Cuando una empresa mediana chilena decide invertir en ciberseguridad, la tentación es partir por lo visible: un antivirus mejor, un firewall nuevo, un proveedor externo que audite una vez al año. El diagnóstico EIS sugiere que esa no es la primera tarea. La primera tarea es más aburrida y más barata: saber quién tiene acceso a qué sistema, quién lo autorizó y qué pasa cuando esa persona deja la empresa.
Un ámbito parejo, y bajo
El ámbito de ciberseguridad y control de accesos promedia 39,1 sobre 100 dentro del diagnóstico de tecnología, prácticamente empatado con el resto de los ámbitos del tema. No es un problema puntual de un sector o de un tamaño de empresa: tres de cada cuatro empresas de la muestra quedan en el nivel "en desarrollo" de la escala, el segundo peldaño de cinco.
Detrás del número hay un patrón que se repite en el diagnóstico cualitativo: los accesos a sistemas críticos, correo, ERP, banca en línea, se otorgan de forma informal, sin segundo factor de autenticación y sin un procedimiento escrito de altas y bajas. Un 39% de las empresas no tiene esa gestión de accesos formalizada, y un 44% adicional no tiene siquiera claridad sobre si cuenta con un sistema de gestión de seguridad de la información. No es que la empresa mediana tenga mala seguridad: es que en muchos casos el diagnóstico no logra obtener ni el dato base para evaluarla.
El tope que nadie ve venir
El instrumento contempla un escenario específico: cuando no existe ningún control de accesos ni segundo factor en los sistemas críticos, el puntaje del tema completo de tecnología queda capado en 3,5 sobre 5, sin importar cuán bien evaluados estén los demás ámbitos. Es un techo que castiga la ausencia de un control básico más que la sofisticación del resto de la infraestructura.
Qué revisar antes de gastar
Antes de invertir en ciberseguridad, revisa esto
Cuatro preguntas que cuestan poco resolver y explican buena parte del tope del ámbito.
Lista de accesos
¿Existe una lista única de quién tiene acceso a cada sistema crítico?
Responsable de altas y bajas
¿Hay una persona a cargo de dar de alta y baja accesos formalmente?
Segundo factor
¿Los sistemas críticos piden un segundo factor de autenticación (MFA)?
Revisión al salir
¿Se revisan y eliminan los accesos cuando alguien deja la empresa?
La buena noticia es que resolver esto no requiere presupuesto de proyecto grande. Requiere una lista, un responsable y una rutina. Antes de evaluar cualquier inversión en ciberseguridad, conviene aplicar el diagnóstico anterior a los sistemas que de verdad sostienen la operación: correo, ERP o sistema núcleo, y banca en línea.
Qué hacer
- Levantar una lista única de quién tiene acceso a qué sistema crítico, aunque sea en una planilla, y nombrar un responsable único de mantenerla al día.
- Activar un segundo factor de autenticación en los sistemas de mayor riesgo (correo, banca en línea, ERP) en las próximas semanas: es el control de menor costo relativo y mayor impacto sobre el tope del tema.
- Definir un procedimiento simple de baja de accesos cuando alguien deja la empresa, antes de invertir en cualquier herramienta de monitoreo o detección más avanzada.