Fintech y Banca:
OIV desde el día uno.
Bancos, fintech, emisoras y procesadoras son Operadores de Importancia Vital (OIV) bajo la Ley 21.663. AlerceGRC integra las exigencias de la ANCI, la CMF, la Ley 21.719 y los estándares de la industria en un solo sistema de gestión.
La ANCI designa a los bancos y emisoras como Operadores de Importancia Vital (OIV), con obligaciones de ciberseguridad exigibles desde la entrada en vigor de la Ley 21.663.
Las normas que rigen al sector financiero en Chile.
Marcos verificados contra la BCN y la normativa CMF vigente. Cita la fuente legal en cada control.
Ley 21.663 · Marco de Ciberseguridad
Bancos, emisoras y procesadoras son OIV designados por la Agencia Nacional de Ciberseguridad (ANCI). Las obligaciones incluyen:
- Programa de ciberseguridad con CISO designado
- Notificación de incidentes significativos al CSIRT Nacional
- Reloj regulatorio: alerta temprana → actualización → informe final
- Cadena de suministro: evaluación de proveedores críticos de TI
AlerceGRC incluye el crosswalk Ley 21.663 → NIST CSF 2.0.
Ley 21.719 · Protección de Datos
La industria financiera trata datos sensibles de millones de personas. Las obligaciones incluyen:
- RAT público (registro de actividades de tratamiento)
- Solicitudes de derechos ARCOP con plazos en días hábiles
- PIA/DPIA antes de tratamientos de alto riesgo
- Notificación de brechas a la Agencia dentro de plazo
Multas hasta 20.000 UTM o 4 % de ingresos en reincidencia gravísima.
RAN CMF · Normas CMF para Banca y Fintech
La Comisión para el Mercado Financiero (CMF) emite circulares y resoluciones de obligatorio cumplimiento para entidades bajo su supervisión:
- Gestión de riesgo tecnológico y operacional (Capítulo 20-10)
- Continuidad operacional y recuperación ante desastres
- Gestión de proveedores tecnológicos críticos
- Ciberseguridad en medios de pago y canales digitales
PCI DSS v4.0 · Seguridad de Medios de Pago
Obligatorio para todo emisor, adquirente o procesador que maneje datos de tarjetahabientes. Requisitos clave:
- Protección de datos del titular de la tarjeta (CHD)
- Control de acceso con privilegio mínimo y autenticación MFA
- Monitoreo continuo y pruebas de penetración periódicas
- Gestión de vulnerabilidades y parches en plazos
AlerceGRC incluye crosswalk PCI DSS → NIST CSF → ISO 27001.
NIST CSF 2.0 · Marco de Ciberseguridad
Referente global adoptado por la Ley 21.663 para estructurar el programa de ciberseguridad:
- Funciones: Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar
- Perfiles de riesgo a medida por tipo de entidad
- Crosswalk hacia Ley 21.663, ISO 27001 y NIST SP 800-53
ISO/IEC 27001:2022 · SGSI
Sistema de gestión de seguridad de la información reconocido internacionalmente:
- 114 controles del Anexo A (edición 2022: 93 controles reorganizados)
- SoA (Declaración de Aplicabilidad) generado en PDF con firma y sello
- Ciclos de certificación y auditoría interna diferenciada
Crosswalks disponibles: ISO 27001 → NIST CSF · NIST SP 800-53 · SOC 2 · PCI DSS.
Diseñado para los plazos de la industria financiera.
Reloj regulatorio en vivo
El módulo de incidentes calcula los plazos exactos de la Ley 21.663 según tu tipo de entidad (OIV, servicio esencial u otra). No hay que buscar la circular: el sistema muestra el tiempo restante para cada hito.
Un control, varias normas
Los crosswalks de AlerceGRC mapean controles entre la Ley 21.663, PCI DSS, NIST CSF, ISO 27001 y CMF. Completas el control una vez y el sistema lo vincula a todas las normas que aplican.
Evidencia para la CMF
Cada control tiene su evidencia encadenada con HMAC y sellada con RFC 3161. Los reportes en PDF son íntegros, fechados y trazables: lo que el directorio y la CMF esperan al fiscalizar.
¿Qué normas aplican a tu fintech o banco hoy?
Te mostramos los marcos, los crosswalks y el estado de cumplimiento de tu organización en una demo de 45 minutos.
o escríbenos a [email protected]