Pregunta a cualquier responsable de IT qué activos tiene inventariados en su red y te listará servidores, ordenadores, switches y quizás los teléfonos móviles corporativos. Rara vez mencionará las impresoras, los escáneres, las cámaras IP, los sistemas de control de acceso o los dispositivos de videoconferencia. Y sin embargo, todos
Cuando ocurre un incidente de seguridad —un acceso no autorizado, un ransomware, una filtración de datos— la respuesta instintiva suele ser apagar los sistemas y borrarlo todo. Es exactamente lo contrario de lo que hay que hacer. El análisis forense digital es la disciplina que permite entender qué ocurrió, cómo
México cuenta con uno de los marcos normativos de protección de datos más desarrollados de América Latina, pero muchas empresas —especialmente las pymes— desconocen qué obligaciones les aplican en materia de ciberseguridad. Conocer el panorama regulatorio no solo evita sanciones: es el punto de partida para construir una postura de
Una clínica dental, una consulta de psicología, un centro médico familiar: todos manejan datos que, en manos equivocadas, pueden causar daños gravísimos a sus pacientes. Los datos de salud son los más sensibles que existen —y también uno de los objetivos más cotizados en el mercado negro. Un historial médico
Recordar una contraseña diferente para cada herramienta es uno de los mayores problemas del día a día digital en las empresas. El resultado habitual: contraseñas repetidas, apuntadas en papeles o tan simples que un atacante puede adivinarlas en minutos. El Single Sign-On (SSO) promete resolver esto, pero como toda solución
Cada año, el fraude de correo corporativo —conocido en inglés como Business Email Compromise o BEC— provoca pérdidas de miles de millones de euros en todo el mundo. Y sin embargo, sigue siendo uno de los ataques menos comprendidos por las pymes. No requiere malware sofisticado, no explota vulnerabilidades técnicas
OSINT (Open Source Intelligence) es la recopilación de información a partir de fuentes públicas. Antes de cualquier ataque dirigido, los atacantes pasan horas o días investigando a su víctima usando solo información que está disponible en internet. ¿Qué pueden encontrar sobre tu empresa? * Tecnología usada: headers HTTP, certificados SSL, registros
Un ataque de fuerza bruta prueba contraseñas de forma sistemática hasta dar con la correcta. Con hardware moderno y listas de contraseñas filtradas, descifrar una contraseña débil lleva segundos. Tipos de ataques * Fuerza bruta pura: prueba todas las combinaciones posibles. Eficaz contra contraseñas cortas. * Diccionario: usa listas de contraseñas comunes
La Ley 21.663 define como infraestructura crítica de la información a todos aquellos sistemas y redes cuya afectación puede comprometer funciones esenciales para el Estado o la sociedad chilena. La norma identifica explícitamente los sectores prioritarios: energía, agua, telecomunicaciones, transporte, banca y mercados financieros, salud, y administración pública. Cada
Durante años se enseñó que el candado verde en el navegador significa que un sitio es seguro. Es un mito peligroso: el candado solo garantiza que la conexión está cifrada, no que el sitio sea legítimo. ¿Qué garantiza realmente un certificado SSL/TLS? * Cifrado en tránsito: los datos que viajan
La Ley 21.663 no es una norma de buenas intenciones: incluye un régimen sancionador con capacidad real de impacto económico. Las organizaciones que incumplan sus obligaciones pueden enfrentarse a multas de hasta 40.000 UTM, lo que equivale a varios millones de dólares según el valor de la Unidad
Uno de los aspectos más exigentes de la Ley 21.663 chilena es el régimen de notificación obligatoria de incidentes. Los operadores de importancia vital deben comunicar al CSIRT Nacional cualquier incidente que afecte significativamente a sus sistemas, y lo deben hacer dentro de plazos estrictos que no dejan margen
Respuesta a incidentes
La Ley 21.663 estableció el CSIRT Nacional de Chile como el centro de coordinación de la respuesta a incidentes de ciberseguridad que afecten a infraestructuras críticas o a múltiples sectores simultáneamente. El CSIRT actúa bajo la supervisión de la ANCI y es el punto de contacto para que los
cumplimiento normativo
Uno de los conceptos clave de la Ley 21.663 es el de operador de importancia vital (OIV). Se trata de aquellas organizaciones cuya interrupción podría causar un impacto grave en la seguridad, la economía, la salud pública o el suministro de servicios esenciales. Ser clasificado como OIV supone asumir
cumplimiento normativo
La Ley 21.663 creó la Agencia Nacional de Ciberseguridad (ANCI), el organismo público encargado de diseñar la política nacional, emitir normas técnicas obligatorias y supervisar el cumplimiento de la normativa de ciberseguridad en Chile. Su creación marca un antes y un después en la gobernanza digital del país. La
WordPress
WordPress alimenta el 43% de los sitios web del mundo. Eso lo convierte en el objetivo favorito de escáneres automatizados que buscan versiones desactualizadas, plugins vulnerables y configuraciones por defecto. ¿Por qué atacan WordPress? No es que WordPress sea inseguro por diseño. El problema es el ecosistema: miles de plugins
APIs
Las APIs son el sistema nervioso de las aplicaciones modernas. Y son también uno de los vectores de ataque más frecuentes: el 91% de las empresas sufrió un incidente de seguridad relacionado con APIs en 2024. OWASP API Top 10: los errores más comunes * Broken Object Level Authorization (BOLA): la
cumplimiento normativo
Chile dio un paso histórico al promulgar la Ley 21.663, la primera ley específica de ciberseguridad del país. La norma establece un marco regulatorio integral que obliga a los sectores críticos a implementar medidas de protección, notificar incidentes y someterse a la supervisión de una nueva autoridad pública. Con
Logs
Cuando ocurre un incidente de seguridad, los logs son la única evidencia. Sin ellos, no puedes saber qué pasó, cuándo, quién lo causó ni qué datos se vieron afectados. Y sin esa información, tampoco puedes evitar que vuelva a ocurrir. ¿Qué debes registrar? * Autenticaciones: éxitos, fallos, cuentas usadas, origen IP.
Criptografía
La criptografía es la base de casi toda la seguridad digital moderna. Sin ella, cada contraseña, cada transacción bancaria y cada mensaje sería legible por cualquiera que intercepte el tráfico. Conceptos clave sin matemáticas * Cifrado simétrico: la misma clave cifra y descifra. Rápido, ideal para cifrar grandes volúmenes de datos.
gestión de riesgo
La Ley 21.663 exige a los operadores de importancia vital adoptar un enfoque sistemático de gestión de riesgos de ciberseguridad. Esto va mucho más allá de instalar un antivirus o configurar un firewall: implica identificar activos, valorar amenazas, evaluar el impacto potencial y aplicar controles proporcionados al nivel de
RDP
El puerto 3389 (RDP) expuesto directamente a internet es uno de los blancos favoritos de los atacantes. Herramientas automatizadas escanean constantemente internet en busca de RDP accesible, y cuando lo encuentran, lanzan ataques de fuerza bruta hasta entrar. ¿Por qué es tan peligroso? * Un RDP accesible desde internet con credenciales
Vulnerabilidades
Un análisis de vulnerabilidades es una fotografía del estado de seguridad de tu infraestructura en un momento dado. Te dice qué agujeros existen antes de que los encuentre un atacante. Tipos de análisis * Escaneo de vulnerabilidades: herramienta automatizada que analiza sistemas y software buscando CVEs conocidos. Rápido, superficial, sin validación
Cloud
La nube no es inherentemente más segura que tu infraestructura on-premise. La responsabilidad se comparte: el proveedor protege la infraestructura; tú proteges lo que pones encima. El modelo de responsabilidad compartida AWS, Azure y GCP son seguros en su infraestructura. Pero la configuración de lo que despliegas encima es tu