El 29 de julio de 2026, Pentera y Techplus Cyber reunieron en Santiago a especialistas y ejecutivos de TI en el “Next-Gen Red Teaming Workshop: Validación continua frente a las amenazas en la era de IA”. Entre la demo técnica, el nuevo marco legal chileno y un laboratorio práctico, la jornada dejó una idea difícil de esquivar: detectar una vulnerabilidad ya no basta. Hay que probar que se puede explotar y dejar evidencia del proceso.
Uno de los primeros expositores de la jornada, fue Felipe Harboe, exsenador y hoy socio principal de H&Co Abogados, quien dejó caer una pregunta incómoda: “¿cuántos de ustedes podrían demostrar, ante una fiscalización, que sus controles funcionan?”. El silencio fue más elocuente que cualquier respuesta.
Ese fue el tono del encuentro, organizado por Revista Gerencia: exposiciones, un ejercicio práctico sobre la plataforma y una discusión que en Chile dejó de ser teórica el día en que la Agencia Nacional de Ciberseguridad (ANCI) empezó a fiscalizar.
El calendario legal aprieta
Harboe fue directo con los números. El 24 de julio se publicó en el Diario Oficial la Resolución Exenta N°187 de la ANCI, que zanjó las observaciones al procedimiento de calificación de operadores de importancia vital (OIV) y cerró el primer proceso: 1.154 instituciones quedaron en esa categoría, con obligaciones reforzadas que incluyen la designación de un encargado de ciberseguridad —el rol que la industria conoce como CISO— y deberes de reporte contra el reloj: alerta temprana dentro de tres horas, reporte detallado a las 72 horas e informe final a los 15 días.
“En tres horas algunos recién van a estar llegando al escritorio y otros ni siquiera se van a enterar de lo que está pasando”, advirtió el exparlamentario, para graficar la distancia entre el plazo legal y la capacidad instalada de muchas organizaciones. De ahí su insistencia en el monitoreo permanente.
Harboe explicó, además, que tanto la Ley Marco de Ciberseguridad (21.663) como la Ley de Protección de Datos Personales (21.719) adoptaron una técnica legislativa distinta a la tradicional chilena: la obligación no termina cuando se adoptan las medidas, sino cuando se pueden acreditar. La trazabilidad deja de ser una buena práctica y pasa a ser una pieza de defensa.
Su recomendación apuntó hacia arriba en el organigrama: el directorio tiene que involucrarse. “Usted puede tener un gran business plan y una estrategia de marketing espectacular, pero si tenemos un incidente y no reportamos en tiempo y forma, vamos a ser multados de manera considerable”, alertó.
Cuando el pentesting anual se queda corto
La metáfora que ordenó la jornada la instaló Jaime Gutt, CEO y cofundador de Techplus Cyber: las evaluaciones de seguridad tienen que dejar de ser fotografías y convertirse en video. “Estamos viendo una transformación desde los procesos de validación manuales hacia la validación automatizada de controles, para que tus evaluaciones dejen de ser fotos en el tiempo y se vean como videos dinámicos de lo que está pasando”, explicó. El motivo de la urgencia: “los adversarios están empoderados por inteligencia artificial, pueden lograr mucho más que antes en menos tiempo. Aquí se trata de dejar de asumir y empezar a validar”.
Harboe lo había ilustrado antes: una empresa puede hacer su pentesting un día, respirar tranquila y sufrir un incidente una semana después por una vulnerabilidad que apareció en el intertanto.
Por su parte, Gabriela Valdez García, directora regional para América Latina de Pentera, planteó el desafío en clave de presupuesto. “A veces pensamos que no alcanza para invertir en este tipo de herramientas. Pero, ¿qué pasa si un hacker nos llega a pegar? Sale el triple de caro”, indicó. Para la ejecutiva, el objetivo no es ejecutar un análisis de vulnerabilidades más, sino validar los controles, medir el impacto real y obtener la remediación cuando ese riesgo se confirma.
Ataques reales, no simulaciones
El bloque técnico corrió por cuenta de Fabio Bicudo Duarte, ingeniero de preventas de Pentera para Brasil, Chile y Argentina, quien marcó de entrada una diferencia que considera esencial. “Pentera no es una solución de BAS (Breach and Attack Simulation). No estamos simulando un ataque: estamos ejecutando efectivamente un ataque”.
La distinción tiene consecuencias prácticas: un sistema desactualizado puede estar cubierto por un control compensatorio, y la única forma de saber si ese control aguanta es intentar atravesarlo. La plataforma tampoco opera con playbooks predefinidos (“si ejecuto un playbook específico, puedo tener la sensación de que estoy seguro, y eso no es la verdad”), sino que se adapta a lo que encuentra en cada ambiente.
Consultado por los asistentes, Duarte precisó que los exploits no se generan con inteligencia artificial: “no sabemos qué puede generar una IA generativa. En un momento puede generar algo bueno y en otro, no”. Con unos 450 colaboradores y presencia en cerca de 70 países, la compañía israelí desarrolla sus propios exploits o depura los que toma de terceros. La IA entra por otro lado: consultas en lenguaje natural y reportes a la medida de cada normativa mediante un servidor MCP (Model Context Protocol) conectado a las APIs de la plataforma. “La recomendación siempre es probar, probar y probar. Nunca confiar en que uno está protegido porque tiene la solución A, B o C”, resumió. “Muchas veces nos olvidamos de una configuración o de un parche. Y es normal, eso le pasa a todos”.
Manos a la obra
Para los laboratorios se montó un escenario de pruebas sobre Pentera Core: los asistentes ejecutaron evaluaciones de caja negra y caja gris sobre una red interna y revisaron los resultados de las explotaciones. Duarte y Marcos Fajardo, principal Offensive Security Solutions Architect de Techplus Cyber, recorrieron las mesas resolviendo dudas.
Cristóbal Agüero, de ClaroVTR, llegó con el escepticismo de quien trabaja como Ethical Hacker. Salió con otra impresión. “Estoy acostumbrado a herramientas como Nmap o Nuclei. Esto es más visual, te muestra el camino que recorrió la vulnerabilidad, te propone el parche y te indica qué se mitiga automáticamente si lo aplicas. Eso lo encontré genial”, opinó.
También había clientes en marcha. Leandro Muñoz, subgerente de tecnología de Grupo Patio, contó que llevan tres meses con la plataforma. “Ya corrimos un primer ejercicio y descubrimos varias vulnerabilidades en nuestra infraestructura. Hoy estamos trabajando en la remediación para hacer este ciclo más continuo y mejorar nuestra postura de ciberseguridad”.
La jornada cerró donde había empezado: en la brecha entre suponer y comprobar. Con la ANCI ya en terreno, esa brecha dejó de ser un asunto técnico para convertirse en un riesgo de directorio.
