Muestra de entregable
Así se ve un informe ejecutivo de JanusNet
Tres partes de un informe real de auditoría de ciberseguridad, anonimizado. La empresa, los nombres, las cifras y los hallazgos son ficticios; la estructura y el nivel de detalle son los del informe que entregamos.
Muestra ilustrativa · datos ficticios
No corresponde a ninguna organización identificable. Toda referencia a normas de la CMF es real y vigente; lo modificado es la identidad de la empresa auditada y sus datos.
- Empresa
- Empresa de ejemplo S.A.
- Rubro
- Entidad financiera fiscalizada por la CMF
- Dotación
- Unos 280 colaboradores
- Duración de la auditoría
- Diez semanas
- Marcos
- NIST CSF 2.0 y Capítulo 20-10 de la RAN de la CMF
Parte 1 de 3
Resumen ejecutivo
La primera página que lee la gerencia: el resultado en tres cifras, lo más grave y dónde está cada función.
Muestra ilustrativa
Resultado global
2,1 / 4,0
Madurez NIST CSF 2.0
Tier 2, informado por riesgos. Objetivo: Tier 3.
38%
Cumplimiento RAN 20-10
47% parcial y 15% no cumple.
47
Brechas identificadas
12 críticas, 21 medias y 14 bajas.
Hallazgos clave
| # | Criticidad | Hallazgo de alto impacto |
|---|---|---|
| 1 | Alta | El Directorio no ha aprobado formalmente la Estrategia Institucional de Ciberseguridad en el último ciclo anual. La RAN 20-10 establece esta aprobación como responsabilidad directa e indelegable del Directorio. |
| 2 | Alta | El proceso formal de gestión de riesgos de seguridad de la información no ha sido revisado en los últimos 14 meses, excediendo el ciclo mínimo anual exigido por la normativa. |
| 3 | Alta | No existe procedimiento formal y operativo para el intercambio técnico de información de incidentes con los demás integrantes de la infraestructura crítica financiera y con la CMF. |
| 4 | Alta | Inventario de activos de información desactualizado: 41% de los registros sin clasificación de criticidad, 28% sin propietario formal asignado. |
| 5 | Media | Cobertura de monitoreo de seguridad estimada en 64% de los sistemas críticos. Existen activos de alto valor, incluidas dos bases de datos transaccionales, sin envío de logs al SIEM. |
Madurez por función NIST CSF 2.0
Actual sobre 4,0. La línea marca el objetivo, 3,0 en todas las funciones.
GV Gobernar
1,7
ID Identificar
1,9
PR Proteger
2,5
DE Detectar
1,8
RS Responder
2,1
RC Recuperar
2,4
Parte 2 de 3
Un hallazgo, completo
Cada hallazgo del top 10 trae la evidencia que lo sostiene, qué expone y qué hacer. Este es el primero.
Muestra ilustrativa
Hallazgo 1 · Criticidad alta
Ausencia de aprobación formal de la Estrategia Institucional de Ciberseguridad por parte del Directorio
- Descripción
- Durante el período auditado no se identificaron actas del Directorio que evidencien la aprobación formal de la Estrategia Institucional de Ciberseguridad para el ciclo 2024-2025. La última aprobación formal data de noviembre de 2022.
- Evidencia recopilada
- Revisión de 12 actas del Directorio (enero 2024 a julio 2025). Entrevista con la Secretaría del Directorio. Revisión de la minuta del Comité de Riesgos N.° 47.
- Impacto normativo
- El Capítulo 20-10 establece de forma expresa que el Directorio es responsable de aprobar la estrategia institucional de ciberseguridad. La falta de aprobación constituye una observación directa frente al regulador.
- Impacto en riesgo
- Exposición a observación de la CMF en la próxima fiscalización. Falta de respaldo formal para asignar presupuesto y recursos al programa de ciberseguridad.
- Recomendación
- Elaborar la Estrategia Institucional de Ciberseguridad 2025-2027, presentarla al Comité de Riesgos y aprobarla formalmente en sesión del Directorio en un plazo no superior a 90 días. Establecer un ciclo de revisión y aprobación anual permanente.
Parte 3 de 3
La hoja de ruta: los primeros seis meses
Cada iniciativa dice qué hallazgos (H) y qué riesgos (R) cierra. El informe completo sigue con dos horizontes más, de 6 a 12 meses y de 12 a 24.
Muestra ilustrativa
Corto plazo, 0 a 6 meses · foco en el cumplimiento normativo
| # | Iniciativa | Esfuerzo | Cierra |
|---|---|---|---|
| I-01 | Elaboración y aprobación formal de la Estrategia Institucional de Ciberseguridad 2025-2027 por el Directorio | Bajo | H1 · R1 |
| I-02 | Ciclo anual de gestión de riesgos de seguridad de la información: metodología, ejecución y plan de tratamiento | Medio | H2 · R1 |
| I-03 | Saneamiento integral del inventario de activos de información: propietarios, clasificación y criticidad | Medio | H4 · R4 |
| I-04 | Identificación formal de la infraestructura crítica financiera y procedimiento de intercambio técnico de incidentes | Bajo | H3 · H6 · R5 |
| I-05 | Cuadro de mando de ciberseguridad para el Directorio, con indicadores de gestión y de riesgo | Bajo | H9 · R7 |
| I-06 | Actualización de la Política Institucional de Ciberseguridad y de la Declaración de Aplicabilidad | Bajo | H1 · R1 |
Lo que trae el informe completo
- Resumen ejecutivo
- Alcance, contexto y equipo de trabajo
- Metodología aplicada
- Resultados de madurez NIST CSF 2.0
- Resultados del análisis de brechas RAN 20-10
- Mapeo cruzado entre los dos marcos
- Hallazgos críticos, los diez de mayor impacto
- Análisis de riesgos
- Hoja de ruta priorizada a 24 meses
Más tres anexos: el detalle de la evaluación de cada marco y un glosario con las referencias normativas.
Un informe como este, sobre tu empresa
El Diagnóstico Ejecutivo termina en un informe para tu gerencia: dónde estás, qué riesgos son materiales y en qué orden resolverlos.
Que funcione. Y que puedas demostrarlo.