Clase 203 — Gestión de secretos y privilegios

Parte 15 · Tecnología, datos, IA y operación digital — clase 7 de 14

Estado de evidencia: DINAMICO · Jurisdicción: Chile-first · Fecha base normativa: 07-08-2026
Decisión que habilita: definir cómo se almacenan, comparten y rotan las credenciales
Entregable: inventario de secretos con gestor definido, política de rotación y cuentas privilegiadas nominativas

🎯 Propósito

Administrar credenciales en un gestor con acceso individual, para poder revocar sin cambiar todo y saber quién accedió a qué.

📚 Resultados de aprendizaje

Al finalizar esta clase podrás:

1. Definir con precisión los cuatro conceptos de la tabla siguiente y usarlos para describir un caso real.
2. Explicar por qué esta materia condiciona decisiones de otras partes del programa.
3. Decidir —definir cómo se almacenan, comparten y rotan las credenciales— y justificar la decisión por escrito.
4. Producir el entregable de la clase y contrastarlo contra su criterio de aceptación.
5. Distinguir el dato estable del dato dinámico que exige revalidación en la fuente oficial.

🧩 Conceptos centrales

🗺️ Flujo de razonamiento

flowchart TB
    C["Contexto del caso<br/>actividad · escala · comuna"]
    C --> A1["Secreto"]
    C --> A2["Gestor de secretos"]
    C --> A3["Rotación"]
    C --> A4["Cuenta privilegiada"]
    A1 & A2 & A3 & A4 --> D{{"definir cómo se almacenan,<br/>comparten y rotan las<br/>credenciales"}}
    D --> E["Entregable<br/>inventario de secretos con<br/>gestor definido, política de<br/>rotación y cuentas<br/>privilegiadas nominativas"]
    E --> V{"¿Cumple el criterio<br/>de aceptación?"}
    V -->|sí| S["Evidencia archivada<br/>y clase siguiente"]
    V -->|no| C

📖 Desarrollo

1. El fondo del asunto

Las credenciales compartidas por mensajería son la puerta de entrada más común. Un gestor de secretos con acceso individual permite revocar sin cambiar todo, y deja trazabilidad de quién accedió a qué. Las cuentas privilegiadas deben ser nominativas y auditables.

2. Cómo se traduce en la práctica

Compartir credenciales por mensajería es la práctica más extendida y la que peor envejece: cuando alguien se va hay que cambiar todas las claves compartidas, y nadie sabe cuáles eran. Las cuentas privilegiadas deben además ser nominativas para que exista trazabilidad de las acciones administrativas.

3. Marco aplicable y quién interviene

• Ley 21.663 Marco de Ciberseguridad y su reglamentación
• Ley 21.719 en lo relativo a tratamiento automatizado y decisiones basadas en datos
• controles de referencia tipo CIS Controls y NIST CSF adaptados a pyme

Autoridades o contrapartes involucradas: ANCI, CSIRT Nacional, Agencia de Protección de Datos Personales (en implementación). Profesionales de apoyo: responsable de TI, consultor de ciberseguridad, analista de datos, abogado de datos. La participación concreta depende del riesgo, del tamaño de la empresa y de la actividad económica.

🧪 Taller guiado

Aplica esta clase a una de las siguientes líneas de negocio y repite después el ejercicio con una segunda línea de carga regulatoria distinta:

Secuencia de trabajo:

1. Delimita el contexto: actividad económica, escala, comuna y etapa de la empresa.
2. Reúne los antecedentes que la decisión exige y anota la fecha de cada fuente.
3. Identifica las alternativas reales, incluida la de no hacer nada.
4. Evalúa el impacto en mercado, caja, personas, regulación y operación.
5. Toma la decisión y regístrala con sus supuestos.
6. Produce el entregable.
7. Contrástalo contra el criterio de aceptación.
8. Anota lo que requiere validación profesional y programa su revisión.

📦 Entregable

Inventario de secretos con gestor definido, política de rotación y cuentas privilegiadas nominativas.

Debe incluir decisión, supuestos, fuentes con fecha de consulta, responsable, riesgos identificados y próximos pasos.

🏆 Reto verificable

Resuelve la misma materia para una segunda línea de negocio con distinta carga regulatoria y explica por escrito qué cambió, por qué y qué fuente lo determina.

✅ Criterio de aceptación

• las credenciales se administran en un gestor con acceso individual
• las cuentas privilegiadas son nominativas
• cada afirmación regulatoria está referida a una fuente oficial con fecha de consulta;
• los datos dinámicos quedan marcados para revalidación;
• hay un responsable asignado y evidencia reproducible del trabajo.

⚠️ Errores frecuentes

Propios de esta clase:

• Compartir credenciales por mensajería o correo.
• Mantener cuentas administrativas genéricas sin trazabilidad.

Característicos de la parte 15:

• Respaldos que nunca se probaron y no restauran cuando se necesitan.
• Accesos compartidos y credenciales que sobreviven a la salida de una persona.

🇨🇱 Checklist Chile

• ¿existe norma o autoridad específica para esta materia?
• ¿la fuente consultada está vigente a la fecha de ejecución?
• ¿se activa algún trámite ante el SII?
• ¿se activa algún requisito municipal o sectorial?
• ¿afecta a consumidores o al tratamiento de datos personales?
• ¿afecta a trabajadores o a la seguridad y salud en el trabajo?
• ¿afecta a impuestos, contabilidad o caja?
• ¿afecta a contratos o a propiedad intelectual?
• ¿requiere renovación, reporte periódico o revalidación?

❓ Preguntas de comprobación

1. ¿Cómo compartes hoy una credencial con alguien del equipo?
2. ¿Tus cuentas administrativas son nominativas o genéricas?
3. ¿Cuándo rotaste por última vez las credenciales críticas?

🔗 Fuentes oficiales

Biblioteca del Congreso Nacional · LeyChile — Normativa oficial consolidada <https://www.bcn.cl/leychile/> · verificado 2026-08-19

• Qué contiene: Publica el texto oficial y consolidado de leyes, decretos y reglamentos, con la versión vigente a una fecha, el historial de modificaciones y la tramitación que las originó.
• Cómo leerla: Usa siempre el selector de versión vigente a la fecha en que ejecutarás el trámite, no la última publicada. Y lee el artículo transitorio: en normas en implantación gradual —jornada, datos personales— ahí está la fecha que realmente te aplica.
• Uso en esta clase: aporta el marco de «Normativa oficial consolidada» para definir cómo se almacenan, comparten y rotan las credenciales.

Corporación de Fomento de la Producción — Innovación, inversión y garantías <https://www.corfo.cl/> · verificado 2026-08-19

• Qué contiene: Reúne los instrumentos de fomento a la innovación y la inversión, incluidos programas de capital semilla, escalamiento, garantías y cobertura de riesgo para el sistema financiero.
• Cómo leerla: Filtra por etapa de la empresa antes que por monto. Y verifica el componente de innovación que exige cada instrumento: presentar una expansión comercial como innovación es la causa más común de rechazo.
• Uso en esta clase: aporta el marco de «Innovación, inversión y garantías» para definir cómo se almacenan, comparten y rotan las credenciales.

Complementos del repositorio: glosario · ruta de lecturas · catálogo de fuentes.

Important

Material educativo. Para una decisión real de alto impacto hay que verificar la fuente oficial vigente y validar con el profesional competente.