{"id":8093,"date":"2026-09-10T13:40:45","date_gmt":"2026-09-10T16:40:45","guid":{"rendered":"https:\/\/www.insside.net\/cl\/?p=8093"},"modified":"2026-09-10T13:42:40","modified_gmt":"2026-09-10T16:42:40","slug":"cl-como-implementar-sgsi-ley-21663","status":"publish","type":"post","link":"https:\/\/www.insside.net\/cl\/cl-como-implementar-sgsi-ley-21663\/","title":{"rendered":"C\u00f3mo implementar un SGSI conforme a la Ley 21.663"},"content":{"rendered":"\n

La Ley Marco de Ciberseguridad<\/a> no exige textualmente la palabra SGSI, pero s\u00ed exige gestionar los riesgos de ciberseguridad de forma sistem\u00e1tica, algo que en la pr\u00e1ctica se traduce en implementar un Sistema de Gesti\u00f3n de Seguridad de la Informaci\u00f3n.<\/p>\n\n\n\n

Qu\u00e9 es un SGSI<\/h2>\n\n\n\n

Un SGSI es la estructura organizacional que permite gestionar de forma continua la confidencialidad, integridad y disponibilidad de la informaci\u00f3n. No es un documento \u00fanico, sino un conjunto de pol\u00edticas, procesos, roles y evidencias que se mantienen y mejoran en el tiempo. El est\u00e1ndar de referencia m\u00e1s utilizado es ISO 27001.<\/p>\n\n\n\n

Por qu\u00e9 un SGSI cubre gran parte de la ley<\/h2>\n\n\n\n

Un SGSI bien implementado bajo ISO 27001 cubre una parte sustancial de los requisitos t\u00e9cnicos de la Ley 21.663: gesti\u00f3n de riesgos, controles de acceso, gesti\u00f3n de incidentes, continuidad de negocio y gesti\u00f3n de proveedores. Lo que queda fuera de un SGSI gen\u00e9rico son las obligaciones espec\u00edficas de la ley chilena: la notificaci\u00f3n al CSIRT Nacional en los plazos de 3 y 72 horas, el reporte anual ante la ANCI y los planes operativos sectoriales.<\/p>\n\n\n\n

Pasos para implementar un SGSI<\/h2>\n\n\n\n

Paso 1: definir el alcance<\/strong><\/h3>\n\n\n\n

Determinar qu\u00e9 procesos, sistemas y activos de informaci\u00f3n quedan cubiertos por el SGSI, priorizando los que sostienen los servicios calificados como esenciales o cr\u00edticos.<\/p>\n\n\n\n

Paso 2: hacer un an\u00e1lisis de riesgos<\/strong><\/h3>\n\n\n\n

Identificar amenazas, vulnerabilidades e impacto potencial sobre los activos definidos en el alcance, y priorizar los riesgos seg\u00fan su probabilidad e impacto.<\/p>\n\n\n\n

Paso 3: definir e implementar controles<\/strong><\/h3>\n\n\n\n

A partir del an\u00e1lisis de riesgos, seleccionar los controles necesarios: los controles base exigidos por la ley, entre ellos autenticaci\u00f3n multifactor, hardening, gesti\u00f3n de parches, backups verificados y retenci\u00f3n de logs, m\u00e1s los controles adicionales seg\u00fan el perfil de riesgo de la organizaci\u00f3n.<\/p>\n\n\n\n

Paso 4: documentar pol\u00edticas y procedimientos<\/strong><\/h3>\n\n\n\n

Cada control debe estar respaldado por una pol\u00edtica o procedimiento formal. Ante una fiscalizaci\u00f3n de la ANCI, lo que no est\u00e1 documentado se considera, en la pr\u00e1ctica, inexistente.<\/p>\n\n\n\n

Paso 5: monitorear, auditar y mejorar<\/strong><\/h3>\n\n\n\n

Un SGSI no es est\u00e1tico. Requiere auditor\u00edas internas peri\u00f3dicas, revisi\u00f3n de indicadores y un ciclo de mejora continua que ajuste los controles a medida que cambian las amenazas y el negocio.<\/p>\n\n\n\n

Certificaci\u00f3n versus implementaci\u00f3n<\/h2>\n\n\n\n

La ley no exige expl\u00edcitamente certificarse en ISO 27001, pero muchas organizaciones optan por certificarse para demostrar de forma independiente y auditable que su SGSI funciona, algo especialmente valioso frente a clientes, socios y a la propia ANCI.<\/p>\n\n\n\n

En INSSIDE acompa\u00f1amos la implementaci\u00f3n de SGSI alineados a ISO 27001 y NIST CSF 2.0, integrados con nuestro servicio de GRC<\/a> y con la operaci\u00f3n de CyberSOC<\/a> para sostener la mejora continua en el tiempo.<\/p>\n\n\n\n

Preguntas frecuentes<\/h2>\n\n\n\n
\n\n