Ir al contenido 
Las 3 cosas que tienes que saber para cumplir la Ley 1581 en la época de los ciberataques
Ninguna de las tres está en el manual que firmó tu empresa.
El manual interno, el aviso de privacidad y el registro en el RNBD ya están hechos. Ninguno de los tres se defiende solo cuando te atacan. En 60 minutos sabes qué falta y quién responde si falla.
Cupos limitados. Se transmite en vivo, no queda grabado.
El manual se escribió hace diez años. El ataque es de este año.
La Ley 1581 es de 2012 y el decreto que la reglamentó es de 2013. Cuando tu empresa armó el cumplimiento, el riesgo que se tenía en mente era el uso indebido: que alguien le diera a los datos de los clientes un destino que nadie autorizó.
Ese riesgo sigue ahí. Lo que pasa es que se le sumó otro, y el nuevo no firma autorizaciones ni contesta correos.
La ley no se reescribió para el escenario nuevo. Se aplica igual. Y la parte que te toca a ti no está en las páginas de políticas: está en la infraestructura.
Estas son las tres cosas que hay que saber.
“De eso se encarga el área legal”
Y es verdad. El manual lo redactó legal, el aviso lo publicó marketing y el registro lo hizo alguien de administración. A ti no te llamaron a ninguna de esas reuniones.
Pero abre el manual y busca la frase medidas técnicas de seguridad. Está ahí. Está en todos, porque el artículo 4 la exige.
“Si se cae el servicio, no se filtró nada”
La caída dura cuarenta minutos, el equipo la levanta, nadie sacó información. Caso cerrado.
Pero la ley no pregunta si salieron datos. Pregunta si hubo pérdida de acceso, alteración o uso no autorizado de información personal. Un secuestro de datos que cifra la base cumple esa descripción completa sin sacar un solo registro.
“Ya tengo firewall, antivirus y backup”
Y seguro están bien puestos. Nadie está discutiendo tu criterio técnico.
Lo que se discute es el formato. Cuando llega un requerimiento nadie te pide entrar a la consola: te piden un documento que demuestre que el control estaba activo el día del incidente, quién lo revisó y cuándo.
Con qué sales de la hora
Cuatro cosas concretas. Ninguna es un PDF de normativa.
- Qué párrafos del manual de tu empresa dependen de la infraestructura que tú administras.
- En qué momento una caída deja de ser un problema de operación y pasa a ser un incidente reportable.
- Qué evidencia pide un requerimiento de la SIC, en qué formato y en cuánto tiempo.
- Qué se puede montar antes del ataque y qué ya no sirve de nada montar después.
Al final hay turno abierto de preguntas.
Para ti, si
Respondes por que los sistemas sigan arriba.
- Diriges TI, infraestructura o seguridad en una empresa que guarda datos de sus clientes.
- El cumplimiento de la 1581 en tu empresa se armó hace años y nadie lo volvió a mirar desde el lado técnico.
- Tienes los controles puestos, pero no sabrías qué entregar si mañana te piden evidencia.
- Si hay una caída, a ti te preguntan primero qué pasó y qué se hizo para evitarla.
No es para ti, si
Preferimos decirlo antes de que apartes la hora.
- Buscas una introducción a ciberseguridad. Damos por hecho que sabes qué es una denegación de servicio.
- Quieres el marco legal completo de la 1581. Solo vemos la parte donde la ley toca la infraestructura.
- Esperas una demo de producto. No hay pantallazos de herramientas ni precios.
- Tu operación no está sujeta a la ley colombiana de protección de datos.
Quién responde cada una
Tres personas, tres ángulos del mismo problema: el legal, el técnico y el de la evidencia.
Robin Salcedo
[CREDENCIAL PENDIENTE — una línea real: cargo actual, años trabajando en protección de datos, o casos que ha acompañado ante la SIC.]
Olga Tandioy
[CREDENCIAL PENDIENTE — una línea real: su cargo en Nexusguard y qué tipo de ataques ha visto mitigar en la región.]
Andrés Camargo
Dirige Adaptive, firma colombiana de tecnología para empresas y despachos profesionales. Trabaja el día a día de infraestructura, mesa de ayuda y ciberseguridad de sus clientes.
Monitoreo OSINT de tu marca
Te mostramos qué hay expuesto de tu empresa en fuentes abiertas. Una URL, sin costo. Se entrega solo a quienes estén en vivo.
