En la quincena de agosto doce entidades reclamaron ser integrados en un listado de infraestructura crítica de ciberseguridad que los catalogó como operadores de importancia vital (OIV). Las mineras Zaldívar, Antucoya, Centinela, del grupo Luksic, Copec, del grupo Angelini, y las UC Christus, administradora de hospitales, presentaron sus acciones judiciales en contra de la Agencia Nacional de Ciberseguridad (Anci).

En respuesta, a fines de agosto, el organismo presentó un informe en su disputa contra la UC, desplegando una serie de razones para fortalecer su decisión de considerar a la institución dentro de estos operadores.

UC Christus es operador del hospital Clínico de la Pontificia Universidad Católica de Chile y la Clínica San Carlos de Apoquindo, entre otras. “El mero hecho de que algunos de los dispositivos utilizados por la clínica para la prestación institucional de salud requieran de actualizaciones de software es motivo suficiente para tener por acreditada la dependencia de redes y sistemas, en tanto da cuenta de que, en algún momento, dichos dispositivos tendrán que ser conectados a redes externas, o, en su defecto, deberán recibir actualizaciones mediante dispositivos externos, los cuales son susceptibles de transportar malware de cualquier tipo”, apunta el escrito presentado por el abogado de la Anci, Juan Ignacio Alarcón.

La institución -que inició sus labores el 1 de enero del 2025 a propósito de la Ley Marco de Ciberseguridad, y cuyo objetivo es coordinar la estrategia nacional de ciberseguridad- ejemplificó los casos concretos en que los centros de salud mencionados podrían verse afectados por un ataque cibernético.

“Un ransomware (tipo de malware que retiene datos y dispositivos como rehenes hasta el pago de un rescate) puede tener alcances catastróficos que van desde la cancelación de procedimientos clínicos programados, la demora significativa en el procesamiento de exámenes de diagnóstico, como rayos-X y tomografías computarizadas, la imposibilidad de acceder a las fichas digitales de los pacientes, errores en la administración de medicamentos por confusión con los registros médicos en formato físico, entre otros”, detalló.

Agrega que “no tener acceso de manera inmediata a la ficha clínica de un paciente puede provocar la afectación grave de la integridad física del mismo, o donde no contar con un sistema informático que permita el cálculo instantáneo de las dosis requeridas de un medicamento a suministrar puede provocar que aquel medicamento que debiese mejorar la condición del paciente, termine empobreciéndola, incluso de manera fatal”.

“No introduce obligaciones desproporcionadas”

La argumentación de la Anci apunta que un ataque de este tipo no está vinculado solamente con la vulneración de la integridad, confidencialidad y disponibilidad de los datos de los pacientes, sino que también el cuidado de los pacientes. Si con esto se afecta la calidad de la prestación de salud, se dejaría de prestar un servicio óptimo, seguro y completo, lo que demuestra la dependencia del funcionamiento de estos centros en las redes y los sistemas informáticos.

La Anci explicó que para realizar la calificación como OIV, los prestadores de servicios esenciales tienen que cumplir dos requisitos principales: que el servicio respectivo dependa de redes y sistemas informáticos y que su afectación tenga impacto en la seguridad y el orden público.

“La adaptación a las obligaciones derivadas de su calificación como OIV no constituye una adaptación transgresora, sino más bien fortalece lo que la empresa ha venido haciendo, particularmente mediante la adopción de planes de continuidad de negocio, planes de recuperación ante desastres, auditorías externas y cumplimiento normativo, entre otros”.

La agencia planteó que “la calificación como operador de importancia vital no introduce obligaciones desproporcionadas u excesivamente novedosas dada la situación actual de la empresa requirente, sino que refuerza obligaciones que ya forman parte de la normativa de ciberseguridad de las empresas pertenecientes a la industria digital para el debido resguardo del servicio que prestan”.

Frente al reclamo de la UC, de que sus observaciones en el proceso de definición de operadores de importancia vital no fueron consideradas, la Anci señaló que “tales observaciones fueron debidamente analizadas e incluidas en el respectivo expediente de la entidad, junto a los demás insumos recabados durante el curso del procedimiento, con el objeto de determinar su inclusión o exclusión en la nómina final”.

La UC había dicho que el organismo “no explicitó criterio ni antecedente alguno que justificara la inclusión de un operador determinado”, añadiendo que la “consulta pública quedó desprovista de efectividad real y los interesados fueron forzados a participar en un procedimiento materialmente “a ciegas””.

“En definitiva, no es posible sostener que la resolución impugnada imponga una carga desproporcionada o carente de justificación, especialmente cuando dicha calificación se funda en criterios legales previamente establecidos, antecedentes técnicos y dadas las características particulares de UC Christus, y que, en base al sector de salud en el cual desarrolla sus funciones, conlleva a una mayor responsabilidad institucional, al tratarse de un bien jurídico relevante como lo es el bienestar de la sociedad”, concluyó la Anci.