El incidente informático que afectó al Instituto de Salud Pública de Chile en junio de 2025 mostró que la interrupción de un sistema puede extender sus consecuencias mucho más allá de la organización directamente afectada. Los problemas para tramitar autorizaciones sanitarias y aduaneras dejaron una lección sobre continuidad operacional, dependencias digitales y CiberResiliencia.
Cuando se habla de ciberataques, es habitual pensar en sistemas comprometidos, información expuesta o servicios digitales que dejan de funcionar.
Sin embargo, sus consecuencias pueden ir mucho más lejos.
El incidente que afectó al Instituto de Salud Pública (ISP) de Chile el 27 de junio de 2025 es un ejemplo de cómo la indisponibilidad de plataformas utilizadas por una institución puede comprometer procesos de otras organizaciones, incluso cuando sus propias redes y sistemas siguen funcionando.
En este caso, el efecto se extendió a trámites necesarios para la importación de productos sometidos a control sanitario, generando una contingencia que involucró al ISP, al Servicio Nacional de Aduanas y a empresas que dependían de esas autorizaciones.
El episodio deja una pregunta relevante para cualquier organización: ¿sabemos qué dependencias externas podrían afectar o detener nuestro negocio?
Qué ocurrió con el Instituto de Salud Pública
El 27 de junio de 2025, el ISP detectó un incidente informático que afectó sus plataformas y obligó a adoptar medidas de contención y recuperación.
Según informó posteriormente la institución, ese mismo día tomó contacto con la Agencia Nacional de Ciberseguridad (ANCI), presentó una denuncia ante el Ministerio Público y comenzó a coordinar las investigaciones y medidas técnicas correspondientes.
Durante la contingencia, algunos servicios digitales dejaron de estar disponibles, mientras la institución mantuvo funciones esenciales mediante mecanismos alternativos.
Uno de los efectos más relevantes se produjo en los procedimientos asociados a la importación de productos farmacéuticos, cosméticos y otros bienes sujetos a control sanitario.
Estos procesos dependen de documentación y autorizaciones emitidas por el ISP, entre ellas el Certificado de Destinación Aduanera (CDA) y la Autorización de Uso y Disposición (UyD).
Cuando los sistemas necesarios para realizar esos trámites no estuvieron disponibles, el problema dejó de ser exclusivamente tecnológico.
Se convirtió en una dificultad para mantener el flujo de mercancías y cumplir procedimientos regulatorios.
Cómo el incidente afectó la cadena de suministro
La cadena de suministro moderna no se limita al transporte, almacenamiento y entrega de productos.
También depende de plataformas digitales, documentos electrónicos, autorizaciones y comunicaciones entre organizaciones públicas y privadas.
Un proceso logístico puede contar con productos disponibles, transporte contratado y personal preparado, pero permanecer detenido si falta una autorización indispensable para continuar.
Eso fue precisamente lo que puso de manifiesto la contingencia del ISP.
El Servicio Nacional de Aduanas adoptó medidas excepcionales para permitir la tramitación de determinadas importaciones sin la presentación inmediata del CDA, en coordinación con el ISP y sujetas a mecanismos de identificación, trazabilidad y regularización posterior.
Estas medidas permitieron sostener operaciones que, de otro modo, habrían enfrentado mayores dificultades durante la indisponibilidad de los sistemas.
Posteriormente, el ISP avanzó en la recuperación de sus plataformas. Los trámites de importación en GICONA se restablecieron desde el 28 de julio de 2025 y las medidas excepcionales fueron dejadas sin efecto.
El caso demuestra dos cosas al mismo tiempo: que una interrupción digital puede alcanzar a actores que no fueron atacados y que los procedimientos alternativos son fundamentales para sostener funciones críticas.
El riesgo que aparece fuera del perímetro de la organización
Una empresa puede invertir en proteger sus servidores, aplicaciones, identidades y estaciones de trabajo.
Pero esa protección no garantiza, por sí sola, que su operación pueda continuar si un tercero indispensable deja de funcionar.
Las dependencias pueden encontrarse en:
- Proveedores de tecnología y servicios en la nube.
- Operadores logísticos y plataformas de transporte.
- Sistemas de autorización y certificación.
- Servicios de pago y procesamiento de transacciones.
- Integraciones entre empresas y organismos públicos.
- Proveedores de insumos esenciales para la producción.
No todas las dependencias presentan el mismo nivel de riesgo.
La pregunta es cuáles podrían impedir el cumplimiento de un proceso crítico, cuánto tiempo puede tolerarse su indisponibilidad y qué alternativas existen para continuar operando.
Una dependencia no necesita estar dentro de nuestra red para convertirse en un riesgo para nuestro negocio.
Cinco lecciones de continuidad operacional que deja el caso
1. Identificar las dependencias que sostienen procesos críticos
Conocer los activos tecnológicos propios es necesario, pero no suficiente.
La organización también debe comprender qué servicios externos, integraciones, autorizaciones y proveedores permiten que sus procesos funcionen.
Un mapa de dependencias debería relacionar cada proceso crítico con los terceros y sistemas que necesita.
También debe identificar puntos únicos de falla: servicios cuya interrupción podría detener una actividad sin que exista una alternativa disponible.
2. Evaluar el impacto de la indisponibilidad, no solo del ataque
No todas las interrupciones se producen por el mismo motivo.
Un proveedor puede dejar de prestar servicios debido a un ciberataque, una falla técnica, un error de configuración o una contingencia operacional.
Para el proceso que depende de él, algunas consecuencias pueden ser similares.
Por eso, la evaluación de continuidad debe considerar escenarios de indisponibilidad independientemente de su causa y determinar cuánto tiempo puede operar el negocio bajo esas condiciones.
3. Preparar procedimientos alternativos verificables
Las medidas excepcionales coordinadas por el ISP y Aduanas muestran la importancia de disponer de mecanismos para mantener operaciones esenciales durante una contingencia.
En una empresa, las alternativas pueden incluir canales de comunicación de respaldo, procedimientos manuales, proveedores sustitutos o mecanismos previamente acordados para procesar operaciones críticas.
Estas alternativas deben cumplir los requisitos legales y regulatorios aplicables.
Además, necesitan responsables claros y pruebas periódicas. Un procedimiento documentado, pero nunca ensayado, puede no funcionar cuando realmente se necesita.
4. Coordinar la respuesta entre tecnología y negocio
Un incidente que afecta la cadena de suministro no puede gestionarse solamente desde ciberseguridad.
También requiere coordinación con operaciones, logística, cumplimiento, comunicaciones, proveedores y Alta Dirección.
Los equipos técnicos necesitan contener y recuperar los sistemas. Las áreas de negocio deben evaluar prioridades, compromisos, alternativas y consecuencias de mantener una actividad detenida.
Sin esa coordinación, la recuperación tecnológica y la continuidad operacional pueden avanzar a ritmos distintos.
5. Medir la capacidad real de respuesta y recuperación
Contar con planes de continuidad no demuestra automáticamente que una organización pueda ejecutarlos.
Es necesario realizar ejercicios y validar tiempos, responsables, comunicaciones y dependencias.
Algunas preguntas útiles son:
- ¿Podemos detectar oportunamente una interrupción relevante?
- ¿Sabemos qué procesos quedarían afectados?
- ¿Cuánto tiempo podríamos mantenerlos operativos?
- ¿Qué procedimientos alternativos están disponibles?
- ¿Quién decide cuándo activarlos?
- ¿Cómo comprobamos que la recuperación fue efectiva?
El resultado de estas pruebas permite identificar brechas y priorizar mejoras concretas.
¿Qué relación tiene este caso con la CiberResiliencia?
La CiberResiliencia no consiste únicamente en evitar incidentes.
También implica comprender qué puede afectar la operación, comprobar la efectividad de las medidas de protección y demostrar la capacidad de detectar, responder, recuperarse y continuar operando.
El caso del ISP ilustra por qué esta perspectiva debe incluir las dependencias de terceros.
Una organización puede tener controles internos sólidos y continuar expuesta a interrupciones significativas si desconoce los procesos externos de los que depende.
La gestión de esas dependencias requiere información de negocio, conocimiento técnico y criterios claros para priorizar.
Desde Widefense, CRI by Widefense ayuda a estructurar esa conversación alrededor de los procesos críticos, los riesgos y la evidencia disponible sobre protección y capacidad de respuesta.
Los servicios CyberDefense complementan esa perspectiva con capacidades de protección, operación, detección y respuesta, dentro de los alcances contratados.
Ningún producto o servicio puede garantizar la continuidad de una organización frente a todas las fallas de terceros. El objetivo es conocer las exposiciones, reducirlas cuando sea posible y prepararse para responder cuando se materialicen.
La continuidad del negocio también depende de otros
El incidente del ISP ocurrió en una institución pública, pero la lección alcanza a cualquier empresa que dependa de autorizaciones, plataformas, proveedores o servicios externos para operar.
La continuidad no termina en el límite de la infraestructura propia.
Se extiende a las relaciones y procesos que permiten entregar productos, cumplir compromisos y atender a los clientes.
La pregunta no es únicamente si nuestros sistemas están protegidos. También es si nuestro negocio puede seguir funcionando cuando un sistema del que dependemos deja de estar disponible.
Comprender esa diferencia es un paso esencial para fortalecer la CiberResiliencia.
Conoce tu Nivel de CiberResiliencia
Identifica qué puede afectar la continuidad de tu negocio y cómo evaluar la protección y la capacidad de respuesta de tu organización.
Nota editorial
Artículo publicado originalmente el 2 de julio de 2025 por Angela Bielefeldt. Actualizado en octubre de 2026 con antecedentes posteriores de la recuperación del ISP y un enfoque de continuidad operacional y CiberResiliencia.
Fuentes
- Instituto de Salud Pública de Chile — Comunicado del 4 de julio de 2025.
- Servicio Nacional de Aduanas — Declaración del 1 de julio de 2025 y Oficio Circular N.º 126.
- Instituto de Salud Pública de Chile — Comunicado del 8 de agosto de 2025.
- Instituto de Salud Pública de Chile — Avances de normalización de sistemas, 28 de agosto de 2025.