Un roadmap de seguridad es el plan priorizado que sale de un diagnóstico. No describe problemas: describe decisiones. Qué se hace primero, quién responde, en qué plazo y qué inversión aproximada requiere cada paso.
La diferencia con un informe es práctica. Un informe se lee una vez y se archiva; un roadmap se revisa cada mes y va cambiando de estado. Si no se puede responder en qué porcentaje va, no es un roadmap.
Qué lo separa de una lista de hallazgos
- Orden por impacto, no por severidad
- Un escáner ordena por severidad técnica. Un roadmap ordena por impacto en el negocio y por dependencias: hay controles que no sirven hasta que exista otro antes, y ese orden no lo deduce una herramienta.
- Un dueño por línea
- Cada acción tiene un responsable con nombre, del lado del cliente. Una acción sin dueño reaparece idéntica en la revisión del mes siguiente, y es la forma más común en que un plan muere en silencio.
- Plazo y esfuerzo estimados
- Sin fecha no hay seguimiento posible, y sin una estimación de costo la gerencia no puede decidir qué entra en el presupuesto de este trimestre y qué espera al siguiente. Cómo se arma esa estimación está en cuánto cuesta la ciberseguridad en una empresa.
- Estado que cambia
- Abierto, en curso, cerrado con evidencia. Ese último matiz importa: cerrado porque alguien dijo que lo hizo no es lo mismo que cerrado porque se verificó.
Cómo se construye
Se parte por el inventario y la evaluación de riesgos, porque sin saber qué hay y qué importa no se puede priorizar. Después se cruzan las brechas contra dos filtros: qué exige la normativa o el contrato, y qué reduce más riesgo por peso invertido.
El resultado se ordena en tres ventanas: 0 a 30 días para lo urgente y lo barato, 30 a 60 para lo que requiere coordinación, y 60 a 90 para lo que necesita presupuesto o un proveedor. Esa partición evita que todo quede marcado como prioridad alta, que en la práctica significa que nada lo es.
Un detalle que cambia el resultado: conviene que las primeras acciones sean visibles y rápidas. Un roadmap que arranca con un proyecto de seis meses pierde el apoyo interno antes de mostrar nada.
Se desactualiza, y eso es normal
Un roadmap tiene fecha de caducidad corta. Aparece un proveedor nuevo, cambia un sistema, entra una obligación legal, ocurre un incidente, y la prioridad de la semana pasada deja de serlo.
Por eso el valor no está en el documento inicial sino en la cadencia de revisión. Un plan mediocre revisado cada mes rinde más que un plan excelente que nadie vuelve a abrir.
Cómo se conecta con la norma chilena
La Ley 21.719 exige medidas proporcionales al riesgo, y proporcionalidad es un juicio que hay que poder defender. Un roadmap documentado es la evidencia de por qué se implementó lo que se implementó y por qué otras cosas quedaron para después, con fecha y no como omisión.
Frente a un cliente que audita ocurre lo mismo: mostrar un plan vigente con avance medible suele resolver mejor una brecha declarada que intentar aparentar que no existe.
Dónde suele aparecer primero
El mismo hallazgo, dos tratamientos
Un diagnóstico detecta que no hay autenticación multifactor en los accesos administrativos.
En un informe, eso es una línea que dice implementar MFA, prioridad alta. Seis meses después sigue igual, porque nunca quedó claro quién lo hacía ni con qué plazo.
En un roadmap es: activar MFA en correo y VPN, responsable el encargado de TI, ventana 0-30 días, sin costo de licencia adicional; extenderlo a los accesos del ERP en 30-60, coordinando con el proveedor; y la verificación con evidencia queda agendada para la revisión del mes siguiente. La acción es la misma; la diferencia es que ahora ocurre.
Lo que la gerencia tiene que decidir
El roadmap se construye con criterio técnico, pero se aprueba con criterio de negocio. Estas cuatro decisiones no las puede tomar el área técnica sola.
- 01
¿Qué entra en el presupuesto de este trimestre?
Un roadmap sin recursos asignados es una lista de deseos. Definir el monto disponible por ventana es lo que lo convierte en un plan ejecutable.
- 02
¿Quién libera el tiempo de las personas involucradas?
Casi todas las acciones consumen horas de TI o de operaciones. Si nadie autoriza ese tiempo, el plan compite con la operación diaria y pierde siempre.
- 03
¿Qué se posterga de forma explícita?
Postergar es legítimo; postergar sin decidirlo no. Lo que queda fuera del roadmap debería registrarse como riesgo aceptado, con el nombre de quién lo aceptó.
- 04
¿Con qué frecuencia se revisa y ante quién?
Sin cadencia fija el roadmap envejece en semanas. Y si la revisión ocurre solo dentro de TI, la seguridad nunca entra a la conversación de negocio.
Cómo lo abordamos en Brumaz
Cómo trabaja Brumaz este concepto
El roadmap es el entregable central del Diagnóstico Brumaz y de la Evaluación Integral Brumaz: dónde está la empresa, qué brechas tiene, en qué orden cerrarlas y con qué inversión aproximada. Después vive en el dashboard, con estado y responsable por línea, y se revisa en la instancia mensual del servicio recurrente.
Ver cómo se construyeRecibe esta guía en PDF
El mismo contenido, con formato para leerla en el celular, imprimirla o compartirla con tu equipo. Te llega por correo en un minuto.
Preguntas frecuentes
¿Cuánto tiempo cubre un roadmap?
¿Sirve si todavía no tenemos presupuesto asignado?
¿Qué pasa si no logramos cumplir los plazos?
Este contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Once años en redes, infraestructura y seguridad. Esa base técnica es la que sostiene la dirección de riesgo: no recomienda un control que no sepa verificar, ni pide evidencia que no sepa leer.
- Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
- Diplomado en Data Science (Universidad Adolfo Ibáñez)
- Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
- Implementador de Sistemas de Gestión Integrados usando Inteligencia Artificial (Diplomados en Ciberseguridad)
Seguir leyendo