La confianza no es un control
He participado en sesiones donde se discute durante una hora el costo de un firewall y luego, en tres minutos y con un abrazo, se despide a la única persona que tenía todas las llaves de la empresa. El lunes siguiente sus accesos seguían activos. Nadie los revocó, porque revocarle algo a alguien de confianza suele sentirse como una traición. Ahí aparece una de las mayores debilidades del gobierno corporativo: cuando la confianza sustituye al control.
Bruce Schneier lo resumió hace años con una frase que sigue plenamente vigente: los aficionados atacan sistemas; los profesionales atacan personas. El Data Breach Investigations Report 2025 de Verizon le pone cifras a esa afirmación: cerca del 60% de las brechas involucra el factor humano, ya sea por credenciales robadas, errores o abuso de privilegios. El eslabón que debería ser el más fuerte —la persona en quien confiamos— termina siendo el más vulnerable precisamente porque dejamos de verificar.
En el mundo de la inteligencia, el riesgo interno no es una metáfora ni un juicio de valor; es un concepto técnico que describe a quien ya está dentro del perímetro, con acceso legítimo y, por lo mismo, sin levantar sospechas. En la empresa rara vez se trata del espía de una novela. Suele ser un colaborador descontento, una cuenta que nunca fue deshabilitada o un funcionario cuyas credenciales fueron robadas sin que él mismo lo sepa.
La contrainteligencia resolvió este problema hace décadas mediante tres principios que cualquier organización puede adoptar sin convertir la oficina en un cuartel: necesidad de conocer (need to know), mínimo privilegio y compartimentación. El primero limita el acceso a la información estrictamente necesaria para cumplir una función; el segundo reduce los privilegios al mínimo indispensable y por el tiempo necesario; el tercero evita que una sola persona concentre todas las llaves. Lejos de expresar desconfianza, estos principios protegen primero al colaborador leal, porque un acceso delimitado y trazable permite acreditar quién hizo qué.
Este ya no es un asunto exclusivamente tecnológico. La Ley N° 21.663 obliga a gobernar la infraestructura crítica y reportar incidentes; la Ley N° 21.719 incorpora al Delegado de Protección de Datos con reporte al máximo nivel de la organización; y la Ley N° 21.595 amplió los deberes de supervisión asociados a la responsabilidad penal de las personas jurídicas. No supervisar los accesos es, en la práctica, renunciar a supervisar uno de los riesgos más relevantes para la continuidad del negocio. El directorio no administra usuarios ni revoca credenciales; esa tarea corresponde a la administración. Lo que sí le corresponde es exigir un mapa actualizado de accesos, protocolos efectivos para altas y bajas de privilegios y reportes periódicos sobre el riesgo interno.
La próxima sesión de directorio no necesita una consultoría adicional ni un diagnóstico más extenso. Basta una pregunta: ¿quién tiene hoy acceso de administrador a los sistemas críticos y cuándo fue la última vez que esos privilegios fueron revisados? La confianza seguirá siendo una condición indispensable para dirigir personas. Pero el gobierno corporativo exige algo más: controles que puedan demostrarse y verificarse.
Juan Pablo López
Director Ciberlegal
