La Ley Marco de Ciberseguridad, promulgada en marzo de 2024, marca un cambio en la forma en que Chile enfrenta los ataques digitales. Crea una Agencia Nacional de Ciberseguridad y exige a los servicios públicos y privados de sectores críticos aplicar medidas específicas para prevenir incidentes, reportarlos y responder a ellos. La pregunta que surge en regiones como Ñuble es si las instituciones locales están preparadas para cumplirla.
Pablo Jara Vargas, Gerente General de GrupoNEXT, empresa chillaneja dedicada al desarrollo de software, redes de fibra óptica, ciberseguridad y servicios de hosting, aborda el tema desde su experiencia en el sector privado y su conocimiento de la realidad local.
Según Jara, el país no parte de cero, pero tampoco está uniformemente preparado. “Hoy existe un avance dispar”, explica. Sectores como la banca o las telecomunicaciones llevan años invirtiendo en seguridad y cuentan con equipos especializados. En cambio, varios servicios públicos y organismos con menor presión regulatoria previa están todavía lejos del estándar que plantea la ley.
El diagnóstico es más preocupante en salud, educación y municipios. Jara atribuye ese rezago a limitaciones presupuestarias y a que, durante mucho tiempo, la ciberseguridad no se entendió como una prioridad estratégica. “En salud o en servicios municipales, el nivel de madurez suele ser menor”, advierte.
El experto también se refiere al caso del hackeo al Instituto de Salud Pública, que a su juicio dejó en evidencia vulnerabilidades críticas en el sector. Entre las lecciones que menciona está que la salud es un objetivo prioritario para los atacantes y que los sistemas deben protegerse y monitorearse de forma permanente. Agrega que los planes de continuidad operacional son tan importantes como la seguridad misma, porque si un servicio se cae, la primera afectada es la ciudadanía.
Uno de los puntos centrales de la ley es la obligación de notificar incidentes y amenazas al CSIRT. Para Jara, esa información compartida puede marcar la diferencia: si una institución reporta un ataque, otras pueden anticiparse y fortalecer sus defensas. “Puede ser la diferencia entre contener un incidente rápidamente o permitir que se propague por semanas sin ser detectado”, señala.
Sin embargo, reconoce que muchas instituciones prefieren no hacer públicas sus vulnerabilidades por temor al daño reputacional. Para él, esa opacidad juega en contra del ecosistema, porque otros pueden quedar expuestos al mismo ataque sin saberlo.
La situación es especialmente delicada para las pequeñas y medianas empresas. Jara reconoce que muchas no tienen equipos dedicados y operan con recursos limitados, aunque son justamente las más vulnerables. Por eso considera clave que la normativa venga acompañada de apoyo técnico, incentivos y guías claras, para que se convierta en una hoja de ruta progresiva y no en una carga inalcanzable.
Para que la ley sea efectiva, el experto propone tres ejes: supervisión activa, con fiscalización real y sanciones cuando no se cumpla; capacitación continua en todos los niveles, desde usuarios hasta especialistas; y colaboración público-privada, porque la ciberseguridad no puede depender solo del Estado ni solo de las empresas.
Desde el mundo privado, la conclusión es directa. “La pregunta no es si te van a atacar, sino cuándo y cómo vas a responder”, afirma. Según Jara, pocas organizaciones chilenas cuentan hoy con una preparación sólida en los cuatro pasos que implica una buena gestión: prevención, detección temprana, respuesta y recuperación. “Aún tenemos una deuda importante como país”, concluye.
