La Brecha de Cobertura: la infraestructura crítica de Chile frente a USA, UE y Reino Unido

Entre los OIVs que operan infraestructura de impacto en el mundo físico — energía, salud, banca, telecomunicaciones, combustibles, agua, transporte y administración del Estado — menos de diez publican un canal verificable de divulgación. Los cuatro grandes bancos y ambas telecomunicaciones incumbentes carecen de uno por completo.

«La brecha de cobertura no mide cuán segura es la infraestructura crítica chilena. Mide algo más preciso: si la próxima vulnerabilidad que alguien descubra tiene a dónde llegar. Hoy, para el 98,3% del perímetro regulado, no lo tiene.»

David Mellafe Z. · Reizan · Investigación Independiente de Seguridad

La autenticación de correo (SPF / DKIM / DMARC) es, en términos prácticos, lo que impide que un delincuente envíe correos que aparentan provenir del dominio exacto de una institución de confianza. Cuando está mal configurada en la gran mayoría del perímetro regulado, queda abierta la puerta a las campañas de suplantación de identidad (phishing) que falsifican a bancos y servicios del Estado para defraudar a la ciudadanía.

No es un riesgo teórico: los correos fraudulentos que se hacen pasar por instituciones bancarias y públicas chilenas —un fenómeno que la ciudadanía enfrenta a diario y que las autoridades de ciberseguridad han advertido reiteradamente— se apoyan precisamente en esta debilidad estructural. El 84% de mala configuración no es un dato técnico abstracto: es la condición que permite que el fraude por suplantación siga operando.

El estudio compara a Chile con cinco jurisdicciones que cuentan con una autoridad pública de ciberseguridad establecida y un mandato vinculante o de cumplir-o-explicar. En cada una, la cobertura del canal de divulgación en el perímetro de infraestructura crítica supera el 90% — en todos los casos, después de una intervención regulatoria vinculante. En Chile, con el marco instalado pero sin esa intervención, la cifra equivalente es 1,7%.

El rezago de ocho años no es una condena. Los países liderantes demuestran que, con un mandato vinculante equivalente a la Directiva 18-01 de CISA, el cierre de la brecha ocurre en doce a veinticuatro meses. Chile llega tarde, pero precisamente por eso puede comprimir en un solo paso casi una década de iteración regulatoria, adoptando directamente la mejor práctica internacional. El estudio propone una hoja de ruta de cierre de bajo costo que ANCI podría activar dentro de su autoridad estatutaria vigente, sin necesidad de acción legislativa.

Nota de comparabilidad: los universos comparados no son estrictamente equivalentes (difieren en tamaño, definición y método de medición). La comparación debe leerse como una brecha direccional en la dimensión de mandatos de autenticación de correo, no como un delta cuantitativo exacto. El detalle completo está en el paper.

El estudio es investigación académica independiente. No tiene cliente, no fue encargado por el Estado ni por ningún operador, y no vende un producto a las entidades que mide. Esa independencia es deliberada y verificable:

El análisis se realizó exclusivamente mediante observación de información pública, sin ninguna interacción con los sistemas de los operadores más allá de lo que haría un visitante común de un sitio web. Se enmarca conforme a los principios de ISO/IEC 29147:2018 en materia de divulgación responsable y dentro de los límites de la Ley 21.459 (delitos informáticos de Chile). Coherente con esa práctica de divulgación responsable, el estudio reporta solo cifras agregadas sobre el conjunto completo de OIV: no nombra a ningún operador individual, de modo que el documento informa la política pública sin funcionar como una lista de objetivos.

Los 915 OIVs no son entidades abstractas: son los hospitales, los bancos, las transmisoras eléctricas, las telecomunicaciones, las sanitarias y los organismos del Estado de los que depende la vida cotidiana de todos los chilenos. El estudio documenta que el sector financiero y el de telecomunicaciones — lejos de ir adelante — concentran los hallazgos de mayor severidad, y que el sector salud presenta la mayor densidad de hallazgos en relación a su tamaño, consistente con su reconocido subfinanciamiento.

La brecha importa porque define el destino de la próxima vulnerabilidad descubierta en cualquiera de esas organizaciones. Cuando no existe un canal definido de reporte, un hallazgo legítimo de un investigador de buena fe simplemente cae al suelo — o, en el peor caso, termina en el mercado gris. El estudio enmarca el momento actual como una ventana de oportunidad: las condiciones para implementar y adoptar un mandato de divulgación son más favorables justamente ahora, mientras el perímetro regulado aún no es objeto de campañas de ataque masivas.

El paper completo (en inglés) es el artefacto académico canónico y la fuente de verdad para todas las cifras y la metodología. Este resumen se distribuye bajo los mismos términos de atribución (CC-BY-4.0).

← Volver a investigación