Recuerda las obligaciones para OIV que trajo la Instrucción General N°4

La Instrucción General No. 4 de la Agencia Nacional de Ciberseguridad (ANCI), publicada en diciembre de 2025, establece medidas obligatorias para mitigar incidentes de ciberseguridad, para las instituciones calificadas como operadores de importancia vital (OIV).

La Ley Marco de Ciberseguridad en su artículo 8°, que los OIV deben "adoptar de forma oportuna y expedita las medidas necesarias para reducir el impacto y la propagación de un incidente de ciberseguridad, incluida la restricción de uso o el acceso a sistemas informáticos, si fuera necesario".

Esta instrucción busca apoyar a las instituciones en la gestión de su seguridad digital, entregando medidas que permitan actuar rápidamente para mitigar los incidentes significativos de ciberseguridad. Si bien esta instrucción es obligatoria para los OIV, estas medidas son recomendables para todo tipo de empresas e instituciones.

Las medidas:

1. Restricción de uso y aislamiento de sistemas afectados: Ante un incidente de ciberseguridad, los OIV deben adoptar inmediatamente las medidas necesarias para conseguir los siguientes objetivos, no importando si esto implica la interrupción temporal o parcial de los servicios de la institución, de ser necesario para proteger otros activos críticos o servicios esenciales:
   1. Restringir total o parcialmente el acceso a los sistemas informáticos, redes, servicios o cuentas de usuario que se encuentren comprometidos o respecto de los cuales exista riesgo de compromiso.
   2. Aislar los sistemas afectados del resto de la infraestructura tecnológica, cuando ello resulte necesario para evitar la propagación del incidente.
   3. Suspender temporalmente funcionalidades, integraciones o accesos remotos que puedan facilitar la expansión del incidente.
2. Cambio de contraseñas de usuarios con acceso administrativo a los sistemas afectados y eliminación de cuentas no utilizadas: estas medidas deberán ser adoptadas dentro de las primeras tres horas de tomado conocimiento del incidente. Además, al menos cada seis meses las instituciones deberán revisar todos sus sistemas y eliminar cuentas de administrador genéricas o que no estén asociadas a funcionarios o proveedores activos.
3. Deshabilitación de accesos remotos o administrativos expuestos. Esto, en cuanto sea detectado un incidente de ciberseguridad.
   1. Revisar que no existan accesos remotos o administrativos expuestos públicamente a Internet. En caso de detectar su existencia, deberán ser informados a la Agencia en la alerta temprana del proceso de reporte de incidentes, además de ser bloqueados o dados de baja dentro de las primeras tres horas de toma de conocimiento del incidente.
   2. Permitir el acceso exclusivamente a través de la VPN institucional, en caso de existir sistemas de acceso remoto expuestos a Internet. En la eventualidad de que la infraestructura de VPN no pudiese ser utilizada, el acceso debe restringirse solamente a conexiones desde segmentos o direcciones IP específicas indispensables, para la gestión del incidente, bloqueando y llevando registro de cualquier intento de conexión desde un origen no permitido explícitamente.
   3. Configurar mecanismos seguros de acceso remoto, con credenciales aleatorias y, en caso de ser factible su configuración inmediata, el uso obligatorio de autenticación multifactor.
   4. Deshabilitar todo acceso remoto tan pronto como la tarea que le dio origen durante el proceso de gestión del incidente se haya completado
4. Protección de comunicaciones y suspensión de servicios expuestos. Cuando un incidente de ciberseguridad afecte o pueda afectar servicios expuestos a Internet, los OIV deben:
   1. Suspender temporalmente la operación de sitios web, servicios transaccionales o interfaces expuestas, cuando exista riesgo de explotación activa, añadiendo un mensaje que informe de su suspensión intencional como medida mitigatoria de seguridad.
   2. Redireccionar o limitar el acceso a dichos servicios únicamente a entornos confidenciales e íntegros, cuando ello sea técnicamente viable.
   3. Asegurar que, en caso de mantenerse operativos, dichos servicios utilicen mecanismos de cifrado robustos y correctamente configurados, con el objeto de evitar la interceptación o manipulación de las comunicaciones durante el incidente.
5. Uso de herramientas de seguridad para detección y contención. Los OIV deben contar con herramientas (las que pueden ser gratuitas o de código abierto) que les permitan, al gestionar un incidente de ciberseguridad:
   1. Identificar dispositivos, cuentas o procesos comprometidos.
   2. Bloquear, aislar o deshabilitar de forma remota dichos dispositivos o cuentas.
   3. Monitorear la evolución del incidente y detectar intentos de propagación a otros sistemas
6. Uso de cortafuegos adecuados a la naturaleza, complejidad y nivel de riesgo de sus sistemas informáticos. Las políticas de seguridad deberán ser configuradas bajo el principio de bloqueo de conexiones entrantes por defecto (whitelisting).
7. Segmentación de redes y contención de propagación lateral. En particular, una vez detectado un incidente de ciberseguridad, o ante la sospecha de su ocurrencia, deberán:
   1. Aislar de forma inmediata los segmentos de red, entornos de virtualización, servidores físicos o lógicos, y otros activos digitales respecto de los cuales exista compromiso o riesgo razonable de compromiso.
   2. Restringir o bloquear el tráfico de red entrante y saliente entre sistemas productivos, entornos de respaldo, sistemas de gestión, administración o monitoreo, excepto cuando dicha comunicación sea estrictamente necesaria para la contención del incidente.
   3. Implementar, cuando sea técnicamente posible, segmentación específica para entornos de virtualización.
   4. Separar y proteger los sistemas de respaldo del resto de la infraestructura afectada, restringiendo su acceso y comunicación durante la gestión del incidente.
   5. Suspender temporalmente las credenciales, integraciones o servicios compartidos que permitan el desplazamiento lateral del incidente entre segmentos de red.
8. Coordinación interna y registro de medidas adoptadas: La institución deberá coordinar la adopción de las medidas señaladas en la presente instrucción y asegurar que:
   1. Las decisiones adoptadas durante la gestión del incidente queden debidamente registradas.
   2. Toda la evidencia que se recolecte durante el incidente sea guardada de manera confidencial y protegida, para ser revisada posteriormente.
   3. Se mantenga en comunicación con personal de la Agencia de manera continua durante el incidente para coordinar la respuesta al mismo.
   4. Se mantenga informado al nivel directivo correspondiente de la institución, sobre las medidas de restricción.