La madurez de ciberseguridad describe qué tan consistente y sistemática es la forma en que una organización gestiona su seguridad. No mide cuántas herramientas tiene, mide si lo que hace se repite igual todos los meses, si está documentado, si alguien lo verifica y si se corrige cuando falla.
Es una distinción que incomoda al principio, porque una empresa puede tener buen equipamiento y madurez baja. Si el respaldo se revisa cuando la persona que sabe se acuerda, ese control existe pero no es confiable: depende de una memoria, no de un proceso.
Los niveles, en lenguaje llano
- Inicial
- Se reacciona a los problemas cuando aparecen. No hay procesos definidos y el resultado depende de quién esté disponible ese día. La mayoría de las empresas que nunca hicieron el ejercicio parte acá, y no es motivo de vergüenza: es el punto de partida normal.
- Repetible
- Existen prácticas que se aplican con regularidad, pero viven en la cabeza de las personas. Si esa persona se va o se enferma, la práctica se interrumpe.
- Definido
- Los procesos están escritos, tienen dueño y se ejecutan igual independientemente de quién esté. Acá empieza a ser posible demostrarle algo a un tercero.
- Gestionado
- Además de ejecutarse, se mide. Hay indicadores, se revisan con la gerencia y las desviaciones se detectan sin esperar a que ocurra un incidente.
- Optimizado
- El sistema se ajusta solo a partir de lo que aprende: incidentes, auditorías, cambios en el negocio. Es un objetivo razonable para áreas críticas, no para todo.
Para qué sirve medirla
El primer uso es fijar un punto de partida honesto. Sin una medición, la conversación sobre seguridad se mueve entre la sensación de que estamos bien y el susto puntual de una noticia, y ninguna de las dos permite decidir.
El segundo es priorizar. Saber que el gobierno está en nivel inicial mientras los controles técnicos están en definido cambia por completo dónde conviene invertir el próximo peso — y suele contradecir la intuición, que empuja a comprar más tecnología. De qué está hecho ese gasto lo desarma la guía de cuánto cuesta la ciberseguridad en una empresa.
El tercero es medir avance. Un diagnóstico de madurez repetido a los doce meses muestra si la inversión movió algo, en una disciplina donde el resultado es difícil de percibir: cuando todo funciona, no pasa nada, y no pasar nada no se siente como un logro.
Un cuarto uso, cada vez más frecuente: responder a un tercero. Cuando un cliente pregunta cómo gestionas la seguridad, un nivel de madurez con evidencia es una respuesta; una lista de herramientas contratadas, no.
Cómo se mide en la práctica
La evaluación combina entrevistas con revisión de evidencia, y esa segunda parte es la que la hace útil. Preguntar si existe una política de accesos produce un sí; pedir la política y el registro de la última revisión produce el nivel real.
Se recorre por dominios en vez de dar una nota global: gobierno, gestión de riesgos, control de accesos, gestión de vulnerabilidades, respaldo y continuidad, respuesta a incidentes, gestión de terceros, cumplimiento normativo. Cada uno recibe su propio nivel, porque en la práctica casi nunca están parejos.
El resultado que sirve no es el número sino la brecha: dónde está hoy cada dominio, dónde debería estar dado el tamaño y la exposición de esta empresa en particular, y qué pasos concretos cierran esa distancia. Aspirar al nivel máximo en todo es caro e innecesario.
Cómo se conecta con la norma chilena
La Ley 21.719 exige medidas proporcionales al riesgo, y proporcionalidad es un juicio que hay que poder defender. Un diagnóstico de madurez documentado es precisamente el respaldo de por qué se implementó lo que se implementó y por qué se postergó el resto.
Para la Ley 21.663, la madurez ordena la preparación: los plazos de reporte y la obligación de demostrar controles operativos son alcanzables desde nivel definido en adelante, y bastante improbables desde nivel inicial, donde nada está escrito ni tiene dueño.
Dónde suele aparecer primero
Dos empresas con el mismo equipamiento
Dos empresas del mismo tamaño tienen EDR, firewall, MFA y respaldos. En la lista de compras se ven idénticas.
En la primera, el respaldo se revisa cuando el encargado de TI se acuerda, nadie ha intentado restaurar en dos años, y la última vez que se sacó a alguien del sistema al desvincularlo fue porque el jefe lo pidió por WhatsApp. Madurez inicial.
En la segunda, la restauración se prueba cada trimestre y queda registrada, las bajas de personal disparan un procedimiento de revocación de accesos, y la gerencia revisa mensualmente un reporte con las desviaciones. Madurez gestionada.
Ante una auditoría de cliente, la primera no tiene qué mostrar aunque tenga las mismas herramientas. La diferencia nunca estuvo en la tecnología.
Lo que la gerencia tiene que decidir
Medir la madurez es fácil; decidir qué hacer con el resultado es lo que corresponde a la gerencia.
- 01
¿Qué nivel es suficiente para esta empresa?
Aspirar al máximo en todos los dominios es caro e innecesario. El nivel objetivo lo define la exposición real: qué exigen los clientes, qué normativa aplica y cuánto duele una interrupción.
- 02
¿En qué dominio se invierte primero?
El diagnóstico casi siempre muestra niveles desparejos. Subir el dominio más débil suele rendir más que perfeccionar el que ya está bien, aunque el segundo sea más visible.
- 03
¿Cuándo se vuelve a medir?
Sin una segunda medición no hay forma de saber si la inversión sirvió. Doce meses es un intervalo razonable, y conviene comprometerlo al inicio para que no se diluya.
- 04
¿Se comparte el resultado hacia afuera?
Un nivel de madurez con evidencia es un argumento comercial frente a clientes que evalúan proveedores. Pero también documenta las brechas, así que conviene decidir de antemano qué se comparte y con quién.
Cómo lo abordamos en Brumaz
Cómo trabaja Brumaz este concepto
La evaluación de madurez es lo que produce el Diagnóstico Brumaz y, con más profundidad, la Evaluación Integral Brumaz: dónde está la empresa por dominio, qué brechas existen frente a lo que le exigen y en qué orden conviene cerrarlas. El seguimiento mensual es lo que después permite medir si el nivel efectivamente subió.
Ver cómo se diagnosticaRecibe esta guía en PDF
El mismo contenido, con formato para leerla en el celular, imprimirla o compartirla con tu equipo. Te llega por correo en un minuto.
Preguntas frecuentes
¿Es lo mismo que una auditoría?
¿Qué modelo de madurez se usa en Chile?
¿Sirve si sé que vamos a salir mal?
Fuentes
Este contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Once años en redes, infraestructura y seguridad. Esa base técnica es la que sostiene la dirección de riesgo: no recomienda un control que no sepa verificar, ni pide evidencia que no sepa leer.
- Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
- Diplomado en Data Science (Universidad Adolfo Ibáñez)
- Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
- Implementador de Sistemas de Gestión Integrados usando Inteligencia Artificial (Diplomados en Ciberseguridad)
Seguir leyendo