Durante quince años, la ciberseguridad fue tratada en las organizaciones latinoamericanas como una función de IT — presupuesto delegado al área de sistemas, decisiones técnicas tomadas sin presencia en mesa de dirección, métricas evaluadas en términos de uptime y no de continuidad del negocio. Ese modelo cerró. Este informe ordena el campo donde la norma ISO/IEC 27001 se vuelve operativa para la dirección, no solo para el CISO.
El cambio de definición operativa
Tres eventos estructurales reordenaron la función ciberseguridad en la última década.
Evento 01 · ransomware como práctica industrial. Los ataques dejaron de ser eventos artesanales para volverse operaciones industriales con cadena de valor diferenciada · proveedores de acceso inicial, operadores de ransomware-as-a-service, negociadores de rescate, lavadores de criptomonedas. El costo institucional por incidente excede frecuentemente el costo anual completo del área de seguridad.
Evento 02 · regulación de notificación obligatoria. Múltiples jurisdicciones — Argentina con la Ley 25.326, Brasil con la LGPD, México con la LFPDPPP, Unión Europea con GDPR de aplicación extraterritorial — establecieron obligación de notificar incidentes que comprometan datos personales. El incidente dejó de ser un problema interno que se gestiona en silencio. Se volvió un evento público con consecuencias regulatorias y reputacionales.
Evento 03 · cadena de suministro como vector. Los atacantes ya no buscan vulnerar a la organización objetivo directamente. Comprometen a un proveedor pequeño de la cadena — frecuentemente sin presupuesto adecuado de seguridad — y desde ahí escalan a la organización grande. La seguridad de tercera parte se volvió variable propia, no responsabilidad delegable.
Lo que ISO/IEC 27001 establece
La norma ISO/IEC 27001:2022 — última revisión vigente — define los requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de seguridad de la información (SGSI). El Anexo A 2022 redujo de 114 a 93 controles, reorganizando categorías y agregando once controles nuevos específicos para realidades contemporáneas — inteligencia de amenazas, seguridad en la nube, prevención de fuga de datos.
La norma es técnicamente robusta. El problema en LATAM no es el marco. Es la implementación · alta proporción de organizaciones certificadas sin tabla de roles actualizada, sin gestión real de identidades privilegiadas, sin pruebas de continuidad efectivas, sin auditorías internas con criterio profesional.
Las tres preguntas que la dirección debe poder responder
Una dirección que delega ciberseguridad sin auditar la delegación opera con riesgo no gestionado. Tres preguntas elementales que cualquier consejo o directorio debería poder responder en treinta segundos —
- ¿Cuál es la métrica de tiempo de detección a tiempo de contención (MTTD a MTTC) sobre los últimos doce meses?
- ¿Cuándo fue la última prueba de restauración efectiva — no documental — del plan de continuidad?
- ¿Qué proveedores de tercera parte tienen acceso privilegiado a sistemas críticos y bajo qué cláusulas contractuales de seguridad?
Si las tres preguntas no tienen respuesta en treinta segundos, no hay arquitectura. Hay relato.
Privacidad como extensión natural
ISO/IEC 27701 — extensión específica de privacidad sobre la base de 27001 — completa el marco para organizaciones que tratan datos personales bajo regímenes regulatorios actuales. La integración técnica es directa · 27701 no reemplaza a 27001, la extiende. Una organización que ya certificó 27001 puede sumar 27701 con esfuerzo incremental moderado · doce a dieciocho meses de implementación adicional.
Recomendación institucional
Tres movimientos operativos que toda organización latinoamericana mediana o grande debería tener resueltos en horizonte máximo de veinticuatro meses —
- Sistema de gestión de seguridad de la información implementado con criterio operativo · no documental
- Auditorías internas anuales con auditores con competencia técnica acreditada
- Ejercicios de continuidad operativos con simulación real, no escritorio
La ciberseguridad ya no se gestiona en el área de IT. Se gestiona en la dirección que firma. La distancia entre ambas instancias define el riesgo institucional efectivo.