¿Están las empresas preparadas para mantener la operación cuando los sistemas que coordinan inventarios, bodegas y transporte dejan de responder? ¿Qué tan lejos llega su responsabilidad cuando el riesgo proviene de un proveedor? ¿Y qué cambia entonces para el sector con la nueva Ley Marco de Ciberseguridad?
A fines de 2024, Blue Yonder, una compañía global especializada en tecnología para la cadena de suministro, sufrió un ataque de ransomware que no solo afectó sus sistemas, sino que también impactó las operaciones de algunos de sus clientes. Entre las empresas que reportaron consecuencias estaban Starbucks, que debió recurrir a registros manuales para gestionar los horarios y las horas trabajadas de sus empleados; BIC, que informó retrasos en sus despachos; y Morrisons, una importante cadena de supermercados británica, que tuvo que operar con sistemas de respaldo luego que el ataque afectara la gestión de sus bodegas de productos frescos.
Si una amenaza de este tipo puede alcanzar incluso a un proveedor especializado, ¿qué tan preparadas están las demás empresas para enfrentar una situación similar?
La respuesta parece estar en un punto intermedio. Las organizaciones, en general, han tomado mayor conciencia del riesgo y han fortalecido sus defensas, pero la preparación todavía es desigual. Según el Global Cybersecurity Outlook 2026, elaborado por el World Economic Forum y Accenture a partir de respuestas de más de 800 líderes de 92 países, solo el 12% de los encuestados de América Latina y el Caribe considera que la ciberresiliencia de su organización supera sus necesidades. Un 62% señala que cumple con los requerimientos mínimos, mientras que el 25% la califica como insuficiente.
La situación se vuelve más compleja cuando la continuidad no depende únicamente de los sistemas propios. En la misma encuesta, el 65% de las grandes compañías señaló que las vulnerabilidades de terceros y de la cadena de suministro son uno de sus mayores desafíos para avanzar en ciberresiliencia, frente al 54% registrado el año anterior.
Si bien la integración de sistemas genera múltiples ventajas -mayor visibilidad, rapidez y automatización de tareas- también abre nuevas vías por las cuales una interrupción puede avanzar entre empresas.
Hoy en día, un ataque no se limita a que una plataforma deje de funcionar; también puede exponer información comercial, bloquear el acceso a datos o alterar registros sobre inventarios, ubicaciones y despachos. En cualquiera de estos casos, una amenaza digital termina convirtiéndose en una dificultad operacional: pedidos que no pueden procesarse, productos que dejan de estar visibles, rutas que no se asignan o carga que permanece detenida.
El riesgo, además, no se concentra exclusivamente en las plataformas centrales. Lectores y dispositivos móviles, equipos GPS, sensores de temperatura y sistemas de control de acceso integrados a la operación también pueden verse afectados. En ocasiones, los datos pueden seguir disponibles, pero dejar de ser confiables, lo que podría alterar rutas, condiciones de transporte o decisiones sobre la carga.
Por eso, la preparación no debería medirse únicamente por la capacidad de impedir un ataque. También debiera considerar aspectos como cuánto demora una empresa en detectarlo, qué tan rápido puede aislar los sistemas comprometidos, qué funciones logra mantener y cuánto tiempo necesita para recuperar información confiable. Desde esa perspectiva, más que “garantizar” inmunidad, la ciberresiliencia debe apuntar a evitar que un incidente termine paralizando el conjunto de la operación.
UN DESAFÍO QUE EXCEDE AL ÁREA DE TI
Y aunque este cambio de mirada puede parecer evidente, todavía no es transversal en las organizaciones. De acuerdo a la Encuesta Global de Confianza Digital 2025 de PwC, realizada a más de 4 mil ejecutivos de 77 países, solo el 2% había implementado medidas de ciberresiliencia en todas las áreas evaluadas y apenas un 35% contaba con un plan de recuperación aplicado a toda la empresa.
Las cifras resultan preocupantes, en especial si se tiene en cuenta que recuperar un servidor no equivale necesariamente a recuperar toda la operación. Por eso, antes de que ocurra un incidente, la compañía necesita saber qué procesos deben restablecerse primero, cuánto tiempo puede funcionar sin ellos y qué alternativas podrá utilizar mientras los sistemas permanezcan fuera de servicio. También debe definir quién puede decidir la detención o reactivación de una plataforma y cómo se coordinará con clientes y proveedores.
Estas decisiones, por supuesto, no corresponden únicamente a los equipos tecnológicos. Operaciones puede identificar los procesos que no pueden detenerse; Logística, los pedidos y despachos prioritarios; Compras, los proveedores de los cuales depende la continuidad; y Comunicaciones, la información que deberá entregarse a clientes y colaboradores. En tanto, el rol de la alta dirección debiera ser conectar esas capacidades y establecer hasta qué nivel de interrupción está preparada la empresa para responder.
Estas exigencias también pueden influir indirectamente en empresas que no se encuentran reguladas. Un transportista, operador de bodegas o proveedor tecnológico podría recibir nuevos requerimientos de sus clientes si participa en un proceso crítico o tiene acceso a sus sistemas.
Durante el primer trimestre de 2026, la ANCI recibió 124 reportes de incidentes o ciberataques. Los organismos del Estado concentraron 54 reportes; los prestadores de servicios digitales, 26; y los proveedores de infraestructura digital, 15. Aunque el boletín no entrega una cifra específica para logística, estos últimos sostienen plataformas y comunicaciones utilizadas por numerosas operaciones.
Entre las técnicas más utilizadas se encuentran el uso indebido de cuentas legítimas, el phishing, el cifrado de datos para afectar la operación y la denegación de servicio. También se identificó un actor (GRAM-5A) que extrae información mediante aplicaciones expuestas a internet y credenciales válidas. Es decir, un atacante no siempre necesita vulnerar directamente un servidor: también puede ingresar utilizando la identidad de un usuario autorizado.
PREPARARSE JUNTO A LOS PROVEEDORES
Casos como el de Blue Yonder muestran que una empresa puede fortalecer sus propios sistemas y aun así seguir expuesta a través de las plataformas y servicios que utiliza. A medida que las cadenas se integran, los límites entre la infraestructura tecnológica propia y la de terceros se vuelven menos claros. Un proveedor puede tener acceso remoto, administrar aplicaciones críticas o concentrar información utilizada simultáneamente por numerosos clientes.
Teniendo en cuenta esta nueva realidad, las organizaciones con mayor nivel de preparación ya están abordando esta dependencia desde antes de contratar. Según el Global Cybersecurity Outlook 2026, el 70% de los CEO de empresas altamente resilientes incorpora a sus equipos de seguridad en los procesos de compra, frente al 31% de las organizaciones con menor preparación. Asimismo, un 59% evalúa la madurez de sus proveedores y un 44% realiza simulaciones o ejercicios de recuperación junto con sus socios. Entre las empresas menos resilientes, esta última práctica alcanza solo el 6%.
Esto no significa exigir el mismo nivel de responsabilidad o inversión a todos los participantes de la cadena. El punto de partida es determinar previamente quiénes están a cargo de procesos críticos y acordar en conjunto cómo van a responder. Por ejemplo, tener claro cómo comunicarán un incidente, qué alternativas podrán ofrecer, cuánto podrían demorar en recuperar el servicio y de qué manera colaborarán para reducir el impacto. Asimismo, es fundamental identificar qué dependencias que podrían comprometer la continuidad.
Las experiencias de empresas que ya han enfrentado este tipo de situaciones muestran que el costo de un ciberataque va mucho más allá del rescate exigido o de la reparación de los sistemas. Cuando la información deja de estar disponible, la consecuencia se traslada rápidamente hacia el almacenamiento, el transporte, la atención de clientes y el cumplimiento de los plazos.
Eso fue lo que ocurrió con Expeditors International. En febrero de 2022, el freight forwarder detectó un ataque y decidió apagar gran parte de sus sistemas operacionales a nivel global. La medida era necesaria para contener la amenaza, pero limitó temporalmente su capacidad para gestionar carga, realizar trámites aduaneros y operar servicios de distribución. En su reporte anual, la compañía registró cerca de US$47 millones en costos adicionales por demurrage, asociados a carga que no pudo procesar y retirar oportunamente de puertos y terminales. A ello se sumaron otros US$18 millones destinados a investigación, recuperación, asesorías y posibles reclamaciones. Experiencias como estas demuestran que calcular el riesgo solo a partir del costo de recuperar los sistemas afectados no permite dimensionar todo su alcance.
Otro ejemplo claro de este problema es el que vivió DP World Australia en noviembre de 2023. Tras detectar un acceso no autorizado, la compañía desconectó su red de internet para impedir que el incidente continuara propagándose. La decisión afectó las operaciones terrestres de sus terminales y generó una acumulación de 30 mil contenedores. Las actividades se reanudaron tres días después y los contenedores pendientes fueron procesados en un plazo de diez días.
En este caso, detener temporalmente la operación formó parte de la respuesta. La experiencia muestra que una empresa debe estar preparada para tomar decisiones difíciles, en ocasiones incluso antes de conocer completamente el alcance de la amenaza. Aislar un sistema puede reducir el daño, pero también exige tener criterios claros para priorizar carga, coordinarse con autoridades y clientes, y recuperar posteriormente la capacidad perdida.
LEY DE CIBERSEGURIDAD: LOS ÚLTIMOS AVANCES
Promulgada el 26 de marzo de 2024, la Ley Marco de Ciberseguridad (N° 21.663) comenzó a regir por etapas entre enero y marzo de 2025. La norma creó la Agencia Nacional de Ciberseguridad (ANCI) y estableció reglas para prevenir, reportar y responder a incidentes. Su propósito no es solo proteger información, sino también resguardar los sistemas de los que depende la continuidad de servicios considerados esenciales para el país.
En abril de 2026, la ANCI publicó una nómina preliminar de 372 instituciones que podrían ser calificadas como Operadores de Importancia Vital (OIV). Esta etapa incluyó el transporte terrestre, aéreo, ferroviario y marítimo; su infraestructura; combustibles y servicios postales y de mensajería. La nómina definitiva aún no había sido publicada al cierre de esta edición.
De acuerdo con la ley, las instituciones que prestan servicios esenciales deben adoptar medidas para prevenir y resolver incidentes, junto con reportar aquellos que puedan afectar de manera importante su operación. Si además son calificadas como OIV, tendrán obligaciones adicionales: gestionar permanentemente la seguridad de la información, contar con planes de continuidad operacional y ciberseguridad, probarlos mediante ejercicios y designar a un responsable ante la autoridad.
