Ciberinteligencia: clave para cumplir ley de ciberseguridad en Chile

Una cuenta regresiva silenciosa está en marcha en las áreas de seguridad de las grandes empresas chilenas. Con la entrada en vigor del Decreto 295, que regula el reporte de incidentes según la Ley Marco de Ciberseguridad (21.663), los operadores de importancia vital (OIV) y los prestadores de servicios esenciales (PSE) deben alertar a la Agencia Nacional de Ciberseguridad (ANCI) en un plazo máximo de tres horas tras conocer un incidente, con actualizaciones a las 24 o 72 horas, un plan de acción a los siete días y un informe final a los quince. El incumplimiento puede acarrear sanciones y la interrupción de servicios críticos para el país.

El desafío radica en que este marco regulatorio choca con una debilidad estructural del sector. Según el informe State of Threat Management de Filigran (2026), el 93% de las organizaciones tiene dificultades para mantener una vista precisa y actualizada de su superficie de ataque, y solo el 41% cuenta con una visión consolidada de su exposición al riesgo. En otras palabras, "nueve de cada diez empresas no saben con certeza por dónde pueden ser atacadas". Es complicado reportar un incidente en tres horas si la organización tarda días en detectarlo.

La paradoja se agrava al analizar el uso de la información. Aunque casi todas las empresas (99%) consumen inteligencia de amenazas, proveniente en promedio de catorce fuentes distintas, solo el 45% la integra y opera efectivamente. El resto acumula datos que no logra convertir en decisiones. Esto se traduce en que los analistas dedican aproximadamente el 42% de su tiempo —unas diecisiete horas semanales— a investigar alertas que resultan ser falsos positivos o de baja prioridad, mientras que el 97% admite no poder determinar si una exposición es realmente explotable.

Es en este punto donde la ciberinteligencia deja de ser un concepto técnico para convertirse en una necesidad imperante. No se trata tanto de adquirir más herramientas o fuentes de datos, sino más bien de operarlas: "correlacionar lo que ocurre dentro de la organización con el contexto externo de amenazas, para saber qué es relevante, priorizarlo y actuar dentro de los plazos exigidos por la ley hoy en día". Sin esta capa operativa —que incluye personas, procesos y monitoreo continuo—, la inteligencia de amenazas se convierte simplemente en información archivada, no en defensa.

El mercado ha comenzado a moverse en esta dirección. Un ejemplo reciente es la integración anunciada por la firma chilena NIVEL4 con Wazuh, plataforma abierta para la gestión de eventos (SIEM) y detección y respuesta extendida (XDR). Esta integración añade funciones como correlación de eventos, monitoreo de endpoints, detección de vulnerabilidades y reportería orientada al cumplimiento a sus servicios.

"Compartimos con Wazuh la visión de ofrecer operaciones de seguridad abiertas y escalables", afirmó Fernando Lagos, CEO de NIVEL4. Su objetivo es "detectar amenazas oportunamente, responder eficientemente y proporcionar una visión completa del estado de seguridad organizacional". La empresa ofrece servicios como detección y respuesta gestionada (MDR), SOC virtual y respuesta a incidentes a sectores como el financiero, retail e infraestructura crítica en Chile, Perú y Colombia.

Casos como este ejemplifican una tendencia fundamental: en un escenario donde los plazos son ajustados por regulaciones y las amenazas son abundantes, la ventaja competitiva —y el cumplimiento normativo— dependen menos del arsenal tecnológico disponible y más bien del nivel operativo alcanzado. La ciberinteligencia, antes considerada un diferenciador, comienza a convertirse en un requisito básico.