¿Tu inversión en ciberseguridad está funcionando? La mayoría de las empresas chilenas no puede responderlo
El 56% de las organizaciones chilenas no tiene un calendario regular de evaluación de riesgos, y el 31% de los líderes empresariales dice que decidir dónde invertir en seguridad es uno de sus principales desafíos. Los dos datos describen el mismo problema: se compra protección sin poder medir qué riesgo reduce.
Hay una pregunta que pocas áreas de seguridad pueden contestar con números: ¿Estamos mejor protegidos que hace un año?
No porque falte inversión. En muchas organizaciones hay antivirus, firewalls, monitoreo, herramientas de protección de datos y, a veces, un SOC. Lo que falta es otra cosa: una forma sistemática de saber si todo eso está bajando la exposición o solo sumando licencias.
📊 Lo que dicen los números
Según una encuesta de trendTIC citada por Publimetro:
- El 56% de las organizaciones chilenas no cuenta con un calendario regular de evaluación de riesgos.
- El 31% de los líderes empresariales identifica la decisión de dónde invertir en seguridad digital como uno de sus principales desafíos.
El contexto no da margen. Según Check Point Research, en enero de 2026 Chile registró un promedio de 1.846 ciberataques semanales por organización, un 9% más que un año antes.
Más presión externa y menos claridad interna es una combinación peligrosa.
🛒 Cuando la seguridad se gestiona como una lista de compras
Si el riesgo no se evalúa con regularidad, las decisiones de inversión igual se toman. Solo que las impulsan otras cosas:
- Un incidente reciente, propio o de un competidor.
- Una auditoría o un requerimiento regulatorio con fecha.
- La renovación de un contrato o la propuesta de un proveedor.
- El presupuesto que sobró del año anterior.
Ninguna de esas razones es mala en sí misma. El problema es que ninguna responde a la pregunta de fondo: ¿Cuál es el riesgo que más nos puede costar, y esta inversión lo reduce?
Además, tener una herramienta no es lo mismo que estar protegido. La eficacia depende de qué activos críticos cubre, cómo está configurada y qué tan rápido responde el equipo cuando algo pasa. Sin evaluación periódica, esas brechas no aparecen en ningún tablero. Aparecen durante el incidente.
Sin un calendario de evaluación de riesgos no hay gobierno de la seguridad. Hay compras.
📏 Sin línea base, no hay forma de saber si mejoraste
La pregunta de si "estamos mejor que hace un año" solo tiene respuesta si hace un año alguien midió dónde estábamos.
Una línea base útil no es un inventario de herramientas. Responde preguntas como estas:
- Cuáles son los procesos y activos críticos para el negocio.
- Qué escenarios de amenaza son más probables para nuestra industria y nuestro tamaño.
- Qué controles existen para cada escenario y qué tan bien funcionan.
- Cuánto tardaríamos en detectar, contener y recuperarnos de una interrupción.
Con esa foto inicial, cada evaluación posterior deja de ser un ejercicio aislado y pasa a ser una comparación. Y la conversación con el directorio cambia: ya no se habla de cuántas herramientas compramos, sino de cuánto riesgo dejamos atrás.
💰 Del "¿dónde invierto?" al "¿qué riesgo reduce cada peso?"
El 31% que no sabe dónde invertir no tiene un problema de presupuesto. Tiene un problema de traducción: el riesgo cibernético se sigue expresando en colores (alto, medio, bajo) mientras las decisiones de negocio se toman en dinero.
La cuantificación de riesgo cibernético, con metodologías como FAIR, cierra esa brecha. En lugar de un mapa de calor, permite estimar para cada escenario relevante:
- Con qué frecuencia es razonable esperar que ocurra.
- Qué rango de pérdidas podría generar, incluidos interrupción, respuesta, sanciones y reputación.
- Cuánto cambia esa exposición si se implementa un control determinado.
El resultado no es un número mágico, sino rangos expresados en dinero y basados en datos de la propia organización. Pero eso alcanza para comparar alternativas con el mismo idioma que el resto del negocio: ¿Qué reduce más pérdida esperada, invertir en respaldo y recuperación o en una nueva capa de detección?
✅ Qué decisiones habilita este diagnóstico
Para un comité de riesgos o una gerencia de seguridad, el dato del 56% es una invitación a revisar cuatro cosas:
- Fijar un calendario de evaluación de riesgos. Con una frecuencia definida y disparadores claros: cambios en el negocio, nuevos proveedores críticos, incidentes relevantes en la industria.
- Identificar los activos y procesos críticos. No todo merece la misma protección. Empezá por lo que, si se detiene, detiene el negocio.
- Medir una línea base. Sin una primera foto, ninguna inversión futura puede demostrar resultados.
- Cuantificar los escenarios principales. Llevar los tres o cuatro riesgos más relevantes a términos financieros cambia la calidad de la conversación con el directorio.
🔎 Medir antes de comprar
La próxima decisión de inversión en seguridad va a llegar igual: con un incidente, con una auditoría o con una propuesta comercial. La diferencia está en si esa decisión se apoya en una medición del riesgo o en la urgencia del momento.
El primer paso es tener una línea base. Nuestro autodiagnóstico de ciberseguridad evalúa, en pocos minutos, 10 dimensiones de madurez, entre ellas gobierno y gestión de riesgos, respuesta a incidentes y continuidad, y protección de datos. Es una primera foto para empezar a comparar.