Qué es la madurez de ciberseguridad y para qué sirve medirla

La madurez de ciberseguridad describe qué tan consistente y sistemática es la forma en que una organización gestiona su seguridad. No mide cuántas herramientas tiene, mide si lo que hace se repite igual todos los meses, si está documentado, si alguien lo verifica y si se corrige cuando falla.

Es una distinción que incomoda al principio, porque una empresa puede tener buen equipamiento y madurez baja. Si el respaldo se revisa cuando la persona que sabe se acuerda, ese control existe pero no es confiable: depende de una memoria, no de un proceso.

Los niveles, en lenguaje llano

Inicial

Se reacciona a los problemas cuando aparecen. No hay procesos definidos y el resultado depende de quién esté disponible ese día. La mayoría de las empresas que nunca hicieron el ejercicio parte acá, y no es motivo de vergüenza: es el punto de partida normal.

Repetible

Existen prácticas que se aplican con regularidad, pero viven en la cabeza de las personas. Si esa persona se va o se enferma, la práctica se interrumpe.

Definido

Los procesos están escritos, tienen dueño y se ejecutan igual independientemente de quién esté. Acá empieza a ser posible demostrarle algo a un tercero.

Gestionado

Además de ejecutarse, se mide. Hay indicadores, se revisan con la gerencia y las desviaciones se detectan sin esperar a que ocurra un incidente.

Optimizado

El sistema se ajusta solo a partir de lo que aprende: incidentes, auditorías, cambios en el negocio. Es un objetivo razonable para áreas críticas, no para todo.

Para qué sirve medirla

El primer uso es fijar un punto de partida honesto. Sin una medición, la conversación sobre seguridad se mueve entre la sensación de que estamos bien y el susto puntual de una noticia, y ninguna de las dos permite decidir.

El segundo es priorizar. Saber que el gobierno está en nivel inicial mientras los controles técnicos están en definido cambia por completo dónde conviene invertir el próximo peso — y suele contradecir la intuición, que empuja a comprar más tecnología.

El tercero es medir avance. Un diagnóstico de madurez repetido a los doce meses muestra si la inversión movió algo, en una disciplina donde el resultado es difícil de percibir: cuando todo funciona, no pasa nada, y no pasar nada no se siente como un logro.

Un cuarto uso, cada vez más frecuente: responder a un tercero. Cuando un cliente pregunta cómo gestionas la seguridad, un nivel de madurez con evidencia es una respuesta; una lista de herramientas contratadas, no.

Cómo se mide en la práctica

La evaluación combina entrevistas con revisión de evidencia, y esa segunda parte es la que la hace útil. Preguntar si existe una política de accesos produce un sí; pedir la política y el registro de la última revisión produce el nivel real.

Se recorre por dominios en vez de dar una nota global: gobierno, gestión de riesgos, control de accesos, gestión de vulnerabilidades, respaldo y continuidad, respuesta a incidentes, gestión de terceros, cumplimiento normativo. Cada uno recibe su propio nivel, porque en la práctica casi nunca están parejos.

El resultado que sirve no es el número sino la brecha: dónde está hoy cada dominio, dónde debería estar dado el tamaño y la exposición de esta empresa en particular, y qué pasos concretos cierran esa distancia. Aspirar al nivel máximo en todo es caro e innecesario.

Cómo se conecta con la norma chilena

La Ley 21.719 exige medidas proporcionales al riesgo, y proporcionalidad es un juicio que hay que poder defender. Un diagnóstico de madurez documentado es precisamente el respaldo de por qué se implementó lo que se implementó y por qué se postergó el resto.

Para la Ley 21.663, la madurez ordena la preparación: los plazos de reporte y la obligación de demostrar controles operativos son alcanzables desde nivel definido en adelante, y bastante improbables desde nivel inicial, donde nada está escrito ni tiene dueño.

Preguntas frecuentes

¿Es lo mismo que una auditoría?

No. Una auditoría verifica cumplimiento contra un estándar específico y su resultado es conforme o no conforme. La madurez describe qué tan sistemática es la gestión y su resultado es un punto en una escala, con una ruta de mejora. Se pueden cumplir controles y tener madurez baja si se cumplen de forma inconsistente.

¿Qué modelo de madurez se usa en Chile?

No hay uno obligatorio. Lo habitual es adaptar escalas conocidas a los dominios que le importan a la empresa y anclarlas a las exigencias locales — la Ley 21.663 y la Ley 21.719 — en vez de aplicar un framework internacional completo, que para una mediana empresa suele evaluar cosas que no aplican.

¿Sirve si sé que vamos a salir mal?

Sirve especialmente. El diagnóstico no es una calificación, es un punto de partida: casi todas las empresas que nunca lo hicieron salen en nivel inicial en varios dominios, y eso es información accionable. Lo que no sirve es postergarlo hasta que un cliente lo pida con plazo.