La transformación digital dejó de ser un proyecto aislado en las áreas de tecnología y pasó a ser el lenguaje cotidiano de cualquier negocio. Procesos operativos, administrativos y estratégicos dependen hoy de sistemas interconectados, datos en tiempo real y decisiones basadas en información digital.

El cambio abre oportunidades, pero también amplifica los riesgos de ciberseguridad, cada vez más complejos, costosos y de alto impacto.

Con ese diagnóstico, el Instituto de Directores de Chile (IdDC) presentó el Código de Buenas Prácticas en Gobernanza Digital para Chile, un documento que busca apoyar a los directorios en la gobernanza de los riesgos cibernéticos, adaptado a la realidad regulatoria, organizacional y cultural del país.

El documento fue elaborado por Fadua Gajardo, directora ejecutiva del IdDC, junto a la directora de empresas María Francisca Yáñez y el abogado Gonzalo Medina, del estudio Dal Pozzo Medina, con el apoyo de la Agencia Nacional de Ciberseguridad (ANCI).

De técnico a riesgo estratégico

Según el IdDC que el código es «un llamado a repensar los procesos de toma de decisiones y redefinir el rol del directorio frente a un cambio de paradigmas que demanda una gobernanza moderna, ética y visionaria».

La ANCI, por su parte, advierte que la participación activa de los directorios es esencial para asegurar resiliencia y responsabilidad en un entorno crecientemente digitalizado. Cuando la alta dirección asume un compromiso explícito con la ciberseguridad, se ordenan las prioridades y los riesgos digitales se gestionan al mismo nivel que otros riesgos críticos de la organización.

El documento dialoga también con las «9 medidas básicas de ciberseguridad»  lanzadas por la ANCI, disponibles en su sitio web, que cualquier organización, sin importar su tamaño, debiera implementar. Según la agencia, estas medidas complementan el código del IdDC porque ayudan a comprender riesgos emergentes, ofrecen criterios de gobernanza y estandarizan buenas prácticas.

Seis ejes para una buena gobernanza digital

El código ordena sus recomendaciones en seis bloques: gestión de riesgos, estrategia, personas, planificación y respuesta ante incidentes, supervisión y aseguramiento, y ciberhigiene de los directores.

1. Gestión de riesgos: identificar, priorizar y definir apetito

El primer eje apunta a que el directorio obtenga garantías de que los procesos tecnológicos críticos están identificados y priorizados, y que la organización reconozca no solo los riesgos de daño cibernético a sí misma, sino también las posibles afectaciones a terceros, como clientes, proveedores o comunidades.

El código propone que el directorio:

• Acorde quién es el responsable ejecutivo de los riesgos cibernéticos y asegure que estos se integran al sistema general de gestión de riesgos.
• Defina y comunique el apetito de riesgo cibernético, junto con un plan de acción coherente.
• Exija evaluaciones periódicas de riesgos que incluyan cambios regulatorios y tecnológicos, y que consideren los riesgos del ecosistema de proveedores y socios comerciales.

En la práctica, esto significa que la ciberseguridad debe aparecer en la matriz de riesgos corporativa, con dueños claros, métricas y seguimiento, al mismo nivel que riesgos financieros, operacionales o de cumplimiento.

2. Estrategia: alinear la seguridad digital con el negocio

El segundo eje establece que el directorio debe asegurar la existencia de una estrategia de ciberseguridad alineada con la estrategia organizacional, y verificar que cumpla con la regulación vigente y se adapte a un contexto dinámico.

Además, el código recomienda:

• Garantizar la asignación efectiva de recursos (presupuesto, capacidades, tecnología) para cubrir los riesgos identificados.
• Supervisar que la ejecución de la estrategia genere los resultados esperados, con indicadores y reportes adecuados.

La idea de fondo es que la ciberseguridad no sea solo reacción a incidentes, sino parte de la planificación estratégica: cómo se protege el modelo de negocio, la continuidad operacional y la reputación en un entorno digital.

3. Personas: cultura, políticas y capacitación

El tercer eje pone el foco en las personas. El documento plantea que el directorio debe promover una cultura organizacional de ciberseguridad basada en comportamientos positivos y responsabilidad, y validar que existan políticas claras que respalden esa cultura.

Esto se traduce en:

• Programas de formación y concienciación para todos los niveles, medibles en su efectividad.
• Capacitación específica para mejorar la alfabetización cibernética de los propios directores, que suelen ser, además, un objetivo privilegiado para los atacantes.

La cultura de seguridad deja de ser un checklist para convertirse en una forma de trabajar y tomar decisiones en el día a día.

4. Planificación, respuesta y recuperación

El cuarto bloque aborda qué pasa cuando el incidente ya ocurrió. El código establece que el directorio debe verificar la existencia de un plan de respuesta y recuperación ante incidentes cibernéticos, y exigir que se realicen ejercicios anuales de este plan, con actores internos y externos relevantes.

También le asigna al directorio un rol explícito durante la crisis:

• Asumir las obligaciones regulatorias y apoyar decisiones clave en caso de incidente.
• Garantizar procesos de revisión post incidente que permitan aprendizaje y mejora continua.

No se trata solo de “apagar incendios”, sino de construir resiliencia: aprender del incidente, ajustar controles y reforzar procesos.

5. Supervisión y aseguramiento: estructura, métricas y auditoría

El quinto eje se centra en la supervisión y el aseguramiento. El código propone que el directorio:

• Establezca una estructura de gobernanza cibernética clara, con roles definidos.
• Exija reportes periódicos con métricas alineadas a la estrategia de ciberseguridad.
• Fomente el diálogo fluido con ejecutivos clave, como el CISO.
• Integre la ciberseguridad en auditorías y mecanismos de aseguramiento existentes.
• Verifique que los ejecutivos estén al tanto de las regulaciones y mejores prácticas.

De este modo, la ciberseguridad deja de ser un área aislada y se incorpora al sistema de control interno y auditoría de la organización.

6. Ciberhigiene: los directores también son un blanco

El último bloque apunta directamente a los miembros del directorio. El código recuerda que ellos no solo supervisan la ciberseguridad: también son un objetivo privilegiado de los atacantes. En un entorno donde “la identidad es la nueva frontera de seguridad”, adoptar medidas básicas de higiene digital puede reducir más del 90% del riesgo, según estudios internacionales.

Entre las recomendaciones esenciales del documento destacan:

• Utilizar un gestor de contraseñas para proteger credenciales y evitar claves débiles o repetidas.
• Activar doble factor de autenticación (MFA) en todos los accesos sensibles.
• Contar con una plataforma segura para la gestión y comunicación de materias del directorio, evitando el uso de correos personales o aplicaciones de mensajería como WhatsApp.

El texto subraya que estas recomendaciones deben revisarse y actualizarse periódicamente, porque las tecnologías, amenazas y soluciones evolucionan con rapidez.

Un llamado a actuar ahora

El Código de Buenas Prácticas en Gobernanza Digital llega en un momento en que los incidentes de ciberseguridad pueden comprometer no solo operaciones, sino también la confianza de inversionistas, reguladores, clientes y colaboradores. La propuesta del IdDC y la ANCI es que la ciberseguridad se  instale de manera definitiva en la agenda del directorio, con responsabilidades, métricas, estrategia y cultura, al mismo nivel que cualquier otro riesgo crítico del negocio.

Para las empresas chilenas, el desafío ya no es si incorporar la gobernanza digital, sino cómo hacerlo con criterio, orden y visión de largo plazo.

Aquí puedes ver el documento completo.