La madurez en ciberseguridad se construye antes de que ocurra una crisis, a partir de decisiones que rara vez hacen noticia, pero sostienen la continuidad del negocio. Fernando Graterol, CISO de BICE, analiza en conversación exclusiva con ZonaCISO cómo convertir esa disciplina cotidiana en resiliencia empresarial.
Esa mirada se amplía con su trabajo al frente del Comité de Ciberseguridad de la Cámara de Comercio de Santiago (CCS), donde conviven organizaciones con capacidades y niveles de preparación muy distintos. Esa experiencia le permite observar cómo decisiones operativas aparentemente menores pueden acumularse hasta comprometer la continuidad del negocio.
En ese escenario, la diferencia no la marca solo el presupuesto. Tener claro qué información es crítica, cómo mantener la operación y quién decide ante un incidente permite convertir la seguridad en una capacidad de negocio y no en una reacción frente a la contingencia.
Desde la mirada transversal que entrega el Comité, ¿cómo evaluarías el nivel de madurez en ciberseguridad de las empresas chilenas y cuáles son las brechas más frecuentes?
En Chile conviven dos realidades: empresas con equipos especializados y otras donde la seguridad depende de la misma persona que arregla el computador, la impresora y el sistema de facturación. Pero hay brechas que se repiten sin importar el tamaño: personas que trabajan con aplicaciones personales, cuentas que acumulan permisos que nadie revisa y sistemas que no se actualizan porque detenerlos, aunque sea una hora, parece más caro que el riesgo.
La madurez no se mide por cuánta tecnología compras, sino por lo que haces todos los días. Una empresa madura sabe dónde está su información importante, quién puede verla y cómo seguir funcionando si algo falla. Las herramientas ayudan, pero sin responsables, tiempo y seguimiento terminan siendo una licencia más que nadie mira y que solo genera un gasto innecesario.
¿Cuáles son hoy las amenazas que generan mayor preocupación entre las organizaciones y qué riesgos todavía están siendo subestimados?
Lo que más preocupa hoy es el robo de cuentas y contraseñas, la suplantación para cometer fraudes y los ataques que paralizan la operación o dan acceso no autorizado. No es una percepción: en Chile, de los incidentes graves reportados a la ANCI en el primer semestre de 2026, cerca de la mitad comenzó con una cuenta comprometida. A eso se suma la inteligencia artificial, que permite a los atacantes crear engaños más creíbles y trabajar más rápido.
El riesgo que todavía se subestima es el uso de inteligencia artificial dentro de las propias empresas sin reglas claras. Un colaborador que solo quiere ser más eficiente puede terminar pegando datos de clientes o documentos internos en una herramienta que nadie autorizó. Prohibir no sirve si no das una alternativa: la empresa tiene que ofrecer herramientas seguras y explicar con claridad qué se puede compartir y qué no.
¿Qué diferencias observas entre las capacidades de las grandes empresas y las pymes, y cuál debería ser el punto de partida para una organización con recursos limitados?
La gran diferencia está en las personas, las herramientas y el tiempo. Una empresa grande tiene especialistas; una pyme suele depender de una sola persona o de un proveedor que hace de todo. El problema es que el tamaño de la empresa no te saca del radar de los atacantes, y para una empresa unas horas o días sin sistemas pueden significar no pagar sueldos, no facturar o perder clientes.
Así que el punto de partida estaría en identificar qué necesitas para vender, cobrar y operar, y sobre todo qué tienes expuesto a Internet, porque por allí es por donde van a intentar entrar primero. Después, lo básico bien hecho: verificación adicional a la contraseña, sistemas actualizados, eliminación de accesos que ya no se usan y respaldos de información. Y algo que suele olvidarse: tener escrito qué hacer ante un incidente, quién decide y a quién llamar. En mi experiencia, tener esos pasos definidos de antemano reduce enormemente los tiempos de respuesta, porque en plena crisis nadie debería estar improvisando.
Al definir inversiones en ciberseguridad, ¿cuáles deberían ser hoy las principales prioridades y cómo evitar que las decisiones respondan únicamente a una contingencia?
Hoy pondría tres prioridades por delante: proteger las cuentas y los accesos, porque son una de las principales puertas de entrada de los ataques; aplicar configuraciones seguras, lo que incluye mantener los sistemas actualizados; y estar preparados para detectar y responder rápido ante un incidente, con manuales de respuesta, respaldos y planes de continuidad que se hayan probado. Ninguna de las tres tiene que partir comprando algo: todas parten por definir qué riesgo quieres reducir y cómo vas a demostrar que funcionó. De hecho, me ha tocado detener proyectos con soluciones excelentes porque su alcance se alejaba del problema que necesitábamos resolver.
La inversión tiene que responder a un plan con prioridades, responsables y resultados medibles, como, por ejemplo, demostrar que el sistema de ventas se recupera en el tiempo que el negocio puede tolerar. Un incidente o una noticia pueden obligar a ajustar, pero si cada titular cambia el presupuesto, la empresa termina invirtiendo en el miedo del momento y no en sus riesgos reales. Al final, la pregunta de fondo es económica: si, según IBM, una brecha de datos costó en promedio 4,99 millones de dólares a nivel global en 2026, ¿cuánto cuesta el control que la habría evitado?
¿Cómo están impactando la Ley Marco de Ciberseguridad y la nueva Ley de Protección de Datos Personales en la gobernanza y las prioridades de las organizaciones?
En Chile, ambas leyes apuntan en la misma dirección: las organizaciones deben responder por cómo protegen sus servicios y la información de las personas. Sus alcances son distintos. La Ley Marco de Ciberseguridad impone obligaciones a las entidades comprendidas en ella, mientras que la nueva Ley de Protección de Datos Personales regula cómo se trata la información de las personas y alcanza a toda empresa que la maneje.
En la práctica, esto obliga a que las áreas comercial, legal, tecnología y seguridad se sienten en la misma mesa a responder cuatro preguntas: qué información recopilamos, para qué la usamos, quién accede a ella y qué pasa si se pierde o se expone, con el foco puesto en cómo afecta al negocio. Mi recomendación es que esto no sea un proyecto de cumplimiento que se cierra, sino parte de las decisiones habituales y del seguimiento de la alta dirección.
Desde tu experiencia como CISO y Presidente del Comité, ¿cómo ha evolucionado el rol del líder de seguridad y qué relación debería mantener con la alta dirección y el directorio?
El rol pasó de proteger sistemas a participar en decisiones de negocio. Hoy el líder de seguridad tiene que entender cómo la empresa gana dinero, atiende a sus clientes y lanza nuevos productos, porque la seguridad que llega al final, como un parche, siempre es más cara y menos efectiva que la que se piensa desde el inicio.
Con la alta dirección, el trabajo es acordar prioridades y llevarlas a la práctica. Con el directorio, es traducir: qué puede pasar, cuánto afectaría al negocio, qué opciones hay, cuánto cuestan y qué riesgo queda después de actuar. Nuestro trabajo no es asustar, sino dar criterio para que quienes conducen la empresa decidan con información qué riesgos asumen y cuáles reducen.
El Comité busca promover el intercambio de experiencias y buenas prácticas. ¿Qué barreras persisten para compartir información sobre amenazas e incidentes entre empresas y cómo podrían superarse?
La barrera principal es el miedo a dañar la reputación, a revelar algo confidencial o a perder el control de lo que se cuenta cuando no se trata de un logro o de un éxito. Y a eso se suma una pregunta legítima: ¿qué gano yo compartiendo? La confianza no se decreta, sino que se construye con reglas claras sobre qué se comparte, con quién y para qué. Incluso existen protocolos que funcionan como un semáforo para indicar qué tan sensible es cada información y hasta dónde puede circular.
En las instancias de colaboración en las que he participado, lo que más ha movido la confianza es que compartir tenga retorno: una empresa reporta lo que vio, se protege su identidad y la información vuelve a todos como señales e indicadores para detectar esa misma amenaza. Cuando las empresas ven que esa experiencia se transforma en protección para otros, y para ellas mismas, dejan de ver el intercambio como un riesgo y comienzan a verlo como un aporte.
¿Cuáles serán los principales focos del Comité de Ciberseguridad de la CCS y qué acciones colectivas podrían fortalecer la resiliencia del ecosistema empresarial chileno?
Mi prioridad como Presidente es que cada miembro siga encontrando valor en participar. El Comité reúne empresas muy distintas, y el desafío es convertir esa diversidad en aprendizajes aplicables, pensando especialmente en quienes tienen menos recursos. Por eso llevaré propuestas concretas, como ejercicios para ensayar cómo responder ante un incidente y espacios de intercambio con reglas claras de confidencialidad. Las prioridades finales las definiremos juntos.
La ciberseguridad ya no es tema de un área técnica; es una condición para que el negocio funcione, y ninguna empresa puede enfrentarla sola. El verdadero valor de colaborar se verá el día en que una empresa evite un incidente gracias a lo que aprendió otra.
