1 hora, 6 horas, 10 días hábiles
Alerta, informe parcial e informe de resolución, los tres por el sistema GRIS. Los tres plazos corren desde la toma de conocimiento del ciberincidente, y solo el último está calificado en días hábiles.
SUSESO · Ciberseguridad
Dos cuerpos distintos de la Superintendencia de Seguridad Social exigen casi lo mismo: el numeral 6.1.12 del Compendio de las Cajas de Compensación (Ley 18.833) y el Título V del Compendio del Seguro de la Ley 16.744, que rige a las mutualidades de empleadores y al Instituto de Seguridad Laboral. En ambos, el ciberincidente se reporta por el sistema GRIS en tres tiempos, y cada año se remite una autoevaluación que conoce el directorio. Andin mantiene el registro continuo del que salen esos reportes.
Qué exigen
Alerta, informe parcial e informe de resolución, los tres por el sistema GRIS. Los tres plazos corren desde la toma de conocimiento del ciberincidente, y solo el último está calificado en días hábiles.
Es anual, la conoce el directorio y se refiere al año calendario anterior. Las Cajas la remiten a más tardar el último día hábil de marzo; las mutualidades y el ISL, el último día de enero.
Los tres reportes se exigen para los ciberincidentes cuyo nivel de impacto o peligrosidad esté en Alto, Muy Alto o Crítico. Son dos ejes que se clasifican por separado, y los dos cuerpos piden evaluar ambos antes de decidir si el incidente se reporta. La bitácora, en cambio, registra todos los ciberincidentes identificados, sin umbral.
Las tablas de niveles no están en el mismo lugar: en las Cajas las fijan anexos que esta ficha no cubre, y en el Título V están en el propio capítulo de reporte de ciberincidentes. Los dos textos piden además que la información del reporte se recopile con la rapidez que amerita y sin afectar la estrategia de contención del incidente. Eso solo funciona si el inventario, los responsables y la evidencia ya estaban registrados. A la hora no hay tiempo de levantar nada.
A quién le aplica
Conviene separarlos antes de armar cualquier plan de cumplimiento, porque los dos textos se parecen lo suficiente como para que alguien los trate como uno solo:
Un matiz del Título V que conviene leer antes de presupuestar: su Capítulo I declara que el marco general son buenas prácticas, salvo las instrucciones en que se indique expresamente su carácter obligatorio, el reporte de ciberincidentes y el reporte anual de autoevaluación. Esos dos últimos son obligatorios por declaración del propio texto. El mismo Título V agrega, en su letra de elementos de gestión, una instrucción sobre proveedores: respecto de los activos de la organización que quedan accesibles a ellos, se debe acordar con ellos un nivel de seguridad de la información y de prestación de servicios acorde a la importancia de esos activos. Si además busca el marco general de ciberseguridad chileno y el reporte ante la ANCI, esa ficha está en Ley 21.663.
Cómo ayuda Andin
El reporte de alerta pide un resumen ejecutivo, la hora de detección, los recursos tecnológicos afectados y el tipo de ciberincidente. El informe de las 6 horas suma los activos afectados con su nivel de sensibilidad y los grupos de interés involucrados. El de los 10 días hábiles pide cronología, horas hombre y estimación de impacto. Nada de eso se levanta durante la contención. Andin mantiene ese material como registro continuo, para que completar el formulario sea leer lo que ya está.
Andin genera y conserva la evidencia. El reporte por GRIS lo presenta su organización, y la certificación del sistema de gestión de seguridad de la información, que el 6.1.12 contempla para las Cajas y el Título V no menciona, la emiten entidades externas a la organización y especialistas en la materia.
Preguntas frecuentes
Son tres reportes escalonados por el sistema GRIS, y los tres se cuentan desde la toma de conocimiento del ciberincidente, no desde su ocurrencia. El reporte de alerta va dentro del plazo de 1 hora. El informe parcial, a las 6 horas — el texto de las Cajas lo formula como antes de 6 horas. El informe de resolución, a los 10 días hábiles: es el único de los tres que ambos cuerpos califican expresamente como hábiles. La resolución del incidente en sí no tiene plazo cuantificado: los dos textos solo exigen hacerla de manera oportuna, que es cosa distinta de reportar a tiempo.
Nada directamente: son dos cuerpos distintos con destinatarios distintos. El numeral 6.1.12 rige a las Cajas de Compensación de Asignación Familiar. El Título V del Compendio del Seguro de la Ley 16.744 rige a las mutualidades de empleadores y al Instituto de Seguridad Laboral. Las obligaciones se parecen mucho, pero las fechas no: la autoevaluación anual de las Cajas se remite a más tardar el último día hábil de marzo, y la de mutualidades e ISL, el último día de enero. Aplicar la fecha del cuerpo equivocado corre el envío dos meses.
No. El 6.1.12 es explícito en que la obligación de reportar se entiende cumplida cuando la propia organización informa el ciberincidente por el sistema GRIS, mediante los formularios habilitados. Ese acto es suyo. Andin mantiene el registro del que salen los datos que el formulario pide, para que completarlo sea recoger información que ya existe.
No. El 6.1.12 obliga a las Cajas a designar dentro de la organización a un profesional titular y a su respectivo suplente como contraparte formal de la Superintendencia de Seguridad Social. El Título V describe la misma figura, pero como buena práctica, no como obligación. Andin es la infraestructura que esa persona y su equipo usan: mantiene vivos el registro de controles, la bitácora de incidentes y la evidencia con la que se responde.
El registro continuo de Andin está disponible hoy. Conversemos cómo dejar sus reportes de GRIS y su autoevaluación anual apoyados en evidencia acumulada durante todo el año.
Conversar con Andin