El 29 de octubre Chile hará, por primera vez, un Ejercicio Nacional de Ciberseguridad. Es una buena señal, y deja una pregunta incómoda para cualquier empresa: si el país se pone a practicar, ¿cuándo fue la última vez que lo hiciste tú?
Este artículo repasa qué anunció la ANCI en el Mes de la Ciberseguridad, qué dicen sus cifras y tres cosas concretas que puedes ensayar en tu empresa antes de que termine octubre.
Qué anunció la ANCI este mes
El 1 de octubre la Agencia Nacional de Ciberseguridad lanzó el Mes de la Ciberseguridad 2026 con tres anuncios. Dos son los que más afectan a las empresas.
El primero es el Ejercicio Nacional de Ciberseguridad, que se realiza en cumplimiento de la Ley Marco 21.663. Será el 29 de octubre, en línea, con formato CTF (Capture The Flag): 12 desafíos técnicos en categorías como seguridad web, análisis forense, criptografía, ingeniería inversa y seguridad de redes. Está dirigido a especialistas y estudiantes con nivel intermedio o superior que vivan en Chile, y se puede participar solo o en equipo. La inscripción cierra el 27 de octubre en anci.hackrocks.com. La ANCI dice que se repetirá todos los años (Reuna).
El segundo es Reporte Ciudadano, un portal para avisar de un incidente o una vulnerabilidad. Se puede reportar con ClaveÚnica o de forma anónima, e incluye la modalidad de puerto seguro.
El tercero, una consulta pública sobre autenticación multifactor, lo vemos más abajo.
324 reportes en seis meses: lo que dice la cifra y lo que no
En el primer semestre de 2026 la ANCI registró 324 reportes de incidentes de efecto significativo. Todos llegaron por la obligación legal de notificar que rige para los prestadores de servicios esenciales y los operadores de importancia vital (OIV), según el informe presentado en el lanzamiento.
Vale la pena leer ese número con cuidado. Cuenta solo a las organizaciones obligadas a reportar, así que no dice nada sobre lo que ocurre en el resto de las empresas. Y mide incidentes que ya pasaron: es información sobre lo que falló, no sobre lo que está a punto de fallar.
Lo que sí confirma es el énfasis de la ANCI. Su llamado de este mes es a prevenir y a reportar, y la propia agencia dice que estos reportes le permiten ver patrones de ataque, impactos y medidas preventivas. Para una empresa, la lectura práctica es simple: reportar bien, y rápido, ya no es un trámite aparte. Es parte de cómo se espera que operes.
Reportar en 3 horas no es lo mismo que saber dónde eres vulnerable
Si tu empresa es prestadora de un servicio esencial u operadora de importancia vital, la Ley 21.663 te exige una secuencia precisa de reportes al CSIRT Nacional. Una alerta temprana dentro de las 3 horas desde que tomas conocimiento del incidente, una actualización a las 72 horas con evaluación inicial, gravedad e impacto, y un informe final a los 15 días. Si eres OIV y el incidente afecta tu servicio esencial, la actualización se adelanta a 24 horas.
El alcance es más amplio de lo que parece. Entre los servicios esenciales la ley incluye banca y medios de pago, salud, telecomunicaciones, energía, infraestructura digital y servicios de TI gestionados por terceros.
Ahora, mira la redacción con calma: el plazo corre desde que tienes conocimiento del incidente. Todo el esquema asume que detectaste algo. No dice nada sobre las brechas que todavía no has encontrado, y ahí está el hueco. Un proceso de reporte impecable no te dice si tu aplicación tiene una puerta abierta, y encontrar todas las puertas abiertas no te sirve si nadie sabe qué hacer en las primeras 3 horas.
La propia ley lo reconoce para las OIV. Entre sus deberes específicos está realizar de forma continua revisiones, ejercicios, simulacros y análisis de sus redes y sistemas. Practicar no es un extra de buena voluntad: para parte del mercado ya es una obligación.
Tres cosas que puedes practicar antes de fin de mes
No necesitas un presupuesto grande para empezar. Estas tres cosas caben en un mes de trabajo y cada una cubre un hueco distinto.
1. Un ejercicio de mesa de respuesta a incidentes
Junta a TI, seguridad, legal y a alguien con poder de decisión durante 90 minutos, y plantea un escenario concreto: un servicio clave está caído y hay indicios de intrusión. Después responde en voz alta lo que el reloj de 3 horas te va a exigir. ¿Quién decide que el incidente es significativo? ¿Quién envía la alerta temprana? ¿Qué información necesitarías para la actualización de las 72 horas?
Lo más probable es que el ejercicio muestre algunas decisiones que nadie tenía asignadas. Eso es justamente lo que buscas encontrar un martes por la tarde y no un sábado de madrugada.
2. Una prueba real de tus aplicaciones
Elige una aplicación o API que sostenga algo importante del negocio y pruébala como lo haría un atacante, a mano. Un escáner automático detecta firmas conocidas, pero no entiende tu lógica de negocio: no sabe si un usuario puede ver los datos de otro cambiando un identificador en la URL. Esas fallas solo aparecen cuando alguien prueba específicamente eso.
Un pentest acotado a un solo alcance, con evidencia reproducible por cada hallazgo y un retest después de corregir, es una forma razonable de empezar.
3. Un conteo honesto de tus agentes de IA y servidores MCP
Esta es la que menos organizaciones han hecho. Los agentes de IA se conectan a herramientas y datos a través de MCP, y cada conexión es una puerta nueva. Haz una lista: qué agentes existen, quién es el dueño de cada uno, a qué sistemas están conectados, con qué permisos y con qué credenciales.
Los datos globales muestran por qué conviene. Según una recopilación de CyberSecStats, solo el 21% de las organizaciones mantiene un inventario de sus agentes en tiempo real y solo el 28% puede rastrear de forma confiable las acciones de un agente hasta un humano o sistema (Cloud Security Alliance). Además, el 70% de los líderes de seguridad dice que sus sistemas de IA tienen más acceso que una persona en un rol equivalente, y las organizaciones con sistemas de IA sobreprivilegiados reportan una tasa de incidentes de 76%, frente a 17% en las que aplican mínimo privilegio (Teleport). Las vulnerabilidades relacionadas con MCP crecieron 270% entre el segundo y el tercer trimestre de 2025 (Wallarm).
Son cifras globales, no chilenas, y conviene leerlas como una señal de tendencia. Pero la pregunta que plantean es válida en cualquier lugar: ¿sabes cuántos agentes tienes corriendo y qué pueden hacer?
Lo que viene: un estándar obligatorio de autenticación multifactor
La ANCI anunció que abrirá durante octubre una consulta pública sobre autenticación multifactor (MFA), como parte de la preparación de un estándar obligatorio transversal para las instituciones sujetas a la Ley Marco (trendTIC). Al momento de escribir este artículo no encontramos la fecha exacta de apertura, así que conviene revisar el sitio de la ANCI.
La directora subrogante explicó que el estándar debe considerar las condiciones de cada sector. Puso como ejemplo los servicios de urgencia, donde el control de acceso tiene que proteger la información sin retrasar la atención. La consulta existe justamente para recoger la experiencia de quienes tendrán que implementarlo.
Si tu empresa está dentro del alcance de la ley, esta es una oportunidad de opinar antes de que la norma quede fija. Y mientras tanto, puedes avanzar con algo simple: mapear dónde hoy no tienes MFA, empezando por los accesos administrativos y remotos.
Hay un punto que el anuncio no menciona y que vale la pena tener en el radar. La MFA está pensada para personas. Los agentes de IA y las cuentas de servicio también se autentican, pero no pueden aprobar una notificación en un celular. Cómo se gobiernan esas identidades es una pregunta abierta en casi todas las organizaciones.
Un último pendiente, mucho más simple: la ANCI pidió a las instituciones mantener actualizados sus puntos de contacto en el portal de reporte, para que las alertas lleguen a la persona correcta.
Practicar es lo que separa un plan de una respuesta
El Ejercicio Nacional pone a prueba a personas y está bien que así sea. Lo que mide a tu empresa tienes que hacerlo tú: ensayar la respuesta, probar tus aplicaciones y saber cuántos agentes de IA tienes conectados. Si tu equipo técnico quiere sumarse al CTF, la inscripción cierra el 27 de octubre.
Si quieres partir por algo concreto, en oneNorma ofrecemos un diagnóstico gratuito de 15 minutos. Revisamos contigo cuál de estas tres cosas tiene más sentido ensayar primero y cómo se vería en tu caso, sin informe genérico ni catálogo de servicios. Agenda el diagnóstico o escríbenos a hola@onenorma.com.
Fuentes
- ANCI da inicio al Mes de la Ciberseguridad 2026, ANCI, 2 de octubre de 2026
- ANCI realizará el primer Ejercicio Nacional de Ciberseguridad este 29 de octubre, Reuna (fuente: ANCI), 8 de octubre de 2026
- ANCI inaugura el Mes de la Ciberseguridad con tres anuncios, trendTIC, 1 de octubre de 2026
- Ley 21.663, Ley Marco de Ciberseguridad, Diario Oficial, 8 de abril de 2024
- AI Cybersecurity Statistics 2026 (Q1+Q2), CyberSecStats, que recopila datos de Cloud Security Alliance, Teleport y Wallarm