Si tu empresa opera en telecomunicaciones, energía, banca, salud, agua o transporte, probablemente ya escuchaste hablar de la Ley Marco de Ciberseguridad (Ley 21.663) -- la primera regulación integral de ciberseguridad en Chile. Lo que pocas empresas tienen claro todavía es qué significa esto en la práctica y por qué el pentest dejó de ser "una buena práctica" para convertirse, en varios marcos, en un requisito explícito.
Qué es la Ley Marco de Ciberseguridad
La LMC crea una institucionalidad nacional de ciberseguridad -- con la CSIRT Nacional como organismo de referencia para reportar incidentes -- y establece obligaciones diferenciadas según el tipo de organización. Las más exigentes recaen sobre los llamados Operadores de Importancia Vital (OIV), un estatus que se define por decreto según el sector y el impacto de una eventual falla. Si tu empresa cae en esa categoría, la ley exige evaluaciones de seguridad periódicas -- y el pentest es el mecanismo concreto para demostrarlas.
Los plazos exactos de notificación de incidentes y los umbrales que definen a un OIV están en el reglamento y pueden variar por sector -- si tu empresa podría estar afecta, lo primero es confirmarlo con tu área legal o de compliance, no asumirlo por analogía con otro rubro.
Dónde encaja un pentest en todo esto
Más allá de la LMC, dos marcos internacionales ya traen el pentest incorporado como requisito, no como recomendación:
- ISO/IEC 27001:2022: no exige un pentest por nombre, pero la evaluación de riesgos (cláusula 6.1.2) y los controles del Anexo A relacionados a pruebas de seguridad (A.8.29) prácticamente requieren evidencia de pruebas técnicas reales para poder certificar con seriedad.
- PCI-DSS 4.0: acá sí es explícito. El Requisito 11.4 exige pentest con metodología documentada, cobertura completa de la segmentación de red (no solo una muestra), y -- desde 2025 -- que lo ejecute un equipo independiente del que desarrolló el sistema.
Por qué esto le importa a quien no es OIV ni maneja tarjetas
Aunque tu empresa no esté obligada por ley todavía, estos marcos funcionan como el estándar de facto que un cliente corporativo, un seguro cibernético o un proceso de due diligence van a pedir de todas formas. Llegar con un informe de pentest bien hecho -- con hallazgos mapeados a controles reconocibles, no solo una lista técnica -- acorta esas conversaciones en vez de generarlas desde cero cada vez.
Cómo se ve un hallazgo "mapeado" en la práctica
La diferencia entre un reporte técnico y uno que un directorio puede usar para firmar una declaración de cumplimiento está en la traducción. Un mismo hallazgo se puede escribir así:
"SQL Injection en /api/v1/orders (severidad alta) -- corresponde a controles de codificación segura y pruebas de seguridad del desarrollo. Recomendación: sentencias preparadas en la capa de acceso a datos y revisión de todas las queries dinámicas del módulo."
Esa misma línea, sin el mapeo, es solo "encontramos una inyección SQL" -- técnicamente correcta, pero inútil para alguien que necesita justificar una inversión o firmar un cumplimiento ante un regulador.
Qué hacer si no sabes por dónde empezar
No hace falta partir por la ley. Partí por la pregunta más simple: si hoy alguien intentara entrar a tu infraestructura desde internet, ¿qué encontraría primero? Un pentest responde esa pregunta con evidencia real, y de ahí en adelante mapear los hallazgos a la norma que te aplique es la parte fácil.