Nuestra CEO, Susana Sierra, conversó con Ex-Ante sobre ciberseguridad y la responsabilidad de los directorios en este tema que dejó de ser exclusivamente técnico, para ser estratégico.
Les compartimos la entrevista completa aquí:
Susana Sierra, experta en ciberseguridad: “el hacker del futuro es un niño de 15 años”
CEO de BH Compliance y experta en gobierno corporativo, Susana Sierra aborda por qué la ciberseguridad debe ser considerada un riesgo estratégico por las empresas y la regla del juicio de negocios, que contempla la reforma al mercado de capitales. Sierra dice que la “IA aumenta los riesgos de ciberseguridad, porque un hacker también la usa”.
-¿Cómo ha cambiado la discusión sobre la inteligencia artificial en el último tiempo?
-Si a este 2026 tenemos que ponerle un nombre, así como 2020 fue el de la pandemia, este es el año de la inteligencia artificial. Ha avanzado demasiado rápido y hemos pasado del enamoramiento al susto. Hoy no hay nadie que pueda decir que no la ha usado.
Es un buen momento para detenerse a pensar, porque pasó algo llamativo -en Chile, a un ritmo un poco más lento de lo que me ha tocado ver en Estados Unidos-: llegó la IA y había que tenerla, todos nos subimos al carro, a veces sin pensar mucho en su gobernanza. No se trata de darle a todo el mundo una licencia y decirle “úsela”, sino de definir qué información se puede subir y cuál no, y cuál es la responsabilidad humana que hay detrás.
-La IA también se ha convertido en un riesgo cibernético. ¿Las empresas ya la están viendo como tal?
-Creo que lo están viendo, y está ligado a la gobernanza de la inteligencia artificial: es un tema que se vino encima. Hay empresas que llevan años trabajando en ciberseguridad, preocupándose de que plataformas sean seguras, bloqueando que se pueda conectar un pendrive al computador para que no se saque información. Mucha de esa ciberseguridad estaba pensada para el mundo antes de la inteligencia artificial.
La IA aumenta los riesgos de ciberseguridad. Hoy todos los temas de phishing son mucho más fáciles de hacer: alguien puede imitar perfectamente tu voz, o una persona puede creer que está hablando contigo cuando en realidad está hablando con un bot.
-¿Cuáles son los elementos prioritarios de ciberseguridad que deben considerar las empresas?
-Desde el punto de vista del directorio, se focaliza en tratar la ciberseguridad como un riesgo estratégico, tener la estructura necesaria para supervisarla, contar con mediciones y reportes claros, y considerar los riesgos a los que te pueden exponer.
La ciberseguridad es la capacidad que tiene una empresa para protegerse de esos riesgos. La ciberseguridad está en todo.
Nadie se libra.
Hay puntos importantes para tratar bien los riegos cibernéticos. El primero es que hay que tratar la ciberseguridad como un riesgo estratégico, porque el problema es que a veces no se le da el peso que merece. Tratarlo como riesgo estratégico significa ponerlo efectivamente en la estrategia y en las decisiones relevantes, vincularlo con los objetivos del negocio y medir su impacto. En el directorio de la firma todos tienen que estar capacitados y al menos entender cuáles son los principales riesgos de ciberseguridad de la empresa. Un ciberataque te puede paralizar completamente una empresa.
-¿Los agentes de IA podrían quitarle el protagonismo a los hackers en los ataques cibernéticos?
-No hay que mirarlos por separado: son dos caras de la misma moneda. Los hackers están usando agentes de IA. Me ha tocado escuchar que hoy el hacker puede ser un alumno de colegio. El hacker del futuro es un niño de 15 años, porque la IA te da esa herramienta de que hoy cualquiera puede ser programador.
A veces parece una película de ciencia ficción: la tecnología contra los humanos. Pero no creo que estemos viendo todavía agentes de IA que actúan solos como lo hacen los hackers. La esencia de un hacker es que busca algo, que generalmente es dinero.
-¿Cómo cree que una compañía le puede hacer frente a esto?
-Desde el punto de vista del directorio, es súper importante definir el apetito de riesgo y supervisar todo el marco de ciberseguridad de la empresa, evaluando periódicamente si los controles efectivamente se están cumpliendo. Y dada la IA, esto tiene que ser algo continuo, no estático. Una empresa que revisó su estrategia de ciberseguridad por última vez hace un año está completamente obsoleta. En un año estamos viviendo en otro mundo respecto de la tecnología y la inteligencia artificial.
-El proyecto de reforma al mercado de capitales que impulsa Hacienda, propone que el director que decidió informado y de buena fe no responde personalmente si después la decisión resulta mala para la empresa. ¿Es un escudo para los directores?
-Es un escudo. Es bueno para los directores. Para ser honesta, esta regla no estaba escrita de forma explícita, la regla del juicio de negocios, pero siempre se ha asumido que opera, porque es el estándar de las buenas prácticas internacionales: el director no es responsable porque se equivocó en una decisión. Si un directorio, con toda la buena fe, toma una decisión de inversión o financiera y después resulta que le fue mal, ese directorio no es responsable.
