecnología, Innovación y Data de AmCham Chile. En la bienvenida, Galli había situado el tema entre las condiciones que definen la inversión, junto a la permisología y la estabilidad regulatoria: "Sin seguridad no hay inversión que se sostenga. Ninguna empresa va a apostar por un país sin la certeza de que sus datos, sus operaciones y sus colaboradores están protegidos". El intervalo tiene fechas. Los operadores calificados disponen de 60 días desde la publicación de la nómina para acreditar a su delegado de ciberseguridad, y la ley de datos personales rige desde el 1 de diciembre. Mientras los manuales se terminan de escribir, la defensa que más ataques evitaría sigue siendo la más barata de la lista: contraseñas fuertes y doble factor de autenticación.