\u00bfEst\u00e1n las empresas preparadas para mantener la operaci\u00f3n cuando los sistemas que coordinan inventarios, bodegas y transporte dejan de responder? \u00bfQu\u00e9 tan lejos llega su responsabilidad cuando el riesgo proviene de un proveedor? \u00bfY qu\u00e9 cambia entonces para el sector con la nueva Ley Marco de Ciberseguridad?<\/p>\n
A fines de 2024, Blue Yonder, una compa\u00f1\u00eda global especializada en tecnolog\u00eda para la cadena de suministro, sufri\u00f3 un ataque de ransomware que no solo afect\u00f3 sus sistemas, sino que tambi\u00e9n impact\u00f3 las operaciones de algunos de sus clientes. Entre las empresas que reportaron consecuencias estaban Starbucks, que debi\u00f3 recurrir a registros manuales para gestionar los horarios y las horas trabajadas de sus empleados; BIC, que inform\u00f3 retrasos en sus despachos; y Morrisons, una importante cadena de supermercados brit\u00e1nica, que tuvo que operar con sistemas de respaldo luego que el ataque afectara la gesti\u00f3n de sus bodegas de productos frescos.<\/p>\n
Si una amenaza de este tipo puede alcanzar incluso a un proveedor especializado, \u00bfqu\u00e9 tan preparadas est\u00e1n las dem\u00e1s empresas para enfrentar una situaci\u00f3n similar?<\/p>\n
La respuesta parece estar en un punto intermedio. Las organizaciones, en general, han tomado mayor conciencia del riesgo y han fortalecido sus defensas, pero la preparaci\u00f3n todav\u00eda es desigual. Seg\u00fan el Global Cybersecurity Outlook 2026, elaborado por el World Economic Forum y Accenture a partir de respuestas de m\u00e1s de 800 l\u00edderes de 92 pa\u00edses,\u00a0 solo el 12% de los encuestados de Am\u00e9rica Latina y el Caribe considera que la ciberresiliencia de su organizaci\u00f3n supera sus necesidades. Un 62% se\u00f1ala que cumple con los requerimientos m\u00ednimos, mientras que el 25% la califica como insuficiente.<\/p>\n
La situaci\u00f3n se vuelve m\u00e1s compleja cuando la continuidad no depende \u00fanicamente de los sistemas propios. En la misma encuesta, el 65% de las grandes compa\u00f1\u00edas se\u00f1al\u00f3 que las vulnerabilidades de terceros y de la cadena de suministro son uno de sus mayores desaf\u00edos para avanzar en ciberresiliencia, frente al 54% registrado el a\u00f1o anterior.<\/p>\n
Si bien la integraci\u00f3n de sistemas genera m\u00faltiples ventajas -mayor visibilidad, rapidez y automatizaci\u00f3n de tareas- \u00a0tambi\u00e9n abre nuevas v\u00edas por las cuales una interrupci\u00f3n puede avanzar entre empresas.<\/p>\n
Hoy en d\u00eda, un ataque no se limita a que una plataforma deje de funcionar; tambi\u00e9n puede exponer informaci\u00f3n comercial, bloquear el acceso a datos o alterar registros sobre inventarios, ubicaciones y despachos. En cualquiera de estos casos, una amenaza digital termina convirti\u00e9ndose en una dificultad operacional: pedidos que no pueden procesarse, productos que dejan de estar visibles, rutas que no se asignan o carga que permanece detenida.<\/p>\n
El riesgo, adem\u00e1s, no se concentra exclusivamente en las plataformas centrales. Lectores y dispositivos m\u00f3viles, equipos GPS, sensores de temperatura y sistemas de control de acceso integrados a la operaci\u00f3n tambi\u00e9n pueden verse afectados. En ocasiones, los datos pueden seguir disponibles, pero dejar de ser confiables, lo que podr\u00eda alterar rutas, condiciones de transporte o decisiones sobre la carga.<\/p>\n
Por eso, la preparaci\u00f3n no deber\u00eda medirse \u00fanicamente por la capacidad de impedir un ataque. Tambi\u00e9n debiera considerar aspectos como cu\u00e1nto demora una empresa en detectarlo, qu\u00e9 tan r\u00e1pido puede aislar los sistemas comprometidos, qu\u00e9 funciones logra mantener y cu\u00e1nto tiempo necesita para recuperar informaci\u00f3n confiable. Desde esa perspectiva, m\u00e1s que \u201cgarantizar\u201d inmunidad, la ciberresiliencia debe apuntar a evitar que un incidente termine paralizando el conjunto de la operaci\u00f3n.<\/p>\n
Y aunque este cambio de mirada puede parecer evidente, todav\u00eda no es transversal en las organizaciones. De acuerdo a la Encuesta Global de Confianza Digital 2025 de PwC, realizada a m\u00e1s de 4 mil \u00a0ejecutivos de 77 pa\u00edses, solo el 2% hab\u00eda implementado medidas de ciberresiliencia en todas las \u00e1reas evaluadas y apenas un 35% contaba con un plan de recuperaci\u00f3n aplicado a toda la empresa.<\/p>\n
Las cifras resultan preocupantes, en especial si se tiene en cuenta que recuperar un servidor no equivale necesariamente a recuperar toda la operaci\u00f3n. Por eso, antes de que ocurra un incidente, la compa\u00f1\u00eda necesita saber qu\u00e9 procesos deben restablecerse primero, cu\u00e1nto tiempo puede funcionar sin ellos y qu\u00e9 alternativas podr\u00e1 utilizar mientras los sistemas permanezcan fuera de servicio. Tambi\u00e9n debe definir qui\u00e9n puede decidir la detenci\u00f3n o reactivaci\u00f3n de una plataforma y c\u00f3mo se coordinar\u00e1 con clientes y proveedores.<\/p>\n
Estas decisiones, por supuesto, no corresponden \u00fanicamente a los equipos tecnol\u00f3gicos. Operaciones puede identificar los procesos que no pueden detenerse; Log\u00edstica, los pedidos y despachos prioritarios; Compras, los proveedores de los cuales depende la continuidad; y Comunicaciones, la informaci\u00f3n que deber\u00e1 entregarse a clientes y colaboradores. En tanto, el rol de la alta direcci\u00f3n debiera ser conectar esas capacidades y establecer hasta qu\u00e9 nivel de interrupci\u00f3n est\u00e1 preparada la empresa para responder.<\/p>\n
Estas exigencias tambi\u00e9n pueden influir indirectamente en empresas que no se encuentran reguladas. Un transportista, operador de bodegas o proveedor tecnol\u00f3gico podr\u00eda recibir nuevos requerimientos de sus clientes si participa en un proceso cr\u00edtico o tiene acceso a sus sistemas.<\/p>\n
Durante el primer trimestre de 2026, la ANCI recibi\u00f3 124 reportes de incidentes o ciberataques. Los organismos del Estado concentraron 54 reportes; los prestadores de servicios digitales, 26; y los proveedores de infraestructura digital, 15. Aunque el bolet\u00edn no entrega una cifra espec\u00edfica para log\u00edstica, estos \u00faltimos sostienen plataformas y comunicaciones utilizadas por numerosas operaciones.<\/p>\n
Entre las t\u00e9cnicas m\u00e1s utilizadas se encuentran el uso indebido de cuentas leg\u00edtimas, el phishing, el cifrado de datos para afectar la operaci\u00f3n y la denegaci\u00f3n de servicio. Tambi\u00e9n se identific\u00f3 un actor (GRAM-5A) que extrae informaci\u00f3n mediante aplicaciones expuestas a internet y credenciales v\u00e1lidas. Es decir, un atacante no siempre necesita vulnerar directamente un servidor: tambi\u00e9n puede ingresar utilizando la identidad de un usuario autorizado.<\/p>\n
Casos como el de Blue Yonder muestran que una empresa puede fortalecer sus propios sistemas y aun as\u00ed seguir expuesta a trav\u00e9s de las plataformas y servicios que utiliza. A medida que las cadenas se integran, los l\u00edmites entre la infraestructura tecnol\u00f3gica propia y la de terceros se vuelven menos claros. Un proveedor puede tener acceso remoto, administrar aplicaciones cr\u00edticas o concentrar informaci\u00f3n utilizada simult\u00e1neamente por numerosos clientes.<\/p>\n
Teniendo en cuenta esta nueva realidad, las organizaciones con mayor nivel de preparaci\u00f3n ya est\u00e1n abordando esta dependencia desde antes de contratar. Seg\u00fan el Global Cybersecurity Outlook 2026, el 70% de los CEO de empresas altamente resilientes incorpora a sus equipos de seguridad en los procesos de compra, frente al 31% de las organizaciones con menor preparaci\u00f3n. Asimismo, un 59% eval\u00faa la madurez de sus proveedores y un 44% realiza simulaciones o ejercicios de recuperaci\u00f3n junto con sus socios. Entre las empresas menos resilientes, esta \u00faltima pr\u00e1ctica alcanza solo el 6%.<\/p>\n
Esto no significa exigir el mismo nivel de responsabilidad o inversi\u00f3n a todos los participantes de la cadena. El punto de partida es determinar previamente qui\u00e9nes est\u00e1n a cargo de procesos cr\u00edticos y acordar en conjunto c\u00f3mo van a responder. Por ejemplo, tener claro c\u00f3mo comunicar\u00e1n un incidente, qu\u00e9 alternativas podr\u00e1n ofrecer, cu\u00e1nto podr\u00edan demorar en recuperar el servicio y de qu\u00e9 manera colaborar\u00e1n para reducir el impacto. \u00a0Asimismo, es fundamental identificar qu\u00e9 dependencias que podr\u00edan comprometer la continuidad.<\/p>\n
Las experiencias de empresas que ya han enfrentado este tipo de situaciones muestran que el costo de un ciberataque va mucho m\u00e1s all\u00e1 del rescate exigido o de la reparaci\u00f3n de los sistemas. Cuando la informaci\u00f3n deja de estar disponible, la consecuencia se traslada r\u00e1pidamente hacia el almacenamiento, el transporte, la atenci\u00f3n de clientes y el cumplimiento de los plazos.<\/p>\n
Eso fue lo que ocurri\u00f3 con Expeditors International. En febrero de 2022, el freight forwarder detect\u00f3 un ataque y decidi\u00f3 apagar gran parte de sus sistemas operacionales a nivel global. La medida era necesaria para contener la amenaza, pero limit\u00f3 temporalmente su capacidad para gestionar carga, realizar tr\u00e1mites aduaneros y operar servicios de distribuci\u00f3n. En su reporte anual, la compa\u00f1\u00eda registr\u00f3 cerca de US$47 millones en costos adicionales por demurrage, asociados a carga que no pudo procesar y retirar oportunamente de puertos y terminales. A ello se sumaron otros US$18 millones destinados a investigaci\u00f3n, recuperaci\u00f3n, asesor\u00edas y posibles reclamaciones. Experiencias como estas demuestran que calcular el riesgo solo a partir del costo de recuperar los sistemas afectados no permite dimensionar todo su alcance.<\/p>\n
Otro ejemplo claro de este problema es el que vivi\u00f3 DP World Australia en noviembre de 2023. Tras detectar un acceso no autorizado, la compa\u00f1\u00eda desconect\u00f3 su red de internet para impedir que el incidente continuara propag\u00e1ndose. La decisi\u00f3n afect\u00f3 las operaciones terrestres de sus terminales y gener\u00f3 una acumulaci\u00f3n de 30 mil contenedores. Las actividades se reanudaron tres d\u00edas despu\u00e9s y los contenedores pendientes fueron procesados en un plazo de diez d\u00edas.<\/p>\n
En este caso, detener temporalmente la operaci\u00f3n form\u00f3 parte de la respuesta. La experiencia muestra que una empresa debe estar preparada para tomar decisiones dif\u00edciles, en ocasiones incluso antes de conocer completamente el alcance de la amenaza. Aislar un sistema puede reducir el da\u00f1o, pero tambi\u00e9n exige tener criterios claros para priorizar carga, coordinarse con autoridades y clientes, y recuperar posteriormente la capacidad perdida.<\/p>\n
Promulgada el 26 de marzo de 2024, la Ley Marco de Ciberseguridad (N\u00b0 21.663) comenz\u00f3 a regir por etapas entre enero y marzo de 2025. La norma cre\u00f3 la Agencia Nacional de Ciberseguridad (ANCI) y estableci\u00f3 reglas para prevenir, reportar y responder a incidentes. Su prop\u00f3sito no es solo proteger informaci\u00f3n, sino tambi\u00e9n resguardar los sistemas de los que depende la continuidad de servicios considerados esenciales para el pa\u00eds.<\/p>\n
En abril de 2026, la ANCI public\u00f3 una n\u00f3mina preliminar de 372 instituciones que podr\u00edan ser calificadas como Operadores de Importancia Vital (OIV). Esta etapa incluy\u00f3 el transporte terrestre, a\u00e9reo, ferroviario y mar\u00edtimo; su infraestructura; combustibles y servicios postales y de mensajer\u00eda. La n\u00f3mina definitiva a\u00fan no hab\u00eda sido publicada al cierre de esta edici\u00f3n.<\/p>\n
De acuerdo con la ley, las instituciones que prestan servicios esenciales deben adoptar medidas para prevenir y resolver incidentes, junto con reportar aquellos que puedan afectar de manera importante su operaci\u00f3n. Si adem\u00e1s son calificadas como OIV, tendr\u00e1n obligaciones adicionales: gestionar permanentemente la seguridad de la informaci\u00f3n, contar con planes de continuidad operacional y ciberseguridad, probarlos mediante ejercicios y designar a un responsable ante la autoridad.<\/p>\n","protected":false},"excerpt":{"rendered":"
\u00bfEst\u00e1n las empresas preparadas para mantener la operaci\u00f3n cuando los sistemas que coordinan inventarios, bodegas y transporte dejan de responder? \u00bfQu\u00e9 tan lejos llega su responsabilidad cuando el riesgo proviene de un proveedor? \u00bfY qu\u00e9 cambia entonces para el sector con la nueva Ley Marco de Ciberseguridad?<\/p>\n","protected":false},"author":1,"featured_media":31069,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"jnews-multi-image_gallery":[],"jnews_single_post":{"subtitle":"","format":"standard","jnews_video_option_group":[[]],"override":[{"template":"1","parallax":"1","fullscreen":"1","layout":"right-sidebar","sidebar":"home-loop","second_sidebar":"default-sidebar","share_position":"top","share_float_style":"share-monocrhome","show_share_counter":"1","show_view_counter":"1","show_featured":"1","show_post_author_image":"1","show_post_date":"1","post_date_format":"default","post_date_format_custom":"Y\/m\/d","show_post_category":"1","show_post_reading_time":"0","post_reading_time_wpm":"300","post_calculate_word_method":"str_word_count","show_zoom_button":"0","zoom_button_out_step":"2","zoom_button_in_step":"3","show_post_tag":"1","show_prev_next_post":"1","show_popup_post":"1","number_popup_post":"1","show_post_related":"1","show_inline_post_related":"1"}],"image_override":[{"single_post_thumbnail_size":"crop-500","single_post_gallery_size":"crop-500"}],"trending_post_position":"meta","trending_post_label":"Trending","sponsored_post_label":"Sponsored by","disable_ad":"0"},"jnews_primary_category":[],"jnews_social_meta":[],"jnews_override_counter":{"view_counter_number":"0","share_counter_number":"0","like_counter_number":"0","dislike_counter_number":"0"},"footnotes":""},"categories":[53],"tags":[],"class_list":["post-31068","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-automatizacion-y-robotizacion"],"acf":[],"yoast_head":"\n