Durante años protegimos las empresas como si fueran un castillo: construimos murallas cada vez más altas, instalamos puertas robustas y controlamos quién podía entrar. Mientras todo el trabajo ocurría dentro de la oficina, esa estrategia tenía sentido.

Pero el mundo cambió.

Hoy los colaboradores trabajan desde sus hogares, aeropuertos, cafeterías o incluso desde otro país. Las aplicaciones ya no viven únicamente en el datacenter corporativo, sino también en nubes públicas y privadas. Los proveedores necesitan acceder a sistemas específicos y los dispositivos personales forman parte del día a día.

En este escenario, la gran pregunta es inevitable:

¿Tiene sentido seguir confiando en una única puerta de entrada?

La respuesta es precisamente el origen de ZTNA (Zero Trust Network Access).

DEL ACCESO A LA RED, AL ACCESO A LA APLICACIÓN

Imagina que tu empresa es un edificio lleno de oficinas, salas de reuniones y archivos confidenciales.

Durante mucho tiempo la seguridad funcionó igual que la recepción de ese edificio.

Mostrabas tu credencial una sola vez.

Entrabas.

Y desde ese momento podías recorrer prácticamente todos los pasillos.

Así funciona una VPN tradicional.

El problema aparece cuando alguien consigue robar una credencial o comprometer un equipo autorizado. Una vez dentro, el atacante puede desplazarse por la red buscando otros servidores, aplicaciones o información crítica.

En ciberseguridad esto se conoce como movimiento lateral, una de las principales técnicas utilizadas por ransomware y grupos de amenazas avanzadas.

ZTNA rompe completamente este paradigma.

NUNCA CONFÍES, VERIFICA SIEMPRE

La filosofía Zero Trust es sencilla de entender, pero poderosa en su implementación:

Nunca confíes de forma automática. Verifica cada solicitud de acceso.

En lugar de asumir que un usuario es confiable porque ya inició sesión, ZTNA vuelve a validar constantemente distintos factores:

• Identidad del usuario.
• Estado del dispositivo.
• Ubicación.
• Nivel de riesgo.
• Contexto de la conexión.
• Comportamiento observado.

Este proceso recibe el nombre de verificación continua de identidad y postura del dispositivo.

No importa que el usuario haya sido autenticado hace cinco minutos.

Cada nuevo acceso vuelve a evaluarse.

LA PUERTA CORRECTA, Y NADA MÁS

Una buena analogía consiste en imaginar un conserje que acompaña personalmente a cada visitante.

No le entrega las llaves del edificio completo.

Simplemente abre la puerta exacta que necesita.

Después vuelve a cerrarla.

Ese es el principio del mínimo privilegio (Least Privilege Access).

Cada usuario únicamente puede acceder a las aplicaciones necesarias para realizar su trabajo.

Nada más.

Y aquí aparece una diferencia muy importante respecto de una VPN tradicional.

Con ZTNA, las aplicaciones a las que un usuario no tiene autorización simplemente no existen para él.

No aparecen.

No pueden escanearse.

No responden.

Esta característica suele conocerse como infraestructura invisible o Dark Infrastructure, reduciendo considerablemente la superficie de ataque.

¿POR QUÉ ZTNA SE VOLVIÓ TAN IMPORTANTE?

Hace apenas unos años la mayoría de las empresas tenía una infraestructura relativamente sencilla.

Hoy la realidad es completamente distinta.

Las organizaciones conviven con:

• Trabajo híbrido.
• Teletrabajo.
• Servicios SaaS.
• Aplicaciones en múltiples nubes.
• Accesos de terceros.
• Equipos BYOD (Bring Your Own Device).
• Usuarios distribuidos geográficamente.

Las viejas murallas dejaron de proteger aquello que ya no vive dentro de ellas.

Por eso ZTNA se convirtió en uno de los pilares de arquitecturas modernas como SASE (Secure Access Service Edge), donde conectividad y seguridad trabajan de forma integrada para proteger usuarios, dispositivos y aplicaciones sin importar dónde se encuentren.

DOS PILARES TÉCNICOS QUE HACEN LA DIFERENCIA

Microsegmentación

En lugar de tener una red completamente abierta, ZTNA divide la infraestructura en pequeños compartimentos.

Si un incidente ocurre en un segmento, el resto permanece aislado.

El atacante pierde la posibilidad de desplazarse libremente entre servidores y aplicaciones.

Asunción de brecha

Otro principio fundamental del modelo Zero Trust consiste en aceptar una realidad incómoda:

Es posible que un atacante ya esté dentro.

Por eso toda la arquitectura se diseña pensando en limitar el impacto.

No se busca únicamente evitar el ingreso.

También se busca impedir que un incidente pequeño se transforme en una crisis mayor.

BENEFICIOS PARA LA ORGANIZACIÓN

Implementar ZTNA ofrece ventajas concretas tanto para los equipos de TI como para el negocio:

• Reduce significativamente la superficie de ataque.
• Minimiza el movimiento lateral.
• Protege el acceso remoto de colaboradores y terceros.
• Oculta aplicaciones críticas frente a usuarios no autorizados.
• Mejora el control sobre identidades y dispositivos.
• Se adapta naturalmente a entornos híbridos y multinube.
• Disminuye el riesgo asociado al robo de credenciales.

Además, los usuarios continúan trabajando de forma sencilla, sin tener que conectarse permanentemente a una VPN tradicional para acceder a cada recurso.

ZTNA NO ES UN PRODUCTO, ES UNA ESTRATEGIA

Es importante entender que Zero Trust Network Access no consiste simplemente en instalar una nueva plataforma.

Su éxito depende de varios componentes trabajando en conjunto:

• Gestión de identidades (IAM).
• Autenticación Multifactor (MFA).
• Políticas de acceso basadas en riesgo.
• Inventario de dispositivos.
• Evaluación continua de postura de seguridad.
• Monitoreo permanente.

Por esa razón, muchas organizaciones realizan la transición de manera gradual, migrando aplicación por aplicación desde el modelo VPN hacia un esquema Zero Trust.

LA SEGURIDAD YA NO DEPENDE DE LAS MURALLAS

Durante muchos años protegimos redes.

Hoy debemos proteger identidades, aplicaciones y datos.

ZTNA representa ese cambio de paradigma.

Ya no importa desde dónde trabaja una persona.

Lo importante es verificar constantemente quién es, qué dispositivo utiliza, qué necesita hacer y si realmente debería tener acceso.

Porque en el escenario actual, confiar únicamente en una muralla puede ser suficiente… hasta el día en que alguien consiga atravesarla.

Y cuando eso ocurra, la diferencia entre contener un incidente o enfrentar una crisis dependerá de cuánto confíe tu organización en la verificación continua y no en la confianza implícita.

CONCLUSIÓN

El modelo Zero Trust Network Access (ZTNA) redefine la forma en que las organizaciones protegen sus recursos digitales. En lugar de otorgar acceso amplio tras una única autenticación, valida continuamente la identidad, el dispositivo y el contexto de cada conexión, reduciendo riesgos como el movimiento lateral y adaptándose a entornos híbridos y multinube.

En CompuNet, ayudamos a las organizaciones a evolucionar hacia arquitecturas de acceso seguro, integrando soluciones Zero Trust, SASE, gestión de identidades y estrategias de ciberseguridad que protegen el negocio sin afectar la productividad.

Porque hoy, la mejor defensa ya no consiste en construir murallas más altas, sino en verificar cada acceso, en cada momento y para cada recurso.

Cuando hablamos de ciberseguridad, muchas organizaciones siguen creyendo que contratar un seguro cibernético es suficiente para estar protegidas frente a un ataque.

La realidad es bastante distinta.

Un ciberseguro puede ayudar a reducir el impacto económico de un incidente, pero no evita que ocurra. Tampoco reemplaza las medidas preventivas que hoy exigen tanto las aseguradoras como las nuevas regulaciones en Chile.

En otras palabras, el seguro financiero comienza donde termina la ciberseguridad.

Y entender esa diferencia puede marcar el futuro de una organización.

EL CRECIMIENTO DEL SEGURO CIBERNÉTICO EN CHILE

Los ciberataques continúan aumentando en frecuencia y sofisticación.

Ransomware, robo de credenciales, phishing dirigido, fraude mediante inteligencia artificial y filtraciones de datos se han convertido en riesgos cotidianos para empresas de todos los tamaños.

Como consecuencia, cada vez más organizaciones están evaluando contratar un seguro cibernético para proteger su continuidad operacional.

Sin embargo, antes de hacerlo conviene responder una pregunta:

¿QUÉ CUBRE UN SEGURO CIBERNÉTICO?

Aunque cada aseguradora establece condiciones particulares, normalmente las pólizas incluyen coberturas como:

Continuidad operacional

Compensación por pérdidas derivadas de la interrupción del negocio.

Restauración tecnológica

Recuperación de servidores, aplicaciones, bases de datos y estaciones de trabajo.

Gestión de incidentes

Acceso a especialistas en:

• Respuesta a incidentes
• Informática forense
• Comunicación de crisis
• Asesoría legal

Responsabilidad frente a terceros

Cobertura por reclamaciones derivadas de filtraciones de datos personales.

Extorsión digital

Algunas pólizas consideran gastos relacionados con incidentes de ransomware y negociaciones especializadas.

EL ERROR QUE MUCHAS EMPRESAS DESCUBREN DEMASIADO TARDE

Una póliza puede indicar una cobertura de cientos de miles de dólares.

Pero eso no significa que todas las situaciones estén cubiertas.

Cada componente posee sublímites específicos.

Por ejemplo:

• Recuperación tecnológica
• Lucro cesante
• Defensa jurídica
• Restauración de datos

Cada uno tiene un monto máximo independiente.

Revisar estos detalles puede evitar falsas expectativas durante un incidente.

HOY LAS ASEGURADORAS TAMBIÉN EVALÚAN TU NIVEL DE CIBERSEGURIDAD

Hace algunos años bastaba completar un formulario.

Hoy las aseguradoras quieren evidencias.

Entre los controles más solicitados encontramos:

✔ Autenticación Multifactor (MFA)

✔ Gestión de Accesos Privilegiados (PAM)

✔ Copias de respaldo Air-Gapped

✔ Gestión continua de vulnerabilidades

✔ Aplicación oportuna de parches

✔ Gestión de identidades

✔ Segmentación de redes

✔ Arquitectura Zero Trust

Una empresa que demuestra madurez en estos controles suele acceder a mejores condiciones de aseguramiento.

LA LEY 21.719 CAMBIA EL ESCENARIO

La nueva Ley de Protección de Datos Personales (Ley 21.719) aumenta significativamente las responsabilidades de las organizaciones respecto del tratamiento de información.

Si ocurre una brecha de seguridad, ya no basta con recuperar la operación.

También existen obligaciones legales, reputacionales y regulatorias.

Por eso el seguro debe entenderse como una herramienta financiera complementaria y no como una estrategia de protección.

LA INTELIGENCIA ARTIFICIAL TAMBIÉN LLEGÓ AL FRAUDE

Los ataques mediante deepfake, Fraude del CEO, vishing y phishing impulsado por IA ya forman parte del panorama actual.

Algunas aseguradoras comienzan a incorporar coberturas específicas para estos riesgos.

Sin embargo, las condiciones cambian constantemente.

Por ello es indispensable revisar cuidadosamente las exclusiones antes de contratar.

EL MEJOR SEGURO SIGUE SIENDO PREVENIR

Las organizaciones más resilientes no son aquellas que poseen la póliza más costosa.

Son aquellas que invierten primero en prevención.

Implementar:

• MFA
• PAM
• Zero Trust
• Monitoreo continuo
• Backups aislados
• Gestión de vulnerabilidades

reduce considerablemente la probabilidad de sufrir un incidente y, al mismo tiempo, mejora las condiciones para acceder a un seguro.

La prevención continúa siendo la inversión más rentable.

TRES PREGUNTAS ANTES DE CONTRATAR UN CIBERSEGURO

Antes de firmar una póliza, pregúntate:

• ¿Nuestra empresa cumple los controles mínimos que exigen hoy las aseguradoras?
• ¿Conocemos realmente las exclusiones y sublímites del contrato?
• ¿Tenemos un plan para responder a un incidente incluso si el seguro no cubre todos los costos?

Responder estas preguntas permitirá tomar una decisión mucho más informada.

CONCLUSIÓN

El crecimiento del mercado de seguros cibernéticos en Chile demuestra que las organizaciones son cada vez más conscientes de los riesgos digitales.

Sin embargo, ninguna póliza reemplaza una estrategia sólida de ciberseguridad.

El seguro ayuda a recuperarse.

La ciberseguridad ayuda a evitar el incidente.

En CompuNet trabajamos junto a nuestros clientes para fortalecer su postura de seguridad mediante soluciones de prevención, monitoreo, protección de identidades, gestión de accesos privilegiados y respuesta ante incidentes, ayudándolos a construir organizaciones más resilientes antes de que el seguro tenga que entrar en acción.

CompunetGroup

Un incidente de ciberseguridad ya no es solo un problema de TI: puede detener ventas, paralizar operaciones, comprometer la continuidad del negocio y destruir valor para socios, inversionistas y clientes. Los casos de MGM Resorts y Change Healthcare muestran que una sola intrusión puede traducirse en pérdidas de decenas, cientos o miles de millones de dólares, además de impacto reputacional, legal y operacional. Para Chile, Perú y Colombia, el Foro Económico Mundial (FEM) advierte que la aceleración de la IA, la fragmentación geopolítica y la debilidad relativa de la preparación cibernética elevan el riesgo de interrupción de servicios, fraude y fallas en cadena de suministro, con América Latina mostrando una confianza en la preparación nacional significativamente menor que otras regiones.

Cuando el ciberataque deja de ser “tecnología” y se convierte en dolor de negocio

Hay una idea peligrosa que todavía circula en muchas directorios: que la ciberseguridad es un gasto técnico, importante sí, pero secundario frente a crecimiento, expansión y rentabilidad. Esa idea se rompe el día del incidente. Un ransomware, una filtración de datos o un ataque a la cadena de suministro no golpea primero al firewall; golpea el flujo de caja, la operación, la confianza del cliente y la capacidad de seguir vendiendo mañana.

En organizaciones medianas y grandes, el daño real suele distribuirse en cinco capas: interrupción operacional, pérdida comercial, costos forenses y legales, exposición regulatoria y deterioro reputacional. Lo más duro es que el costo visible suele ser solo una fracción del costo total; el resto aparece después, cuando el negocio sigue pagando en menor productividad, renegociaciones, clientes perdidos y mayor costo de capital.

El panorama de amenazas en 2026

El Foro Económico Mundial define 2026 como un año de aceleración del riesgo cibernético por tres factores: adopción de IA, fragmentación geopolítica y complejidad de las cadenas de suministro. El hallazgo más relevante para directorios es que el riesgo ya no está concentrado solo en malware o ransomware clásico: ahora domina el fraude habilitado por IA, la manipulación de identidad, la exposición de terceros y las interrupciones sistémicas.

Para América Latina, el problema es más delicado. En el informe del FEM, la confianza en la capacidad del país para responder a incidentes graves cae a 13% en América Latina y el Caribe, muy por debajo de otras regiones. Eso importa para Chile, Perú y Colombia porque la economía digital regional depende cada vez más de servicios en la nube, proveedores globales, bancos, salud, retail y telecomunicaciones; si uno de esos eslabones cae, el daño se propaga rápido a clientes, proveedores y caja.

Casos reales que muestran el golpe MGM Resorts: una noche de interrupción que costó caro

MGM Resorts informó un impacto negativo de aproximadamente 100 millones de dólares en septiembre de 2023 por el incidente cibernético, además de menos de 10 millones de dólares en gastos puntuales de remediación, asesoría legal e incident response. El ataque afectó su sitio web principal, reservas online y servicios en casinos, incluyendo terminales de tarjetas, cajeros automáticos y máquinas tragamonedas, lo que traduce un evento digital en pérdida física de ingresos.

La lección de negocio es clara: cuando la infraestructura de identidad, reservas o pagos cae, no solo se pierde disponibilidad; se destruye la capacidad de monetizar la demanda en tiempo real. En términos de continuidad, la empresa no sufrió únicamente un “corte de sistema”, sino una interrupción de experiencia de cliente, de operación y de ingreso.

Change Healthcare: el costo de tocar una columna vertebral

El caso de Change Healthcare es todavía más crítico porque afectó una pieza estructural del ecosistema de salud estadounidense. UnitedHealth Group elevó su estimación de impacto total a 2,87 mil millones de dólares en 2024, después de reportar que el ataque ya había generado más de 870 millones en un trimestre y que el efecto de negocio incluía pérdida de ingresos y el costo de mantener capacidades listas para operar.

Además, la empresa informó que había brindado más de 9 mil millones de dólares en financiamiento e intereses cero a proveedores que no podían facturar por la caída de los sistemas, lo que muestra cómo un ciberincidente puede expandirse desde la víctima principal hacia todo un ecosistema económico. Este no es solo un problema técnico: es una crisis de continuidad nacional en un sector crítico.

Sony Pictures: reputación, secretos y destrucción de valor

El ataque a Sony Pictures reveló otra dimensión del daño: la exposición de información sensible, planes comerciales y daños difíciles de monetizar. Reuters reportó estimaciones de costo de hasta 100 millones de dólares, mientras otras referencias citan al menos 35 millones en reparación de TI y remediación, sin contar efectos indirectos como pérdida de secretos comerciales y daño reputacional.

Sony demuestra que el impacto no siempre se expresa en un solo número. A veces el mayor costo está en la estrategia: ventajas competitivas filtradas, negociación debilitada, presión pública y daño en la confianza interna.

Modus técnico del ataque

Aunque cada incidente tiene matices, los ataques de alto impacto de los últimos años comparten un patrón: acceso inicial, movimiento lateral, escalamiento de privilegios, exfiltración y sabotaje operativo. En ransomware moderno, el cifrado muchas veces llega al final; antes ya hubo robo de credenciales, persistencia en la red y preparación para doble o triple extorsión.

En los casos de MGM y Change Healthcare, el efecto visible fue una interrupción de servicios críticos; detrás suele haber fallas en controles de identidad, segmentación insuficiente, monitoreo débil de anomalías y tiempos de detección demasiado largos. El atacante no “rompe” toda la organización de golpe: encuentra una puerta, se mueve con paciencia y convierte una debilidad técnica en una crisis de negocio.

Dolor financiero para el negocio

La evidencia es consistente: las pérdidas por interrupción de negocio son el componente más caro del incidente, más que la respuesta técnica inicial. Para MGM el impacto inmediato fue de unos 100 millones de dólares; para Change Healthcare, el costo escaló a miles de millones por su rol sistémico; para Sony, el efecto combinó gasto técnico, legal y pérdida estratégica.

En términos gerenciales, esto significa que el verdadero costo de un incidente incluye:

• Pérdida de ventas por indisponibilidad;
• Retraso en facturación y cobro;
  
• Horas improductivas del personal;
  
• Sanciones, litigios y consultoría;
  
• Recuperación técnica y reinversión acelerada;
  
• Pérdida de clientes o aumento de churn.

Para una empresa en Chile, Perú o Colombia, incluso sin cifras de esa escala, un incidente bien ejecutado puede deteriorar el EBITDA del trimestre, tensionar convenios con clientes corporativos y activar cláusulas contractuales, penalidades y obligaciones regulatorias.

Riesgo regional para Chile, Perú y Colombia

El FEM insiste en que la ciberseguridad en 2026 está marcada por una brecha de capacidad: los riesgos crecen más rápido que la madurez de defensa. En América Latina, esa brecha se amplifica por dependencia de terceros, adopción acelerada de nube, heterogeneidad regulatoria y menor confianza en la capacidad nacional de respuesta ante incidentes graves.

Para Chile, Perú y Colombia, el riesgo empresarial más relevante no es solo el ransomware; es la interrupción de servicios digitales que sostienen ventas, atención al cliente, logística, pagos, identidad y operación remota. En otras palabras: el incidente ya no amenaza solo la información, amenaza la continuidad comercial.

⚡ Validar si puedo responder en menos de 3 horas

Causa raíz típica

En la mayoría de los incidentes graves, la causa raíz rara vez es “falta de un antivirus”. La causa real suele ser una combinación de debilidad de gobernanza, exceso de privilegios, visibilidad insuficiente, mala higiene de identidades, dependencia de terceros y respuesta lenta.

Un análisis de causa raíz serio debería responder, como mínimo:

• ¿Cómo entró el atacante?
• ¿Qué control falló primero?
• ¿Qué permitió el movimiento lateral?
• ¿Por qué no se detectó antes?
• ¿Qué decisión de negocio amplificó el impacto?
• ¿Qué dependencia externa convirtió un incidente local en una crisis sistémica?

Ese enfoque cambia la conversación de “qué herramienta compramos” a “qué riesgo operacional y estratégico aceptamos”. Y ahí está el punto que importa al directorio.

Mitigación prioritaria

Las medidas de mitigación más efectivas no son decorativas; reducen tiempo de detección, frenan propagación y protegen la continuidad. Para una toda organización, el enfoque correcto debería unir ciberseguridad, continuidad y gobierno, no tratarlos como silos separados.

Prioridades de control:

• Gestión fuerte de identidades y privilegios;
• Segmentación de red y separación de activos críticos;
• Respaldo inmutable y probado;
• Monitoreo 24/7 con respuesta basada en playbooks;
• Control de terceros y supply chain;
• Simulacros de crisis con negocio, legal, comunicaciones y TI;
• Pruebas de continuidad para procesos críticos y no solo para infraestructura.

Si el negocio no puede soportar una hora de caída en facturación, atención o logística, la arquitectura de resiliencia debe diseñarse para ese nivel de exigencia. La ciberresiliencia no se compra; se gobierna, se prueba y se financia.

Qué debe exigir el directorio

El directorio no debe preguntar solo “¿estamos protegidos?”, sino “¿cuánto tiempo puede sobrevivir la empresa si el sistema crítico cae mañana?” Esa pregunta conecta seguridad con continuidad, reputación, caja y valuación.

Tres preguntas mínimas para gobierno corporativo:

• ¿Cuáles son nuestros procesos críticos y cuánto cuesta una hora de indisponibilidad?
• ¿Qué terceros podrían derribarnos aunque nosotros estemos bien protegidos?
• ¿Cuánto tarda la organización en recuperar operación si perdemos identidad, correo, ERP o CRM?

En una empresa que opera con ecosistemas mixtos —como Apple para uso personal, Microsoft 365 para empresa y Zoho One para relación comercial— la exposición de identidades, integraciones y terceros debe considerarse parte central del riesgo operativo. La superficie de ataque hoy vive en los accesos, en las integraciones y en la dependencia de proveedores, no solo en el perímetro.

Cierre

La lección es brutal pero útil: un ciberincidente serio no se mide por la cantidad de malware encontrado, sino por el daño que produce al negocio, a la continuidad y a la confianza. MGM, Change Healthcare y Sony muestran que el impacto real aparece en caja, operación, reputación y poder de negociación.

Para un directorio, la respuesta correcta no es “evitar todos los ataques”, sino construir capacidad para resistir, responder y recuperar antes de que el evento se convierta en crisis corporativa. En 2026, la ventaja competitiva no la tendrá quien más software compre, sino quien mejor alinee riesgo, negocio y continuidad.

CompunetGroup

CompunetGroup

CompunetGroup