ISO 28000 en puertos y operadores logísticos: cómo blindar la cadena de suministro física y digital

A mediados de octubre de 2026, un grupo de extorsión de datos identificado como «n0n» publicó un listado de 38 navieras, puertos y terminales en 18 países (entre ellos Ocean Network Express, Samudera, Santos Brasil, Portonave, TTI Algeciras y NEOM Ports) y amenazó con filtrar manifiestos de contenedores, mensajes EDI, programación de buques y registros de movimiento en patio si no se pagaba un rescate de entre 2,4 y 14 millones de dólares. Ninguna de las empresas nombradas había confirmado oficialmente una vulneración al cierre de esta nota, pero el caso ya circula como el ejemplo del momento de ciberseguridad en logística, y casi toda la conversación se está dando en un solo idioma: el de ISO 27001, SGSI, controles de acceso.

Ese idioma es necesario, pero cuenta solo la mitad de la historia. Lo que ese mismo listado de datos describe (quién mueve qué contenedor, por qué puerta, en qué camión, hacia qué bodega) es exactamente el terreno que cubre ISO 28000: la seguridad física y operacional de la cadena de suministro. Si tu empresa es naviera, opera un terminal, un almacén extraportuario o una flota de transporte internacional, el caso de octubre no es solo una alerta de TI. Es una alerta de sistema de gestión completo.

Qué exige realmente ISO 28000

ISO 28000:2022 (Security and resilience, Security management systems, Requirements) no es una lista de candados y cámaras. Es un sistema de gestión, con la misma estructura de alto nivel que ISO 9001 o ISO 27001 (contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora), aplicado a un objetivo específico: identificar y tratar las amenazas que pueden interrumpir, dañar o comprometer una cadena de suministro.

En la práctica, eso exige tres bloques concretos:

Evaluación y tratamiento del riesgo (cláusula 8.3). No basta con una lista genérica de «riesgos de seguridad». La norma pide identificar amenazas por instalación y por eslabón (robo en bodega, manipulación de precintos, fraude documental, intrusión en sistemas que controlan el movimiento físico de carga, sabotaje, contrabando) y clasificarlas en riesgo inherente y riesgo residual, después de aplicar los controles existentes.

Planes y estrategias de seguridad (cláusulas 8.5 y 8.6). Cada amenaza identificada necesita un plan de respuesta documentado, no una reacción improvisada el día del incidente. Esto incluye protocolos de continuidad operacional: qué hace el terminal si un sistema de gestión de patio queda fuera de servicio, qué hace la naviera si un puerto de tránsito cierra sin aviso.

Auditoría interna y revisión por la dirección (cláusulas 9.2 y 9.3). El sistema tiene que revisarse con evidencia real, no solo con la autoevaluación del área de seguridad. La alta dirección debe conocer el estado de los riesgos y aprobar los recursos para tratarlos, igual que lo haría con cualquier otro riesgo de negocio.

Lo que distingue a ISO 28000 de una política de seguridad física tradicional es justamente esto: trata amenazas como el robo de carga en la misma lógica de gestión de riesgo que trata un acceso indebido a un sistema de manifiesto electrónico. En un puerto moderno, donde las grúas, los portones y el inventario de patio se controlan desde plataformas digitales, esa distinción entre «lo físico» y «lo digital» ya casi no existe en la operación diaria, aunque siga existiendo en cómo las empresas organizan sus certificaciones.

ISO 28000 e ISO 27001: no es elegir una, es que ninguna alcanza sola

El caso de los 38 puertos lo muestra con claridad. Lo que el grupo n0n dice tener (manifiestos, mensajes EDI, programación de buques, registros de movimiento en patio) es información. Protegerla, con gestión de accesos, cifrado, autenticación y monitoreo de proveedores TIC, es exactamente el territorio de ISO 27001 y su Anexo A (en particular los controles 5.19 a 5.22 sobre relaciones y cadena de suministro con proveedores). Pero esa misma información, si se filtra o se manipula, tiene una consecuencia que no es informática: permite saber qué contenedor específico va a salir por qué puerta, en qué camión y hacia dónde. Eso ya es un riesgo físico y operacional de la cadena de suministro, el territorio de ISO 28000.

Ninguna empresa portuaria o naviera que gestione esto en dos sistemas separados, con el área de TI por un lado y el área de seguridad física por otro, sin un punto de encuentro formal, va a cerrar esta brecha. La estructura de alto nivel que comparten ambas normas (el mismo esqueleto de cláusulas 4 a 10) está pensada precisamente para integrarse: un mismo proceso de evaluación de riesgos de proveedores puede alimentar tanto el Anexo A de ISO 27001 como la cláusula 8.3 de ISO 28000, en vez de duplicar el trabajo en dos matrices que nadie cruza.

Un caso real con más de una década de recorrido: DP World Callao

En 2012, DP World Callao fue una de las primeras tres empresas peruanas (junto a Hermes y Tramarsa) en certificarse bajo ISO 28000, en un momento en que la norma todavía era poco conocida en la región. Más de una década después, en febrero de 2026, DP World obtuvo a nivel de grupo la certificación ISO 28000:2022 acreditada por ANAB, a través de la certificadora IRQS, en 40 ubicaciones de su red global.

El dato relevante para una empresa chilena no es el logo de la certificación. Es lo que implica mantenerla vigente durante más de diez años: la norma no se certifica una vez y se archiva, se revisa y se renueva a medida que cambian las amenazas (de la piratería y el contrabando de hace una década a la extorsión de datos de un operador portuario hoy). Eso es, en esencia, la cláusula 9.3 funcionando como se espera que funcione.

Pasos concretos para una pyme logística chilena que exporta a Asia o a Europa

Una pyme exportadora no tiene la escala de DP World, pero sí tiene exactamente el mismo tipo de exposición: carga que pasa por varios eslabones (bodega propia, transporte terrestre, puerto de embarque, naviera, puerto de tránsito, destino final), cada uno gestionado por una empresa distinta que no necesariamente reporta los mismos estándares de seguridad.

Primero, mapear los eslabones críticos de la ruta real, no de la ruta ideal. Si tu carga sale por San Antonio o Valparaíso hacia Asia, o cruza a Argentina para salir por el Atlántico hacia Europa, cada tramo y cada subcontratista (transportista, bodega de consolidación, agente de aduana) debe quedar identificado como un eslabón con riesgo propio, no como una línea genérica en una cotización de flete.

Segundo, evaluar el riesgo específico de cada eslabón. No es lo mismo el riesgo de robo en ruta terrestre que el riesgo de manipulación documental en un puerto de tránsito o el riesgo de que un transportista subcontratado no verifique la identidad de quien retira la carga. Esta evaluación es, literalmente, la cláusula 8.3 de ISO 28000 aplicada a la realidad de la pyme.

Tercero, articular esto con el programa de Operador Económico Autorizado (OEA) de Aduanas de Chile. El OEA no es ISO 28000, pero comparte gran parte de la evidencia que exige: procedimientos de seguridad física, verificación de proveedores de transporte, control de acceso a instalaciones. Una pyme que ya construyó esa evidencia para el OEA, o que está en proceso, tiene buena parte del trabajo de ISO 28000 adelantado, y viceversa.

Cuarto, definir quién verifica qué, y por qué canal, antes de que ocurra un incidente. Un cambio de última hora en el punto de recogida, en el transportista asignado o en el horario de embarque debería confirmarse por un canal distinto al correo electrónico que lo propuso, exactamente el tipo de brecha que explotan los fraudes de robo de carga y que ningún sistema de gestión de la información, por sí solo, va a cerrar si el equipo de operaciones en terreno no tiene el protocolo correspondiente.

Quinto, coordinar explícitamente al equipo de TI con el equipo de operaciones y seguridad física. El caso de los 38 puertos es, de nuevo, el recordatorio: la alerta de que una cuenta o un sistema de manifiesto fue comprometido tiene que llegar, el mismo día, a quien verifica físicamente la carga en terreno. Si esos dos equipos no se hablan de forma estructurada, la empresa tiene dos sistemas de seguridad que, en el papel, se ven completos, y que en la práctica dejan exactamente la brecha que un atacante necesita.

La pregunta que vale la pena hacerse

Si hoy se filtrara el manifiesto de tu próximo embarque hacia Asia o Europa, ¿tu empresa sabría, en las próximas horas, qué eslabón de la ruta queda expuesto y qué transportista o puerto de tránsito necesita una verificación adicional? ¿O lo primero que haría sería revisar si fue «un problema de TI» o «un problema de seguridad», perdiendo tiempo valioso en una distinción que, para quien ataca, ya no existe?

¿Tu empresa de logística o tu terminal gestionan la seguridad de la cadena de suministro como un sistema integrado entre lo físico y lo digital, o como dos áreas que recién se hablan cuando ya ocurrió el incidente? En Profile Empresarial te ayudamos a construir un sistema de gestión bajo ISO 28000, articulado con tu SGSI y con tu proceso de OEA, para que esa brecha no exista. Agenda tu diagnóstico con nuestro equipo.

Cesar Laya, Profile Empresarial. Tu Certificación, Nuestro Compromiso.