Qué es el gobierno de ciberseguridad y por qué sin él nada se sostiene

Gobierno y gestión de ciberseguridad: en qué se diferencian

Las dos palabras se usan como sinónimos y no lo son. Son tres niveles distintos, y cada uno necesita a alguien distinto a cargo:

Gobierno

Decide qué se protege, quién responde y cuánto riesgo se acepta. Le corresponde a la gerencia o al directorio, con la asesoría de quien dirija la seguridad. Responde a la pregunta «¿estamos haciendo lo correcto?».

Gestión

Convierte esas decisiones en un plan: prioriza, asigna recursos, fija plazos y mide avance. Es el trabajo de quien dirige la seguridad, sea un CISO interno o un vCISO. Responde a «¿lo estamos haciendo bien?».

Operación

Ejecuta los controles: administra el firewall, aplica parches, monitorea alertas. Lo hace el área de TI o un proveedor de ciberseguridad gestionada (MSSP). Responde a «¿está funcionando hoy?».

Las cuatro piezas

Roles y responsabilidades

Quién responde por la seguridad, quién ejecuta, quién aprueba una excepción y quién es dueño de cada riesgo. Sin nombres, la responsabilidad recae por defecto en TI, que rara vez tiene mandato para exigirle a otras áreas.

Políticas

Las reglas escritas que traducen las decisiones en algo verificable: accesos, uso de dispositivos, proveedores, datos personales. Una política sirve si alguien la puede auditar; si no, es una declaración de intenciones.

Comité y cadencia

La instancia donde se revisa el estado del riesgo con una frecuencia fija. No requiere ser formal ni numeroso, pero sí tener fecha, agenda y alguien del negocio sentado en la mesa.

Indicadores y reporte

Qué se mide y cómo se le muestra a la gerencia. Si el reporte solo habla de vulnerabilidades y no de exposición del negocio, la conversación no sale nunca del área técnica.

Qué políticas de ciberseguridad necesita una empresa mediana

Las políticas de ciberseguridad son la parte escrita del gobierno: dejan por escrito lo que se decidió para que se pueda cumplir y verificar. En una empresa mediana, estas seis cubren la mayoría de los riesgos que aparecen en un primer diagnóstico:

Control de accesos

Quién recibe acceso a qué, quién lo aprueba, cuándo se revisa y cómo se retira cuando alguien deja la empresa. Incluye la autenticación de dos pasos en correo y accesos remotos.

Respaldos

Qué se respalda, con qué frecuencia, dónde se guarda una copia fuera del alcance de un ataque y cada cuánto se prueba restaurar. Un respaldo que nunca se restauró es una suposición.

Uso de equipos y dispositivos

Reglas para computadores, celulares y cuentas, incluidos los equipos personales que se usan para trabajar.

Proveedores

Qué se le exige a un proveedor que accede a sistemas o datos de la empresa, antes de contratarlo y mientras dura el contrato. Es el centro del riesgo de terceros.

Respuesta a incidentes

Quién declara un incidente, a quién se avisa y en qué plazo. Es la que la Ley 21.663 pone a prueba con sus plazos de reporte; el detalle está en la guía de respuesta a incidentes.

Datos personales

Qué datos se tratan, con qué base legal, quién responde por ellos y cómo se atienden los derechos de los titulares, como exige la Ley 21.719.

Cada política, sea cual sea su tema, necesita lo mismo para servir: un dueño con nombre, un alcance claro, un procedimiento para pedir excepciones, una fecha de revisión y la evidencia de que se cumple. Si le falta cualquiera de esas cinco cosas, en una auditoría se lee como un documento que nadie aplica.

Por dónde se empieza

El primer movimiento es designar un responsable con nombre y definir ante quién reporta. Puede ser interno, puede ser externo, puede ser de dedicación parcial — lo que no puede es quedar implícito.

El segundo es fijar la cadencia antes que el contenido. Una revisión mensual de cuarenta minutos con agenda fija produce más que un plan anual ambicioso que nadie retoma. La disciplina del calendario es lo que sostiene el resto.

El tercero es escribir solo las políticas que traten riesgos ya identificados. Un manual de treinta políticas descargado de internet no gobierna nada; tres políticas que responden a las tres brechas priorizadas, sí.

Marcos de referencia para el gobierno de ciberseguridad

No hace falta inventar la estructura: tres marcos internacionales la describen, y conviene conocerlos porque son los que citan auditores, clientes grandes y cuestionarios de seguridad.

NIST CSF 2.0, función Gobernar

Agrupa el gobierno en seis categorías: contexto de la organización, estrategia de gestión de riesgos, roles y responsabilidades, políticas, supervisión y riesgo de la cadena de suministro. Es el punto de partida más práctico para una empresa mediana; la guía de NIST CSF 2.0 lo explica completo.

ISO/IEC 27014

La norma ISO dedicada específicamente al gobierno de la seguridad de la información. Describe lo que hace la dirección en cuatro verbos: evaluar, dirigir, monitorear y comunicar. No se certifica: sirve como guía para la gerencia.

ISO/IEC 27001, cláusula de liderazgo

Exige que la alta dirección demuestre compromiso, apruebe la política de seguridad y asigne roles con autoridad. En una certificación ISO 27001, el gobierno no es opcional: se audita igual que los controles técnicos.

Gobierno de ciberseguridad en Chile: qué exigen la Ley 21.663 y la 21.719

La Ley 21.719 empuja de forma directa hacia el gobierno: exige medidas técnicas y organizativas, y esa segunda palabra es precisamente gobierno. También impulsa a designar formalmente a quien responde por los datos personales, un rol que muchas medianas empresas deben nombrar y que necesita respaldo técnico para no ser solo un cargo en un papel.

La Ley 21.663 aporta la otra mitad: los plazos de reporte de incidentes solo se cumplen si está definido de antemano quién declara el incidente, quién notifica y con qué autoridad. Eso es una decisión de gobierno tomada antes, no una reacción improvisada durante.

Para los operadores de importancia vital, la misma ley lo deja por escrito en su artículo 8°: deben designar un delegado de ciberseguridad que informe a los directores, gerentes o ejecutivos principales, y mantener un sistema de gestión de seguridad de la información con registro de sus acciones. Para ellos, el gobierno dejó de ser una buena práctica: es una obligación legal fiscalizable.

Preguntas frecuentes