Privacidad, cumplimiento y las primeras 72 horas

La reforma al régimen de datos se hundió: el tope sigue en 2.000 SMLMV

Aquí hay dos lecciones y la segunda es la que se les olvida. La primera: un caso de negocio construido sobre una sanción hipotética se cae cuando la sanción no llega. La segunda: en Colombia el régimen de datos personales es ley estatutaria, y por eso tiene que aprobarse en una sola legislatura. Cualquier reforma que no alcance ese ritmo se archiva y hay que volver a empezar. Quien planee un programa de cumplimiento a tres años debería contar con que este intento vuelve.

CONPES 4144: Colombia tiene política de IA, no ley de IA

Una política CONPES orienta el gasto público y señala hacia dónde irá la regulación, pero no crea obligaciones exigibles para una empresa. Confundir las dos cosas es el error más común en los comités de ética de IA colombianos.

Chile enciende su agencia de datos el 1 de diciembre de 2026

Quien opera datos en varios países de la región enfrenta cuatro regímenes distintos y en movimiento simultáneo. La transferencia transfronteriza deja de ser un trámite y pasa a ser una decisión de arquitectura.

El plazo para reportar una brecha en Colombia no está en la ley

Quien opera en ambos regímenes necesita dos protocolos, no uno: en Colombia el reloj corre en días hábiles y solo hacia la autoridad; en la Unión Europea corre en horas corridas y además hacia las personas. El gerente acostumbrado al ritmo colombiano incumple el GDPR sin darse cuenta.

Ecopetrol: el ransomware se bloqueó, los datos ya se habían ido

El caso separa dos cosas que en las juntas se confunden: contener el cifrado no es contener la brecha. El control funcionó contra el ransomware y aun así hubo exfiltración, extorsión y un problema de datos personales. La pregunta de gobernanza no es "¿nos cifraron?" sino "¿qué había en esa carpeta de la nube, quién la clasificó y quién autorizó ese acceso?".

Bogotá: el dato salió por la puerta del proveedor

Una base histórica es el activo más olvidado del inventario: ya no sirve para operar, nadie la mira, nadie la clasifica y casi siempre sigue completa. La pregunta que este caso deja sobre la mesa es de retención, no de firewall: ¿por qué seguía existiendo ese dato, y por qué lo custodiaba un tercero?

El costo promedio de una brecha cae por primera vez en cinco años

Es la cifra que todo comité cita y casi nadie interroga. El promedio global cayó porque las organizaciones detectan más rápido, no porque haya menos ataques: la variable de decisión es el tiempo de contención, y esa sí se puede presupuestar.

SuperSalud anuncia acciones legales tras descarga masiva de datos

Los dos casos comparten la misma lección incómoda: el perímetro de la organización incluye a sus terceros. El riesgo de cadena de suministro es la razón por la que el NIST CSF 2.0 lo elevó a la función GOVERN.

Colombia tiene estrategia de seguridad digital, no agencia

Cuando una organización sufre un incidente, la primera pregunta operativa es a quién se llama. En Colombia la respuesta depende de si el ataque se considera delito, incidente o asunto de defensa nacional — y esa clasificación la hace, en la práctica, la propia víctima.