PREPARAR · INCIDENTES Y SIMULACROS

Ensaya la crisis antes de vivirla

Plan, roles y simulacros de mesa con tu gerencia, tu directorio y tu equipo de TI: quién decide, a quién se avisa y qué se reporta, listo antes de necesitarlo.

Conversemos sobre tu preparación ¿Está pasando ahora?

Sala de reuniones preparada para un ejercicio: pizarra en blanco, carpetas cerradas sobre la mesa y un reloj en la pared. — Un ejercicio de mesa se prepara como una reunión, no como un examen.Escena conceptual generada con IA

Qué es

Un incidente se resuelve mejor si ya se ensayó

Preparamos a tu empresa para responder a un incidente de ciberseguridad: un fraude por correo, un ransomware que cifra tus sistemas, una fuga de datos personales o la caída de un proveedor crítico. Dejamos por escrito quién decide, quién coordina, a quién se avisa y qué se reporta, y lo ensayamos con las personas que tendrán que hacerlo.

Es preparación, no un servicio de emergencia. Si ya trabajamos contigo, en el contrato acordamos cómo te acompañamos cuando algo pasa.

Si está pasando ahora

Primero contén el daño. Después, prepárate

Aexis no es un servicio de emergencia

Si algo está pasando ahora: desde un equipo que no esté comprometido, cambia las claves, cierra todas las sesiones abiertas y activa el segundo factor en el correo; revisa si hay reglas que reenvían correos hacia fuera; avisa de inmediato a tu banco si hubo pagos; no borres correos ni registros, y llama a tu técnico o proveedor de TI. Si un equipo parece infectado, desconéctalo de la red. Puedes reportar el incidente al CSIRT Nacional llamando al 1510 o en csirt.gob.cl/reportar, aunque tu empresa no esté obligada. Si hubo un delito, como un fraude o una extorsión, puedes denunciarlo en una unidad de la PDI.

Si tu empresa presta servicios esenciales o es operador de importancia vital

La Ley N° 21.663 te exige enviar una alerta temprana al CSIRT Nacional dentro de tres horas desde que conoces un incidente que pueda tener efectos significativos (art. 9). La envía, por la plataforma de la ANCI, la persona que tu institución inscribió como encargada de reportar. Ver todos los plazos.

Es para ti si…

Si alguna de estas frases te suena

«El directorio preguntó qué haríamos si nos cifran los servidores, y nadie sabe quién decide qué.»
Dejamos por escrito quién declara el incidente, quién autoriza desconectar, quién habla con clientes y quién aprueba los gastos urgentes. Después lo ensayamos con el directorio, con registro de qué se supo, qué se decidió y qué queda pendiente.
«TI tiene su procedimiento, pero la gerencia nunca lo ha practicado.»
Llevamos el plan técnico de tu equipo a un ejercicio donde la gerencia entiende su rol y las decisiones que le tocan.
«Prestamos un servicio esencial y no sabemos si llegamos a la alerta de tres horas.»
Preparamos la ruta de reporte al CSIRT Nacional con responsables, reemplazos y plantillas, y la ponemos a prueba.
«Un cliente o la aseguradora nos pide un plan de respuesta a incidentes.»
Te entregamos un plan proporcional a tu empresa, ensayado y con registro de que se practicó.

Qué recibes

Un plan que sirve en el peor momento

Plan: Plan de respuesta a incidentes: cuándo se declara un incidente, cómo se escala, quién decide y cómo se registran las decisiones.
Roles: Quién decide, quién coordina y quién habla: gerencia, TI, proveedores, asesoría legal y comunicaciones, cada uno con su reemplazo.
Playbooks: Guías por escenario: el correo que pide cambiar la cuenta de pago, ransomware, fuga de datos personales y caída de un proveedor crítico.
Contactos: Lista de contactos y canales alternativos para cuando el correo no funcione: proveedores, banco, aseguradora, asesoría legal y CSIRT Nacional.
Reportes: Ruta de reporte con plazos, responsables y plantillas, si la Ley N° 21.663 o la Ley N° 21.719 te alcanzan.
Simulacros: Ejercicios de mesa con la gerencia y el directorio y, si lo necesitas, uno técnico con TI y tus proveedores.
Informe: Después de cada ejercicio: qué funcionó, qué decisión faltó y qué se corrige, con responsable y fecha.
Si algo pasa: Si lo acordamos en el contrato, coordinamos la respuesta con tu equipo y tus proveedores, acompañamos a la gerencia y al directorio en las decisiones y apoyamos los reportes que correspondan. El alcance fuera de horario también se acuerda en el contrato.

Hoja de un simulacro de mesa

Escenario: Viernes, 18:40. Los servidores del ERP aparecen cifrados y hay una nota de rescate. Facturación y despachos detenidos.
Participan: Gerencia general, finanzas, jefatura de TI, proveedor de TI y asesoría legal.
Se ensaya: Quién declara el incidente. Si se desconecta la red. Qué se les dice a clientes y trabajadores. Si corresponde reportar al CSIRT Nacional o a la Agencia de Protección de Datos Personales.
Lo que mostró: Nadie tenía el contacto de urgencia del proveedor de TI, y nunca se había medido cuánto toma recuperar el ERP desde el respaldo.
Decisiones: Lista de contactos con canal alternativo (administración). Prueba de recuperación del ERP (TI y su proveedor). Definir quién autoriza desconectar (gerencia general).

Ejemplo ilustrativo, no corresponde a un cliente real.

Simulacros de mesa

Se ensayan decisiones, no se evalúa a personas

En un simulacro de mesa, tu equipo recorre un incidente ficticio alrededor de una mesa: llegan noticias, se toman decisiones y se avisa a quien corresponde. No se tocan tus sistemas ni se interrumpe la operación.

No buscamos errores de alguien, sino decisiones que nadie sabía que le tocaban. Para el directorio, el ejercicio deja registro de qué se supo, qué se decidió y qué se supervisó.

Cómo se arma un ejercicio

Elegimos contigo un escenario creíble para tu operación y lo que el ejercicio debe dejar resuelto.
Acordamos quién participa según el objetivo: directorio, gerencia, TI, proveedores clave y asesoría legal.
Facilitamos el ejercicio y registramos cada decisión y cada duda.
Entregamos el informe con acciones, responsables y fechas, y acordamos cuándo se repite.

Ley N° 21.663 · plazos de reporte

Los plazos que fija la ley, con su fuente

La Ley N° 21.663, Marco de Ciberseguridad, obliga a las instituciones que prestan servicios esenciales y a los operadores de importancia vital (art. 4) a reportar al CSIRT Nacional los incidentes que puedan tener efectos significativos (art. 9). Son servicios esenciales los de los organismos del Estado, los prestados bajo concesión de servicio público y, entre otros, los de empresas privadas de electricidad, combustibles, agua potable y saneamiento, telecomunicaciones, infraestructura digital, servicios digitales y de TI gestionados por terceros, transporte, banca, servicios financieros y medios de pago, y salud (hospitales, clínicas, consultorios y centros médicos).

Un incidente tiene efecto significativo si puede interrumpir un servicio esencial, afectar la integridad física o la salud de las personas, o afectar sistemas con datos personales. Para medirlo se miran el número de personas afectadas, la duración y la extensión geográfica (art. 27).

3 horas: Alerta temprana al CSIRT Nacional, contada desde que tu institución toma conocimiento del incidente.
72 horas: Actualización con una evaluación inicial, la gravedad, el impacto y los indicadores de compromiso, si los hay. Si eres operador de importancia vital y se afecta tu servicio esencial, el plazo es de 24 horas.
7 días corridos: Sólo operadores de importancia vital: plazo máximo para adoptar un plan de acción, contado desde que conoces el incidente. El plan se informa al CSIRT Nacional apenas se adopta.
15 días corridos: Informe final, contado desde el envío de la alerta temprana. Si el incidente sigue en curso, se entrega un informe de situación, y el final dentro de 15 días corridos desde que se gestionó.

El reporte se envía por la plataforma de la ANCI, a cargo de la persona que tu institución inscribió como encargada de reportar (Instrucción General N° 1 de la ANCI). Preparar antes quién es el titular, quién lo reemplaza y qué información tendrá a mano es parte de este servicio.

Datos personales: la Ley N° 21.719 rige desde el 01.12.2026, salvo que se apruebe la postergación en trámite. Desde entonces, el responsable deberá reportar a la Agencia de Protección de Datos Personales, por los medios más rápidos posibles y sin dilaciones indebidas, las vulneraciones de seguridad que generen un riesgo razonable para los derechos y libertades de los titulares. Si afectan datos sensibles, de niños y niñas menores de catorce años o de obligaciones económicas, financieras, bancarias o comerciales, también deberá avisar a los titulares (art. 14 sexies de la Ley N° 19.628, introducido por la Ley N° 21.719).

¿Te aplica?

Lo revisamos contigo y con tu asesoría legal. Aexis no es un centro acreditado por la ANCI ni reemplaza a tu abogado: te ayudamos a llegar preparado a cada plazo.

Cómo empieza

De la conversación al primer ensayo

ConversarNos escribes a contacto@aexis.cl y te respondemos en 2 días hábiles. La primera conversación no tiene costo.
AcordarTe proponemos por escrito escenarios, participantes, entregables y valor, antes de contratar.
PrepararEscribimos el plan y los playbooks con tu equipo, partiendo por lo que ya existe.
EnsayarSimulacro, informe y mejoras con responsable. El plan queda en tus manos.

Con tu equipo

Trabajamos con tu equipo de TI, no sobre él

Tu equipo conoce los sistemas mejor que nadie. Nuestro trabajo es que la gerencia y el directorio sepan qué les toca decidir cuando algo pasa. Lo que llega al directorio, tu equipo lo conoce antes, con una sola excepción.

Lo que sigue siendo tuyo

La operación diaria y las decisiones técnicas.
La contención y la recuperación de tus sistemas, con tu equipo o tus proveedores.
El envío de los reportes, por la persona que tu institución inscribió ante la ANCI.

Lo que hacemos nosotros

Escribir el plan y los playbooks contigo, en el idioma de cada área.
Preparar y facilitar los simulacros.
Preparar contigo el contenido de los reportes y sus plazos.
Llevar a la gerencia las decisiones y los recursos pendientes, buscando causas y no culpables.

Qué no incluye

Lo que no hacemos, dicho antes

No somos un servicio de emergencia ni tenemos una línea 24/7.
No operamos monitoreo ni un SOC.
La investigación forense y la recuperación técnica las hacen tu equipo, tus proveedores o un especialista que se acuerde. Si lo acordamos en el contrato, nosotros coordinamos.
No reemplazamos a tu asesoría legal en la decisión de reportar ni en las comunicaciones con autoridades.
Los simulacros de mesa no tocan tus sistemas. Las pruebas técnicas se planifican y autorizan por separado.
No prometemos que no habrá incidentes. Te dejamos preparado para responder mejor.

Para tu equipo técnico

El detalle, en el idioma de TI

Marcos, plazos y referencias

Ley N° 21.663, art. 9 · alerta temprana 3 h · actualización 72 h (24 h si un OIV ve afectado su servicio esencial) · plan de acción OIV en un máximo de 7 días corridos desde el conocimiento · informe final 15 días corridos desde la alerta temprana
Ley N° 21.663, art. 27 · efecto significativo: continuidad de un servicio esencial, integridad física o salud de las personas, sistemas con datos personales · criterios: personas afectadas, duración, extensión geográfica · el reporte omite datos personales (la dirección IP no se considera dato personal para este efecto)
Ley N° 21.663, art. 8, letras d y e · sólo OIV · revisiones, ejercicios, simulacros y análisis continuos de redes y sistemas · medidas oportunas para reducir el impacto y la propagación de un incidente, incluida la restricción de acceso a sistemas
Reglamento de reporte: DS N° 295 de 2024 · plataforma de la ANCI con encargado titular y subrogantes (Instrucción General N° 1, ANCI, 04.06.2025)
Ley N° 19.628, art. 14 sexies (introducido por la Ley N° 21.719, rige desde el 01.12.2026 salvo postergación) · reporte de vulneraciones a la Agencia sin dilaciones indebidas · registro de cada vulneración · aviso a titulares si hay datos sensibles, de menores de catorce años o de obligaciones económicas, financieras, bancarias o comerciales
NIST SP 800-61 Rev. 3 (abril de 2025) · respuesta a incidentes como perfil comunitario del CSF 2.0
NIST CSF 2.0 · GV.RR · ID.IM-02 (mejoras desde ejercicios, también con proveedores) · ID.IM-04 · RS.MA · RS.AN · RS.CO · RS.MI · RC.RP · RC.CO
ISO/IEC 27001:2022, Anexo A · 5.24 a 5.28 (gestión de incidentes y recolección de evidencia) · 6.8 (reporte de eventos)
NIST SP 800-84 · diseño de ejercicios de mesa y de programas de prueba, entrenamiento y ejercicios
Escenarios con MITRE ATT&CK v20 · T1566 Phishing · T1684.001 Suplantación (antes T1656) · T1078 Cuentas válidas · T1486 Cifrado de datos para impacto · T1490 Inhibir la recuperación del sistema
Evidencia · preservación y cadena de custodia coordinadas con tu asesoría legal y tu proveedor

Preguntas frecuentes

Lo que suelen preguntarnos antes de empezar

¿Pueden ayudarnos si nos están atacando ahora?

No somos un servicio de emergencia. Sigue los pasos inmediatos, llama a tu técnico o proveedor de TI y, si quieres, reporta al CSIRT Nacional. Después te ayudamos a entender qué pasó y a prepararte para que no se repita. Si ya trabajamos contigo, el apoyo durante un incidente es el que acordamos en el contrato.

¿Mi empresa está obligada a reportar al CSIRT Nacional?

Si prestas un servicio esencial o eres operador de importancia vital, sí, ante incidentes que puedan tener efectos significativos (Ley N° 21.663, arts. 4 y 9). La lista de servicios esenciales incluye, entre otros, los servicios digitales y de TI gestionados por terceros. Lo revisamos contigo y con tu asesoría legal. Aunque no estés obligado, puedes reportar.

¿El simulacro evalúa a mi equipo de TI?

No. Ensaya las decisiones de toda la empresa, sobre todo las de la gerencia. Lo que aparece se escribe como decisiones y recursos pendientes, buscando causas y no culpables, y tu equipo conoce el informe antes que el directorio.

¿Una pyme necesita esto?

Sí, en su versión proporcional: una guía de una página (a quién llamar, qué desconectar, cómo confirmar un pago y a quién avisar) y un ejercicio breve con la gerencia. Si recién partes, el Diagnóstico inicial es un buen primer paso.

¿Es parte del CISO as a Service?

Puede serlo. Si contratas un CISO as a Service, la preparación ante incidentes entra en su plan de trabajo y, si algo pasa, tu CISO coordina la respuesta en los términos del contrato.

¿Cuánto cuesta?

Depende del alcance: cuántos escenarios, cuántos participantes y si incluye al directorio. Te proponemos alcance y valor por escrito antes de contratar, y la primera conversación no tiene costo.

Sigue por aquí

Lo que suele venir después

Conversemos

Prepara a tu empresa antes de necesitarlo

Cuéntanos qué escenario te preocupa o qué te pidió tu directorio. Escríbenos a contacto@aexis.cl: te respondemos en 2 días hábiles.

Conversemos sobre tu preparación

Fuentes

Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.