El artículo 11 letras ñ) y j) de la Ley 21.663 exige que las organizaciones implementen un programa continuo de revisión, ejercicios y simulacros de sus redes y sistemas para detectar acciones o programas que comprometan la ciberseguridad, con comunicación formal al CSIRT Nacional. No es un evento anual: es un programa permanente.
Las amenazas evolucionan constantemente. Un análisis de vulnerabilidades realizado hace seis meses puede ser completamente obsoleto hoy. La ley reconoce esta realidad exigiendo vigilancia activa y permanente, no revisiones puntuales que solo generan una foto estática de un momento específico. Un programa continuo permite detectar amenazas emergentes, validar que los controles siguen siendo efectivos y mantener al equipo preparado para responder.
Monitoreo activo y periódico de la infraestructura para detectar configuraciones inseguras, accesos no autorizados, software desactualizado y comportamientos anómalos. No es lo mismo que tener un firewall: es verificar activamente que los controles funcionan.
Evaluaciones técnicas controladas que simulan ataques reales para identificar vulnerabilidades explotables antes de que un atacante lo haga. Deben documentarse con alcance, metodología, hallazgos y plan de remediación.
Ejercicios de mesa (tabletop exercises) y simulacros operacionales que ponen a prueba la capacidad de la organización para activar sus protocolos de respuesta. Validan que los roles, comunicaciones y tiempos de reacción funcionen en la práctica.
Canal establecido y probado para reportar hallazgos relevantes al CSIRT Nacional. No basta con tener un correo de contacto: debe existir un procedimiento que defina qué se reporta, cuándo y quién lo hace.
Cada ejercicio, revisión o simulacro debe generar un registro con fecha, participantes, escenario, resultados y acciones correctivas. Esta documentación es evidencia directa de cumplimiento ante la ANCI.
Se realizan revisiones solo cuando ocurre un incidente o cuando un cliente lo exige. Sin periodicidad ni documentación formal.
Se ejecutan pruebas de penetración y revisiones anuales o semestrales. Existe documentación, pero los simulacros no se realizan o son informales.
Programa anual con calendario definido, pruebas técnicas periódicas, simulacros de mesa documentados, comunicación formal al CSIRT y lecciones aprendidas integradas al SGSI. Esto es lo que la ley espera.