La nueva ley impacta en los derechos ARCO —las facultades de acceso, rectificación, cancelación/supresión y oposición, que permiten a las personas controlar sus datos personales— y “empodera las personas a demandar a las instituciones públicas o privadas de forma transversal por el uso no autorizado de su información en campañas de publicidad o en cómo están custodiando su información privada”, señala Ricardo Seguel.

Puedes ver el articulo en Diario Financiero.

“Cuando una empresa declara que usa IA para prevenir accidentes, detrás hay una arquitectura técnica precisa. Esto significa que debe estar utilizando modelos de detección de comportamientos riesgosos en uno o más entornos laborales —como faenas, plantas industriales, construcción o transporte- para alertar a las personas antes que el accidente ocurra”, explica Ricardo Seguel.

Puedes ver el articulo en La Tercera.

La industria del software está dando un vuelco que está dando que hablar en todo el mundo hacia un nuevo paradigma de negocio y de desarrollo de tecnología basada en IA y Agentes GenAI, pasando del Software as a Service (SaaS) hacia el Agent as a Service (AaaS). Esto está generando una demanda muy dinámica por nuevos perfiles y especializaciones en IA y automatización y orquestación de agentes. Entre estos nuevos perfiles se encuentran el AI Agent Architects encargados de diseñar sistemas autónomos capaces de gestionar cadenas de suministro sin intervención humana constante. Por otro lado, la banca en Estados Unidos está integrando masivamente a Synthetic Data Engineers para generar datos artificiales que permitan entrenar modelos de riesgo crediticio sin vulnerar la privacidad de los clientes reales. En el ámbito del marketing digital, las agencias están sustituyendo el SEO tradicional por especialistas en GEO/AEO (Generative Engine Optimization), cuya misión es asegurar que las marcas sean la primera opción recomendada por asistentes como Gemini o Perplexity. Mientras tanto, la implementación del AI Act en la Unión Europea ha estandarizado la figura del AI Ethics & Compliance Officer, un rol legal-técnico que pronto será obligatorio en las grandes corporaciones para auditar sesgos algorítmicos. Asimismo, la ciberseguridad industrial está demandando AI Red Team Specialists, expertos dedicados exclusivamente a ejecutar ataques con agentes y de prompt injection para testear la infraestructura crítica. Finalmente, a nivel estratégico el Chief AI Officer (CAIO), es una posición de nivel C-Suite que ya es tendencia en el Fortune 500 para liderar la inversión y el ROI de la IA generativa a escala global.

Puedes ver el articulo en Innovación El Mercurio

“El punto de fondo es que en Chile no desarrollamos IA, sino que utilizamos servicios IA para innovar en soluciones. Chile no desarrolla modelos o técnicas nuevas y no hay forma de competirle a las grandes potencias en esto”, señala Ricardo Seguel.

Puedes ver el reportaje en ComputerWeekly.com

Te invitamos a leer en el Diario Financiero en su columna Carta al Director de Ricardo Seguel, PhD., profesor de la Facultad de Ingeniería y Ciencias UAI y director de DTC Cyber, sobre la vulnerabilidad de los sistemas de ciberseguridad en el sector de la salud.

Puedes ver el articulo en El Mercurio Finanzas y Tecnología.

“El 75% de los datos empresariales se procesarán fuera de la infraestructura tecnológica central o la nube hacia el presente año”, destaca Ricardo Seguel.

“El sistema eléctrico chileno ha experimentado un cambio en los últimos diez años, avanzando a un estado de riesgo alto, donde los incidentes más preocupantes están relacionados con el malware destructivo (wipers) y ransomware para extorsión, utilizados para generar una indisponibilidad prolongada de los sistemas de control", señala Ricardo Seguel.

La ciberseguridad en Chile ha entrado en una fase en que hoy se trata de una inversión gatillada por la obligación de cumplimiento y la potencial responsabilidad legal de la alta dirección. En consecuencia, un enfoque reactivo y basado en costo, es insostenible bajo el nuevo marco regulatorio; en cambio, un enfoque predictivo y adaptativo dirigirá los esfuerzos hacia la ciber resiliencia y el cumplimiento que las empresas e instituciones públicas requieren.

La brecha de la madurez y el fin de la inacción

El estado actual del ecosistema empresarial chileno en ciberseguridad presenta una profunda brecha en la madurez: si bien el sector financiero, retail, gran minería y las telcos operan con modelos de riesgo relativamente avanzados, el grueso de las empresas, incluyendo una gran parte de la infraestructura crítica de tecnología operacional (OT) y el sector público (como demuestran los recientes casos en el ISP y el Ministerio de Seguridad), se mantienen en una fase de “cumplimiento del checklist”. Si bien Chile ha subido en el ranking NCSI que nos posiciona como líderes regionales, el enfoque de marcar casillas en cuestionarios sin una comprensión real del riesgo estratégico, nos deja al menos cinco años detrás de países más avanzados en ciberseguridad como EE.UU., Europa y Australia.

El principal avance concreto no es tecnológico, sino de gobernanza dados por la Ley N° 21.663 (Ley Marco de Ciberseguridad) y la Ley N° 21.719 (Protección de Datos Personales). Al exigir el inventario y registro formal de los prestadores de servicios esenciales, las empresas se ven forzadas a inventariar y gobernar sus activos críticos. Esta acción no es un simple ejercicio administrativo, sino una medida que nos obliga a actuar, identificando las joyas de la corona para administrar el riesgo de exposición de la organización, fortalecer su sistema de ciberdefensa y madurar en su postura de ciberseguridad.

La presión regulatoria como acelerador de la ciberresiliencia

El marco legal chileno que combina la Ley Marco de Ciberseguridad con la Ley de Protección de Datos y la Ley de Delitos Informáticos (Ley N° 21.459), han creado una doble presión que elimina la pasividad de los directorios en estas materias. La ley ha logrado lo que los CISOs y gerentes de riesgo no pudieron por años: elevar la ciberseguridad desde un problema técnico a un riesgo estratégico de negocio, con consecuencias financieras y legales tangibles. Sin esto, la inversión en ciberseguridad seguiría siendo postergada ante ajustes presupuestarios.

La presión no es solo administrativa, sino también personal ya que la Ley de Responsabilidad Penal de las Personas Jurídicas (Ley N° 20.393) y las modificaciones de la Ley de Delitos Económicos (Ley N° 21.595) obligan a las empresas a tener Modelos de Prevención de Delitos (MPD) que incluyan el riesgo de “Delitos Informáticos”. Cuando un incidente crítico paraliza las operaciones o resulta en una brecha de datos, el directorio se expone a cuestionamientos sobre la suficiencia de su MPD y su debida diligencia en la gestión de riesgos tecnológicos, lo cual se podría convertir en una negligencia sancionable.

Brechas críticas y prácticas de vanguardia para los directorios

A pesar de toda la presión regulatoria, aún persisten en Chile (y Latinoamérica) brechas críticas en las organizaciones, tales como la miopía de tratar la ciberseguridad como un gasto y no una inversión, la falta de capacidades de respuesta ante incidentes y el déficit de talento técnico altamente especializado.

Para superar estas brechas críticas, las organizaciones deben adoptar prácticas probadas internacionalmente, tales como:

1) La arquitectura de Confianza Cero (Zero Trust) para fortalecer el control de acceso privilegiado en profundidad. Estados Unidos, por ejemplo, ha institucionalizado el concepto de “arquitectura de confianza cero” y el modelo de madurez (ZTMM), mediante órdenes ejecutivas y directrices de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA).

2) La Seguridad de la Cadena de Suministro (Supply ChainSecurity) para mitigar las vulnerabilidades en cascada, auditando rigurosamente los controles de seguridad de proveedores críticos que tengan acceso a datos sensibles o a la red OT. La Unión Europea con la directiva NIS2 impone requisitos estrictos de gestión de riesgos en la cadena de suministro y establece plazos perentorios para la notificación de incidentes.

3) Los simulacros de incidentes sobre la infraestructura crítica incluyendo a la alta dirección y el comité de riesgos, con el objetivo de evaluar la toma de decisiones ante una crisis y la comunicación en un escenario de ransomware o fuga de datos. Australia se ha enfocado en la resiliencia operativa y la preparación ante incidentes sistémicos, ejemplificado por el marco APRA CPS 234, que obliga a las instituciones financieras a someter a pruebas rigurosas sus planes de respuesta a incidentes y a realizar ejercicios de simulación de crisis (war games).

4) Una infraestructura multi nube (multicloud) para mitigar el riesgo de interrupción de la continuidad operacional debido a la caída de un proveedor, como lo ocurrido recientemente con los servicios de Amazon AWS que afectaron la disponibilidad y el tráfico de internet a nivel mundial por casi 24 horas.

La Inteligencia Artificial (IA) como un arma de defensa

Si bien la IA es una herramienta poderosa para automatizar la detección de amenazas y mitigar el déficit de talento para responder ante incidentes, también debe aprovecharse para hacer frente a ataques que se basan en IA, como la generación de malware hiperautomatizado y el phishing e ingeniería social hiperrealista. La capacidad de los atacantes para usar la IA para analizar perfiles de víctimas (como directores y gerentes) y generar mensajes de compromiso hiper personalizados, hace que el factor humano siga siendo la causa más alta de brechas de seguridad con más del 70%. Para mitigar esta creciente amenaza, las organizaciones deben continuar fortaleciendo no solo sus sistemas de capacitación y sensibilización, sino también aumentar el monitoreo de toda la actividad de los usuarios internos y subcontratados de la organización, para alertar las anomalías.

Aumentando el nivel de ciberresiliencia de las organizaciones en Chile

La alta dirección en Chile debe pasar del cumplimiento reactivo a la adopción de la resiliencia operativa, tomando como ejemplo de madurez EE.UU., Europa y Australia. Además, deberá dejar de enfocarse únicamente en la prevención para pasar a un modelo predictivo y adaptativo aprovechando la IA como arma de defensa, ya que ninguna organización es inmune y los ataques no son una posibilidad remota, sino un evento de alta probabilidad y complejidad. En consecuencia, el riesgo de exposición de ciberseguridad es un detractor del negocio y la responsabilidad legal de gestionarlo recae de forma ineludible en los directores.

Puedes ver la entrevista a Ricardo Seguel en Revista Gerencia

La vulneración de las plataformas del Ministerio de Salud en 2016 y del Instituto de Salud Pública este año, son ejemplo del necesario fortalecimiento de la ciberseguridad en el sector de salud pública, y también de la pequeña y mediana empresa que lo abastece, así lo señala Ricardo Seguel, PhD.

Puedes ver el artículo en Revista El Empresario Chile.

“Los canales deben convertirse en integradores de negocios, no solo implementadores de tecnología”

La migración de los ERP a la nube avanza con fuerza en Chile y Latinoamérica, aunque aún enfrenta barreras culturales, técnicas y organizacionales. En conversación con Channel News, Ricardo Seguel, Ph.D., académico de Facultad de Ingeniería y Ciencias de la Universidad Adolfo Ibáñez y Associate Advisor en Technology Unit., analiza los factores que impulsan este cambio, los desafíos para las empresas y el rol clave que tendrán los canales TI para acelerar la adopción, especialmente entre Pymes y sectores con alta necesidad de transformación digital.

Ver articulo en Revista Channel News.

La implementación del Sistema de Finanzas Abiertas (SFA), regulado por la Ley Fintech, sigue avanzando en Chile. Mientras se afinan normas técnicas, la CMF continúa con la inscripción de prestadores, paso clave hacia la entrada en vigor en julio de 2026. Uno de los hitos recientes fue la consulta pública del Anexo Técnico N° 3, que define APIs interoperables, trazabilidad del consentimiento y mecanismos de reportabilidad. Como hemos señalado, su publicación permitirá que el sistema compita “en servicio y no solo en papel”.

El proceso también contempla la regulación para iniciadores de pagos y el desarrollo del sandbox tecnológico, que iniciará pruebas preproductivas este año con actores verificados en un entorno controlado. Desde FinteChile (Asociación FinTech de Chile) destacamos que la hoja de ruta está “trazada” y que el desafío está “en ejecutar con disciplina para que los beneficios, más competencia, mejores precios y acceso efectivo para personas y #pymes, se vean temprano y se puedan medir”.

El debate técnico continúa. Ricardo Seguel, Ph.D., académico de la Facultad de Ingeniería y Ciencias de la Universidad Adolfo Ibáñez, plantea que “el proceso de inscripción ha sido lento porque aún falta la publicación de la normativa técnica del Anexo 3, que podría estar lista a fines de este año”.

La vulneración de las plataformas del Ministerio de Salud en 2016 y del Instituto de Salud Pública este año, son ejemplo del necesario fortalecimiento de la ciberseguridad en el sector de salud pública, y también de la pequeña y mediana empresa que lo abastece. Así lo señala Ricardo Seguel, director de DTC Cyber y profesor de la Facultad de Ingeniería y Ciencias de la Universidad Adolfo Ibáñez.

El especialista, Ph.D. en Information Systems de la Eindhoven University of Technology, Países Bajos, explica que el incidente al ISP es una llamada de atención más del sector público. La historia ya lo confirma: el devastador ataque en Estados Unidos a Change Healthcare en 2024 demostró que la seguridad de las Pymes en la cadena de suministro digital del sector Salud es crítica, al igual que el ataque al NHS en Reino Unido. Esto ha obligado a las grandes corporaciones europeas exijan que sus proveedores cumplan con los estándares de seguridad como ISO 27001, NIST y SOC 2, entre otros.

Este 16 de septiembre, ha sido publicado la nómina preliminar de operadores de importancia vital de la Agencia Nacional de Ciberseguridad (ANCI) en el Diario Oficial. “En Chile, las nuevas leyes (21.663 y 21.719) reubican el riesgo de un ataque desde un problema técnico a una responsabilidad legal y financiera. Si ambas leyes hubieran estado en pleno vigor, el ISP habría tenido la obligación legal de haber estado registrado ante la ANCI y de notificar la filtración de datos. Esto habría forzado una respuesta más estructurada y transparente, posiblemente mitigando el impacto que se prolongó por varias semanas afectando a pacientes del sistema de salud público en la entrega de resultados de VIH y Hepatitis”, sostiene Seguel.

Hasta hoy, el miedo al daño reputacional, multas de los reguladores y a las demandas era la principal motivación para el silencio frente a la experiencia de un ciberataque. Con la implementación de estas leyes, la opacidad ya no es una opción para los operadores de servicios esenciales. La ANCI tendrá la facultad de recibir los reportes bajo la Ley 21.663, mientras que la Agencia de Protección de Datos tendrá la misma facultad bajo la Ley 21.719, forzando la divulgación de incidentes y transparencia. Esto causará un aumento masivo de los reportes públicos de incidentes como ha pasado en países desarrollados, lo que ayuda a la defensa colectiva. Sin embargo, esta opacidad no ha sido del todo despejada ya que la ley no prohíbe pagar un secuestro de datos (o Ransomware) a diferencia de Estados Unidos que penaliza ese pago porque lo cataloga como una transacción entre dos organizaciones cibercriminales.

La Ley 21.663 clasifica a las instituciones de salud como “servicios esenciales”, obligándolas a cumplir con los requisitos de la ANCI. Adicionalmente, la Ley 19.628 y la nueva Ley 21.719 de Protección de datos personales impone obligaciones estrictas para la protección de datos, lo que aumenta la responsabilidad ante un ciberataque en instituciones que manejan información médica extremadamente sensible, como es el caso del ISP.

Seguel añade: “ La Ley agrega una capa adicional que es la obligación de notificar filtraciones de datos personales a la autoridad de protección de datos, lo cual puede ayudar a la detección temprana y la respuesta coordinada para disminuir la propagación de ataques entre diferentes instituciones públicas o privadas.

Sin embargo, la debilidad está en la protección y prevención proactiva de ataques, antes que ocurran, debido a la falta de sistemas de ciberdefensa robustos y resilientes con capacidades de ciberinteligencia para anticipar y predecir amenazas”.

Para que sea realmente efectiva, es determinante la capacidad de fiscalización de los órganos encargados de la efectividad de las leyes 21.663 y 21.719 (la ANCI y la Agencia de Protección de Datos). El doctor Ricardo Seguel concluye que además de las multas, es necesaria una buena coordinación entre ambas instituciones, ya que una respuesta fragmentada entre dos agencias distintas podría causar confusión y retrasos, por lo tanto, la fiscalización deberá ser un proceso integrado y robusto.

Esta entrevista fue publicada en C-Manager, Gerencia, El Diario de Santiago, En qué Invertir.cl, entre otros.

La realidad y avances que uno ve en las ciudades de Europa es bastante grande respecto al desarrollo de Smart Cities en Chile y el resto de Latino América. Aunque en materia de ciberseguridad y protección de datos el avance ha sido importante en los últimos 2 años.

Las Smart Cities se han venido implementando hace más de 15 años en los países desarrollados, y en Chile en los últimos 10 años con diversos proyectos piloto en Santiago y otras ciudades, pero sin una política de desarrollo desde el Estado como en países avanzados. Aunque el estudio del IESE Cities in Motion (ICIM) 2024 posiciona a Santiago como una de las ciudades más inteligentes de Latino América, en realidad es una pobre comparación con países desarrollados como Reino Unido, Suecia, Singapur y Australia, entre otros. Sin una política clara de desarrollo urbano inteligente desde el estado, seguiremos con inversiones aisladas que se abandonan en el tiempo y atrasados por al menos 10 años más.

En otras ciudades de Chile han habido también esfuerzos aislados y aspiracionales como en Temuco, Concepcion, Puerto Montt. La transformación del transporte con buses eléctricos y medios de pago electrónico son esfuerzos visibles y en la dirección correcta. Sin embargo, para realmente desarrollar una smart city se requiere más infraestructura digital con sensores desplegados prácticamente en todo el territorio para habilitar luminarias inteligentes para el consumo eficiente de energía, semáforos inteligentes para la descongestión de las calles, riego inteligente para el cuidado del agua en áreas verdes públicas y privadas, cámaras de vigilancia para mejorar la seguridad ciudadana, sensores de disparos de armas para que equipos médicos acudan a emergencias, detección de accidentes, entre muchos otros servicios y aplicaciones. El gran volumen de datos y telecomunicaciones de alta velocidad son habilitantes clave para el desarrollo sostenible y seguro de las Smart Cities.

Principales impulsos, gaps y lentitud en implementación del ecosistema habilitante.

Un buen impulso ha sido la Ley de Transformación Digital y Gobierno Digital de los últimos 5 años, sin embargo, no han sido suficientes para propiciar el desarrollo de servicios digitales e infraestructura habilitante. Su lenta implementación en las municipalidades a lo largo del país, ha atrasado más el desarrollo de servicios inteligentes que ayuden a mejorar la calidad de vida de los ciudadanos. Comunas como Peñalolén, con quienes colaboré por más de 3 años, han liderado la implementación de la Transformación Digital, siendo ejemplo para otros municipios del país.

El desarrollo de infraestructura habilitante, en cambio, ha sido el principal impulso que tiene Chile en más de 25 años con una red de telecomunicaciones que ha permitido el acceso a banda ancha en prácticamente todo el país y la aceleración del uso de medios digitales como redes sociales, pagos electrónicos, e-commerce, servicios con IA generativa o GenAI como ChatGPT, entre muchos otros. La columna vertebral de fibra óptica y despliegue de redes 5G son un activo esencial para el desarrollo de smart cities. Por esta razón, en este ámbito es tan importante el desarrollo de la Ley Marco de Ciberseguridad y la Ley de Protección de Datos, para brindar protección a la privacidad de las personas que comparten y consumen grandes volúmenes de datos, y dar seguridad al desarrollo de servicios digitales y la infraestructura crítica del país.

La formula para continuar la senda de desarrollo de las Smart Cities es la colaboración pública-privada. El desarrollo de proyectos pilotos impulsados por municipalidades y gobiernos regionales en colaboración con universidades y el sector privado, deben continuar siendo apoyados por una política de estado con recursos técnicos y financieros para implementar una hoja de ruta con hitos claros y alcanzables en el mediano plazo. Sin esto, seguiremos a la deriva con iniciativas aisladas y atrasados por 10 años más.

Mayores Limitantes que agravan la enorme diferencia en Smart Cities entre Chile y los países desarrollados.

Además de la falta de una política de estado en el desarrollo de Smart Cities con una hoja de ruta e hitos alcanzables para el mediano plazo, todavía son escasos los fondos de inversión que promuevan la colaboración pública-privada para implementar más infraestructura digital con sensores desplegados prácticamente en todo el territorio para habilitar servicios inteligentes. Además existe una brecha enorme en capital humano capacitado en tecnologías habilitantes para smart cities como 5G, desarrollo de servicios y aplicaciones, Inteligencia Artificial, Ciberseguridad y protección de datos. Aunque las nuevas leyes apuntan a la protección de la infraestructura crítica, aún queda mucho por hacer en su implementación para brindar protección de los grandes volúmenes de datos que se recolectan por la alta sensorización de los territorios que son la base para habilitar los servicios inteligentes.

Esta columna tiene como reseña la entrevista a Ricardo Seguel, Ph.D. director de DTC Cyber para el artículo publicado en el Diario Financiero el 24/07/2025.

“Octavia Rivas conversó con Ricardo Seguel, PhD., director DTC Cyber y director académico de la Universidad Adolfo Ibáñez, quien desde Londres nos comentó sobre legislaciones comparadas en materia de ciberseguridad, tanto en Europa como en Estados Unidos.”

Escuchar entrevista en Universo.cl

Conoce más de DTC Cyber

Hoy en CyberTech South America en el panel de conversación sobre Cybersecurity Talent, la brecha en habilidades y personas bien capacitadas, educación universitaria versus certificaciones de la industria. Gracias por la invitación El Mercurio y Cybertech.

Buena conversación, Carolina Pizarro Díaz y Juanita Duque. Gran organización María Angélica Joannon Ovalle.

Muchas gracias Amir Rapaport, Alex Horvitz.

Ver el sitio de la conferencia CyberTech South America en el siguiente link: https://lnkd.in/ewDWphGK

Conoce más de DTC Cyber

Inversión en Seguridad: Una Necesidad Imperante

Las filtraciones de datos representan un costo significativo para las empresas. Estudios indican que el gasto mundial en productos y servicios de ciberseguridad superará los 1,75 billones de dólares entre 2021 y 2025.

Expertos en la Materia

Ricardo Seguel, Ph.D., director en DTC Cyber y director del Magíster en Ciberseguridad de la Universidad Adolfo Ibáñez, enfatiza la necesidad de que las organizaciones evalúen sus capacidades y definan una hoja de ruta antes de incursionar en soluciones avanzadas como SASE (Secure Access Service Edge). En esta publicación él habla de "cumplimiento".

Principales Amenazas y Medidas de Protección

Las amenazas cibernéticas más comunes incluyen malware, phishing y ataques de denegación de servicio. Para contrarrestarlas, es esencial adoptar medidas como:

🔵 Seguridad de la red: Protección contra intrusos y malware oportunista.

🔵 Seguridad de las aplicaciones: Garantizar que el software esté libre de amenazas desde su diseño.

🔵 Seguridad de la información: Proteger la integridad y privacidad de los datos en almacenamiento y tránsito.

El Rol de la Alta Dirección

La ciberseguridad no es solo una cuestión técnica; requiere el compromiso de la alta dirección. La implementación de políticas de seguridad efectivas y la formación continua del personal son esenciales para crear una cultura organizacional resiliente frente a las amenazas digitales.

La ciberseguridad es una inversión crítica para la continuidad y éxito de las empresas en el entorno digital actual. La colaboración entre expertos, directivos y personal operativo es clave para construir defensas sólidas contra las crecientes amenazas cibernéticas.

Ver publicación en: cybertech.elmercurio

Conoce más de DTC Cyber

Conoce más de DTC Cyber