SUSESO · Ciberseguridad

La SUSESO pide el primer reporte dentro de una hora.
Después vienen las 6 horas y los 10 días hábiles.

Disponible hoy

Dos cuerpos distintos de la Superintendencia de Seguridad Social exigen casi lo mismo: el numeral 6.1.12 del Compendio de las Cajas de Compensación (Ley 18.833) y el Título V del Compendio del Seguro de la Ley 16.744, que rige a las mutualidades de empleadores y al Instituto de Seguridad Laboral. En ambos, el ciberincidente se reporta por el sistema GRIS en tres tiempos, y cada año se remite una autoevaluación que conoce el directorio. Andin mantiene el registro continuo del que salen esos reportes.

Qué exigen

Tres reportes contra reloj, una autoevaluación anual y una bitácora sin umbral.

1 hora, 6 horas, 10 días hábiles

Alerta, informe parcial e informe de resolución, los tres por el sistema GRIS. Los tres plazos corren desde la toma de conocimiento del ciberincidente, y solo el último está calificado en días hábiles.

La autoevaluación no cae el mismo día

Es anual, la conoce el directorio y se refiere al año calendario anterior. Las Cajas la remiten a más tardar el último día hábil de marzo; las mutualidades y el ISL, el último día de enero.

La bitácora no tiene umbral

Los tres reportes se exigen para los ciberincidentes cuyo nivel de impacto o peligrosidad esté en Alto, Muy Alto o Crítico. Son dos ejes que se clasifican por separado, y los dos cuerpos piden evaluar ambos antes de decidir si el incidente se reporta. La bitácora, en cambio, registra todos los ciberincidentes identificados, sin umbral.

Las tablas de niveles no están en el mismo lugar: en las Cajas las fijan anexos que esta ficha no cubre, y en el Título V están en el propio capítulo de reporte de ciberincidentes. Los dos textos piden además que la información del reporte se recopile con la rapidez que amerita y sin afectar la estrategia de contención del incidente. Eso solo funciona si el inventario, los responsables y la evidencia ya estaban registrados. A la hora no hay tiempo de levantar nada.

A quién le aplica

Dos destinatarios, no uno.

Conviene separarlos antes de armar cualquier plan de cumplimiento, porque los dos textos se parecen lo suficiente como para que alguien los trate como uno solo:

Un matiz del Título V que conviene leer antes de presupuestar: su Capítulo I declara que el marco general son buenas prácticas, salvo las instrucciones en que se indique expresamente su carácter obligatorio, el reporte de ciberincidentes y el reporte anual de autoevaluación. Esos dos últimos son obligatorios por declaración del propio texto. El mismo Título V agrega, en su letra de elementos de gestión, una instrucción sobre proveedores: respecto de los activos de la organización que quedan accesibles a ellos, se debe acordar con ellos un nivel de seguridad de la información y de prestación de servicios acorde a la importancia de esos activos. Si además busca el marco general de ciberseguridad chileno y el reporte ante la ANCI, esa ficha está en Ley 21.663.

Cómo ayuda Andin

Lo que el formulario pide tiene que estar registrado antes.

GRC continuo

Disponible hoy

El reporte de alerta pide un resumen ejecutivo, la hora de detección, los recursos tecnológicos afectados y el tipo de ciberincidente. El informe de las 6 horas suma los activos afectados con su nivel de sensibilidad y los grupos de interés involucrados. El de los 10 días hábiles pide cronología, horas hombre y estimación de impacto. Nada de eso se levanta durante la contención. Andin mantiene ese material como registro continuo, para que completar el formulario sea leer lo que ya está.

Andin genera y conserva la evidencia. El reporte por GRIS lo presenta su organización, y la certificación del sistema de gestión de seguridad de la información, que el 6.1.12 contempla para las Cajas y el Título V no menciona, la emiten entidades externas a la organización y especialistas en la materia.

Preguntas frecuentes

Lo que se suele preguntar.

¿Cuánto tiempo tenemos para reportar un ciberincidente?

Son tres reportes escalonados por el sistema GRIS, y los tres se cuentan desde la toma de conocimiento del ciberincidente, no desde su ocurrencia. El reporte de alerta va dentro del plazo de 1 hora. El informe parcial, a las 6 horas — el texto de las Cajas lo formula como antes de 6 horas. El informe de resolución, a los 10 días hábiles: es el único de los tres que ambos cuerpos califican expresamente como hábiles. La resolución del incidente en sí no tiene plazo cuantificado: los dos textos solo exigen hacerla de manera oportuna, que es cosa distinta de reportar a tiempo.

Somos una Caja de Compensación. ¿Qué tiene que ver con nosotros el Compendio de la Ley 16.744?

Nada directamente: son dos cuerpos distintos con destinatarios distintos. El numeral 6.1.12 rige a las Cajas de Compensación de Asignación Familiar. El Título V del Compendio del Seguro de la Ley 16.744 rige a las mutualidades de empleadores y al Instituto de Seguridad Laboral. Las obligaciones se parecen mucho, pero las fechas no: la autoevaluación anual de las Cajas se remite a más tardar el último día hábil de marzo, y la de mutualidades e ISL, el último día de enero. Aplicar la fecha del cuerpo equivocado corre el envío dos meses.

¿Andin presenta el reporte en GRIS por nosotros?

No. El 6.1.12 es explícito en que la obligación de reportar se entiende cumplida cuando la propia organización informa el ciberincidente por el sistema GRIS, mediante los formularios habilitados. Ese acto es suyo. Andin mantiene el registro del que salen los datos que el formulario pide, para que completarlo sea recoger información que ya existe.

¿Reemplaza a nuestro equipo de seguridad o a la contraparte formal ante la Superintendencia?

No. El 6.1.12 obliga a las Cajas a designar dentro de la organización a un profesional titular y a su respectivo suplente como contraparte formal de la Superintendencia de Seguridad Social. El Título V describe la misma figura, pero como buena práctica, no como obligación. Andin es la infraestructura que esa persona y su equipo usan: mantiene vivos el registro de controles, la bitácora de incidentes y la evidencia con la que se responde.

El registro que necesita a la hora del incidente se construye antes.

El registro continuo de Andin está disponible hoy. Conversemos cómo dejar sus reportes de GRIS y su autoevaluación anual apoyados en evidencia acumulada durante todo el año.

Conversar con Andin