1 de septiembre de 2026

Cumplir en tres frentes regulatorios sin frenar al cliente: la reingeniería de gobierno corporativo de una compañía de inversión chilena

Dos leyes nuevas bajo la misma lupa de la CMF y la UAF

Trabajamos con una empresa de inversiones en Chile, regulada por la Comisión para el Mercado Financiero (CMF) y la Unidad de Análisis Financiero (UAF). Debía adecuarse a dos normativas de entrada en vigor reciente: la Ley Marco de Ciberseguridad (Ley 21.663), que la propia CMF coordina desde 2026 con la Agencia Nacional de Ciberseguridad en su Plan de Regulación 2026-2027 [1], y la Ley de Protección de Datos Personales (Ley 21.719), publicada en diciembre de 2024 y de aplicación plena desde diciembre de 2026 [2].

Ambas leyes exigen gobierno, gestión de riesgo y reporte de incidentes. Los controles técnicos por sí solos no cumplen ese estándar. Para una entidad ya fiscalizada por dos reguladores, eso significó rediseñar cómo se toman las decisiones de riesgo.

Cuando el riesgo crecía más rápido que la capacidad de responder

El problema no se limitaba al cumplimiento legal. El riesgo real crecía más rápido que la capacidad de la empresa para gestionarlo: en 2025, el sector financiero registró en promedio 1.510 incidentes de ciberseguridad por empresa a la semana, un alza de 30% frente a 2023 [3]. Ese mismo año, los servicios financieros y de seguros concentraron el 47% de los ataques dirigidos a empresas en América Latina [4].

La empresa había invertido años en hacer más eficiente su operación: procesos rápidos, con fricción mínima para el cliente. El problema es que varios de esos procesos quedaron en contrapunto directo con la nueva ley, proteccionista por diseño y no escrita pensando en la operación real de una gestora de inversiones.

Ese contrapunto no era abstracto. La Ley 21.719 contempla multas de hasta 20.000 UTM para las infracciones más graves, que se triplican en caso de reincidencia [2], exposición real para cualquier proceso que tratara datos personales o financieros sin el resguardo que la ley exige.

A eso se sumaba un gobierno interno disgregado: TI, riesgo y negocio no compartían los mismos intereses de ciberseguridad, cada área con su propia urgencia y su propio criterio de prioridad. Ese patrón no era exclusivo de esta empresa: en 2025, solo 55% de las organizaciones de la región se sintió preparada para enfrentar un incidente de ciberseguridad [5].

El resultado era una tensión sin resolver entre dos objetivos legítimos: cumplir la regulación y no deteriorar la experiencia que el cliente ya tenía. Endurecer cada proceso para cerrar la brecha regulatoria habría resuelto el riesgo legal creando uno nuevo: un cliente peor atendido.

Un gobierno de riesgo diseñado para responder sin frenar la operación

La solución no fue elegir entre regulación y cliente. Fue separar, dentro de cada proceso, lo que está afecto a la norma de lo que no.

Diseñamos un proceso que responde a lo que exige la ley, sin heredar los mismos puntos de fricción que tenía la operación anterior. El primer paso fue desacoplar de los procesos existentes los factores que la normativa regula y que estaban expuestos a riesgo, para tratarlos con un estándar propio, sin tocar el resto de la operación que ya funcionaba bien.

Ese desacople solo se sostiene con monitoreo. El plan de auditoría revisa el estado de esas bases en cada sesión trimestral del comité de riesgo, no como un trámite anual antes de la certificación.

El eje del proyecto fue un modelo de gobierno tecnológico que permite responder en tiempo y forma ante un incidente o una solicitud regulatoria, sin que cada respuesta obligue a renegociar la ciberseguridad de la empresa. Ese modelo se apoya en un comité de riesgo que sesiona trimestralmente, con un responsable de seguridad de la información (CISO) a cargo de la gestión día a día entre sesiones.

Ese gobierno definió roles y responsabilidades claros para cada situación (una brecha, una auditoría interna, una solicitud de la CMF o de la UAF), con estándares más altos que los que existían antes del proyecto. El CISO y los risk owners de cada proceso de negocio quedaron asignados a personas concretas, no a un cargo genérico sin dueño. Dado el tamaño de la empresa, varios de esos roles se externalizaron, pero con participación activa en los comités y en las decisiones, no como un proveedor que solo entrega un informe.

La infraestructura que sostiene ese gobierno en el día a día

La infraestructura tecnológica se corrigió a partir de los propios due diligences que hicimos durante el proyecto. Cada hallazgo se tradujo en un cambio de infraestructura concreto, no en una recomendación que quedara pendiente para una próxima revisión.

Uno de esos cambios fue la plataforma tecnológica misma. La rediseñamos con una arquitectura moderna que se actualiza frente a vulnerabilidades nuevas, no una que envejece el día que termina el proyecto: cada componente se revisa contra los catálogos públicos de vulnerabilidades y debilidades conocidas (CVE y CWE), de modo que una falla descubierta en cualquier parte del mundo se evalúa contra la plataforma el mismo día.

El desacople de los factores regulados se implementó técnicamente con segmentación de red: los sistemas que tratan datos personales o financieros quedaron aislados en su propio segmento, separados del resto de la operación. Los datos sensibles, además, se cifran y tokenizan tanto en reposo como en tránsito.

El segundo cambio fue de infraestructura. Migramos a un proveedor de nube certificado, Google Cloud, usando su Security Command Center para gestionar la postura de seguridad, Cloud KMS para el cifrado y la gestión de llaves, e IAM junto con VPC Service Controls para el control de acceso y el perímetro de red. A esa base se sumaron herramientas propias, agnósticas a la nube, para lo que Google Cloud no cubre directamente.

El tercer cambio fue cómo se expone la información hacia afuera. Diseñamos el acceso acotado por defecto, con control de acceso basado en roles (RBAC) y autenticación multifactor (MFA): cada usuario ve solo lo estrictamente necesario para su función, y cada acceso queda registrado. Los colaboradores acceden a la infraestructura mediante una VPN segmentada, bajo un modelo Zero Trust que verifica cada solicitud en lugar de abrir la red completa.

Ese diseño resolvía dos necesidades reales al mismo tiempo: el acceso online que el cliente necesita para operar, y el acceso remoto que los colaboradores necesitan bajo las modalidades laborales flexibles de hoy. La respuesta no fue restringir a ambos por igual. Fue acotar la exposición de cada canal según el riesgo que representa, sin bloquear ninguno de los dos.

De la exposición regulatoria a la certificación ISO 27001

La empresa obtuvo la certificación ISO 27001, el estándar internacional de gestión de seguridad de la información. Como referencia de magnitud, una empresa mediana toma entre 6 y 15 meses en certificarse, siendo 9 a 12 meses el tramo más frecuente [6].

Junto con la certificación quedó desplegado un gobierno de datos y seguridad diseñado para esta empresa, no genérico: un comité de riesgo constituido, con los puntos de riesgo de la operación ya identificados y asignados.

El modelo de prevención que diseñamos opera de forma automática y periódica, sin depender de que alguien recuerde activarlo. La superficie de riesgo pasó de un estado sin medición a un estado controlado y monitoreado de forma permanente.

El resultado no fue evitar una multa puntual. Fue un gobierno que responde a la CMF, a la UAF y al cliente con el mismo estándar, sin que atender a uno signifique descuidar al otro.

Referencias

[1] CMF Chile, "CMF Publica su Plan de Regulación 2026-2027", cmfchile.cl, 2026.
[2] Biblioteca del Congreso Nacional de Chile (BCN), Ley 21.719, leychile.cl, versión vigente 2026.
[3] Check Point Software Technologies, "Security Report 2025", 2025.
[4] Intel 471, "Panorama de Amenazas Cibernéticas en América Latina 2026", vía kiteworks.com, 2025.
[5] ESET, "El estado de la ciberseguridad en empresas de Latam", digitalsecurityguide.eset.com, 2025.
[6] ISMS.online / Hard2bit, guías de implementación y certificación ISO 27001, 2026.

La Concepción 141, Oficina 907
Providencia — 7500010
Santiago, Chile