Cumplimiento que resiste una fiscalización y una reunión de directorio.
Protección de datos, ciberseguridad y tu normativa sectorial —gobernadas en un solo lugar, con evidencia sellada que se puede verificar fuera de la plataforma.
Diseñada para CISOs, DPOs, gobernanza de datos y directorios que responden ante la autoridad y el board.
Cada responsable, su evidencia. Un mismo sistema.
Lo que resuelve AlerceGRC según quién eres y ante quién respondes.
Postura, no planillas
Controles de referencia de ISO 27001, NIST y la Ley 21.663 conectados por mapeos entre marcos. Incidentes con reloj regulatorio en vivo según tu tipo de entidad, y la notificación al CSIRT como un permiso aparte.
Accountability demostrable
RAT (registro de actividades de tratamiento) con portal público, solicitudes de derechos ARCOP con plazos en días hábiles, PIA/DPIA con aprobación y brechas con alertas. Preparado para la Ley 21.719.
Del dato al control
Quien evalúa no aprueba: segregación de funciones en evaluaciones, auditoría, riesgo e incidentes. Declaración de Aplicabilidad (SoA) generada en PDF desde tus controles.
Decisión con respaldo
Riesgo corporativo frente al apetito definido, con KRI y mapa de calor. Reportes ejecutivos en PDF con prueba de integridad y sello de tiempo.
Lo que ya está en la plataforma.
Contado sobre el catálogo y el producto, no estimado.
Controles con cita legal
Controles chilenos con referencia contrastada con la Biblioteca del Congreso Nacional (BCN).
Mapeos entre marcos
7 crosswalks: una misma evidencia se relaciona con varios marcos.
Idiomas
Interfaz en español, inglés y portugués para equipos regionales.
Cierre de auditoría
La sala de auditoría se cierra con la firma del auditor designado y queda inmutable.
Todo el ciclo GRC, en una sola plataforma.
Cumplimiento, riesgo, evidencia, incidentes, privacidad y operación comparten los mismos controles, responsables y evidencia.
Cumplimiento
- Evaluaciones multi-marco con revisión y aprobación
- Segregación de funciones y export CSV auditado
- SoA autogenerada en PDF
- Biblioteca normativa, crosswalks y brechas por obligación
Riesgo corporativo (ERM)
- Registro de riesgos y responsables
- Apetito de riesgo por categoría, con permiso separado
- KRI con historial y mapa de calor
- Vínculo riesgo ↔ control (mitiga, causa, monitorea)
Evidencia y auditoría
- Cadena de custodia sellada y verificable
- Salas de auditoría con cierre por firma del auditor
- Auditoría interna con separación ejecutar / revisar
- Exportes legales verificables y simulación de auditoría
Incidentes y continuidad
- Incidentes Ley 21.663 con reloj regulatorio en vivo
- Continuidad: BIA, planes, ejercicios y hallazgos
- Capacitación y simulacros guiados por un facilitador
Privacidad
- RAT con portal público de transparencia
- Solicitudes de derechos ARCOP con plazos en días hábiles
- PIA/DPIA con flujo de aprobación
- Brechas de datos con alertas y panel de privacidad
Terceros, políticas y ética
- Inventario de proveedores y su riesgo
- Cuestionarios con separación respondedor / revisor
- Políticas con campañas de atestación y excepciones
- Canal de denuncias y conflictos de interés
Operación
- CMDB: activos, criticidad, dependencias y controles
- Tareas de control por cadencia, con vencimientos
- Ciclos de certificación ISO, SOC 2 y PCI de tu organización
- Centro de notificaciones: email y campana
Reportería
- Dashboard con incidentes, notificaciones y ERM frente al apetito
- Reporte ejecutivo en PDF con prueba de integridad y sello de tiempo
- Historial de reportes emitidos
War Room
- Coordinación de incidentes con playbooks y remediación controlada
- Línea de tiempo unificada multi-rol con seguimiento por UUID
- Enforcement que bloquea cierres sin prueba verificable
- Tabletops autoguiados exigidos por Ley 21.663 e ISO 22301: simulacros de crisis sin afectar producción
Revisión legal (Vertical 0)
- Cola de revisión de la biblioteca regulatoria por abogados
- Aprobación por lote antes de publicar en catálogo
- Handoff controlado hacia automatización (sin autopublish)
34 marcos y 705 controles de referencia, listos para activar.
15 marcos chilenos por sector, 16 internacionales y 3 marcos base de Alerce, sobre el mismo motor de evidencia.
Ley 21.719 viene precargada en todos los planes. Los demás paquetes normativos —ISO 27001, NIST CSF, Ley 21.663, CMF, MINSAL, etc.— se contratan por separado según el sector y el alcance de tu organización.
Marcos chilenos por sector 15 marcos · 344 controles
| Sector | Marco y normas base | Controles | Cita contrastada con BCN |
|---|---|---|---|
| Transversal | Ley 21.663 · Marco de Ciberseguridad | 10 | Sí |
| Transversal | Ley 21.719 · Protección de datos personales | 8 | Sí |
| Banca y fintech | CMF: RAN 1-13, RAN 20-10, Ley 21.521, NCG 502, Ley 19.913 | 28 | Sí |
| Salud | MINSAL: Ley 20.584, DS 41, DS 140 | 21 | Sí |
| Gobierno digital | DS 7, Ley 21.180, Ley 20.285 | 22 | Sí |
| Gobiernos regionales | GORE: Ley 19.175, DS 295 | 22 | Sí |
| Municipalidades | Ley 18.695, Ley 18.575 | 23 | Sí |
| Educación | Transversal, todos los niveles | 25 | Sí |
| Educación | Educación básica | 20 | Sí |
| Educación | Educación media | 17 | Sí |
| Educación | Educación superior: Ley 21.091, Ley 20.129, Ley 21.369 | 21 | Sí |
| Energía | Ley 20.936, DS 109 | 20 | Sí |
| Minería | DS 132 | 20 | Sí |
| Retail y comercio | Ley 19.496, Ley 20.009 | 18 | Sí |
Crosswalks entre marcos 7 · 116 mapeos
| Origen → destino | Mapeos |
|---|---|
| Ley 21.663 → NIST CSF 2.0 (informativo) | 8 |
| GDPR → ISO/IEC 27701 | 8 |
| ISO 27001 → NIST SP 800-53 | 13 |
| ISO 27001 → NIST CSF | 17 |
| ISO 27001 → SOC 2 | 10 |
| NIST SP 800-53 → PCI DSS | 48 |
| NIST CSF → NIST SP 800-53 | 12 |
Marcos internacionales 16
Trazabilidad legal en cada control chileno. Los controles citan su origen normativo:
con enlace a la fuente oficial en LeyChile (BCN). ¿Tu normativa no está? La modelamos sobre el mismo motor, sin rehacer lo que ya tienes.
Los marcos internacionales son catálogos de controles de referencia (subconjuntos), no el texto completo de cada norma. AlerceGRC ayuda a gestionar y evidenciar el cumplimiento; no reemplaza la asesoría legal ni garantiza el cumplimiento. Los catálogos son marcos de referencia y no sustituyen el texto legal oficial. Las marcas de normas indican marcos soportados, no certificaciones.
Habla tu ley, no una plantilla traducida.
Módulos operativos para las leyes que hoy piden evidencia en Chile, más los marcos de tu regulador sectorial.
Incidentes con reloj regulatorio
- Alerta temprana, informe de actualización e informe final según tu tipo de entidad (OIV, servicio esencial u otra)
- Cuenta regresiva en vivo y avisos escalonados de vencimiento
- Notificación al CSIRT Nacional como facultad separada: quien contiene el incidente no reporta por su cuenta
- Informe del incidente descargable, con sello de tiempo
Los plazos se parametrizan por tipo de entidad y los valida tu área legal. La plataforma registra y documenta la notificación; el envío a la autoridad lo hace tu organización.
Privacidad operativa
- RAT (registro de actividades de tratamiento) con portal público de transparencia
- Solicitudes de derechos ARCOP con control de plazos en días hábiles chilenos
- Evaluaciones de impacto (PIA/DPIA) con aprobación
- Registro de brechas con alerta inmediata al DPO
La ley entra en vigencia el 1 de diciembre de 2026 (un proyecto de ley en el Senado, Boletín 18.623-07, propone extender el plazo al 1 de diciembre de 2027). Ante una vulneración de seguridad debes reportar a la Agencia sin dilaciones indebidas y, en ciertos casos, avisar a los titulares. Multas de hasta 20.000 UTM (≈ $1.434 millones, UTM sep. 2026) y, en reincidencia gravísima de empresas que no son de menor tamaño, hasta el 4 % de los ingresos anuales. Los plazos de respuesta los valida tu área legal.
Tu sector, con cita a la fuente
- CMF: banca y fintech (RAN, Ley 21.521, NCG 502)
- MINSAL: Ley 20.584, DS 41 y DS 140
- Educación: básica, media y superior (Ley 21.091, 20.129, 21.369)
- Gobierno: gobierno digital (DS 7, Ley 21.180), GORE y municipalidades
Marcos de referencia construidos por AlerceGRC; no son productos aprobados por los reguladores.
Diseñada para el día que te auditen.
Lo que un CISO o DPO necesita cuando tiene que probar —no declarar— que cumple.
Cadena de custodia, no confianza
- Registro HMAC-SHA256 encadenado: cada evento incluye el hash del anterior y un número de secuencia; cualquier alteración rompe la cadena
- Firma digital ECDSA P-256 de cada evento, con clave pública embebida para verificar offline, fuera de la plataforma
- Sello de tiempo RFC 3161 con TSA configurable por organización: puedes usar un TSA acreditado
- Soporte de almacenamiento inmutable WORM (S3 Object Lock, modo Compliance) y retenciones legales
Prueba lista para la autoridad
- Exportes legales verificables: manifiesto, hashes, sello de tiempo y cadena de custodia en un paquete
- Salas de auditoría con hallazgos y línea de tiempo, cerradas por firma del auditor e inmutables después
- Reportes ejecutivos en PDF con prueba de integridad y sello de tiempo
- Simulación de auditoría antes de que llegue la real
La firma ECDSA acredita la integridad técnica de los registros; no reemplaza la firma electrónica regulada por la Ley 19.799.
Construida como la construiría un CISO.
Controles propios de la plataforma, descritos tal como están implementados.
Aislamiento por cliente
Aislamiento enforced en el motor de datos, no en código de aplicación. Ningún dato de una organización es accesible desde otra —por diseño, no por configuración.
Acceso con denegación por defecto
RBAC deny-by-default: un permiso ausente es un acceso negado. Segregación de funciones en aprobaciones, auditoría, riesgo e incidentes.
Autenticación fuerte
MFA TOTP con códigos de respaldo, exigible por política de tu organización. Alertas de nuevo dispositivo y bloqueo ante intentos fallidos.
Identidad corporativa
SSO con SAML u OIDC y aprovisionamiento de usuarios con SCIM 2.0. Sesiones cortas con renovación rotativa.
Secretos cifrados
Secretos de MFA, SSO, correo y conectores cifrados con AES-256-GCM en la base de datos.
Cadena de suministro y operación
CI de seguridad con análisis estático, secretos y dependencias, SBOM e imagen de contenedor firmada. Operación en AWS con TLS 1.3.
Criptografía reforzada
Endurecimiento criptográfico ya en producción.
- Reautenticación con doble factor para operaciones administrativas sensibles.
- Códigos de doble factor de un solo uso: un código ya utilizado no se acepta de nuevo.
- Claves criptográficas separadas por propósito (sesiones, secretos de plataforma y doble factor), con soporte de rotación.
- Tokens de sesión con algoritmo fijado e identificador de clave.
- Inventario criptográfico y reglas automáticas en la integración continua que bloquean usos inseguros de criptografía.
- Seguridad de credenciales a nivel de banca digital: protección de contraseñas y códigos de respaldo conforme a OWASP ASVS Level 2 y NIST SP 800-63B.
La plataforma fue construida sobre estos estándares. Nosotros sí cumplimos.
El modelo que se ajusta a tu organización.
Desde la nube compartida hasta tu propio datacenter. Los tres sabores corren la misma plataforma y el mismo conjunto de controles.
SaaS multitenant
Cloud gestionado por Alerce. Onboarding inmediato, actualizaciones automáticas. Aislamiento en la capa de datos —ninguna organización ve los datos de otra.
Para la mayoría de las organizaciones.
Single tenant dedicado
Instancia exclusiva en AWS, gestionada por Alerce. Sin vecinos, sin infraestructura compartida. Para organizaciones con requisitos de aislamiento estricto (banca, salud, gobierno).
Cotización según alcance.
On-premise / nube propia
Instalación en tu infraestructura o en tu cuenta de cloud. Control total sobre los datos y el entorno. Para entidades con soberanía de datos o restricciones regulatorias de residencia.
Cotización según alcance.
Los tres modelos incluyen el mismo motor GRC, los mismos controles y la misma cadena de custodia. Solo cambia quién gestiona la infraestructura.
Se conecta con lo que tu equipo ya usa.
SSO SAML / OIDC
Inicio de sesión único con tu proveedor de identidad.
SCIM 2.0
Aprovisionamiento de usuarios desde tu directorio corporativo.
Jira
Conector para llevar acciones de cumplimiento a tu flujo de trabajo.
GitHub
Conector con tus repositorios como fuente de evidencia técnica.
Datadog
Conector con tu monitoreo de infraestructura.
n8n
Automatizaciones con callbacks autenticados por HMAC.
Webhooks firmados
Eventos salientes firmados con marca de tiempo, con registro de entregas.
Export SIEM
Registro de auditoría exportable en formatos OCSF y CEF.
Simple de gobernar, riguroso por dentro.
Activa tus marcos
Eliges los marcos de tu sector y los internacionales que te exigen. Los crosswalks muestran dónde se superponen.
Evalúa y cierra brechas
Evaluaciones con revisión y aprobación, tareas por cadencia y un responsable asignado a cada acción.
Demuestra
SoA en PDF, reportes al directorio y exportes de evidencia verificables para la autoridad o el auditor.
Lo que las plataformas globales no te dan.
Habla tu ley
15 marcos chilenos por sector y catálogos de las leyes 21.719 y 21.663 con cita contrastada con la BCN —no una plantilla traducida de afuera.
Evidencia que se verifica afuera
Cadena de custodia encadenada y firmada, verificable offline, con sello de tiempo del TSA que tu organización elija.
Hecha por quienes defienden
Experiencia en ciberseguridad operativa —SOC, forense, respuesta a incidentes— dentro de cada control.
La comparación que tu comité va a pedir.
| Capacidad | AlerceGRC | Plataformas globales (Vanta / Drata) | Consultoras tradicionales |
|---|---|---|---|
| Leyes 21.719 y 21.663 con cita legal contrastada (BCN) | Nativo | No verificable | Varía |
| Catálogo sectorial chileno (CMF, MINSAL, educación, gobierno…) | 15 marcos | No verificable | Varía |
| Interfaz en español, inglés y portugués | ES · EN · PT | Varía | Varía |
| Cadena de custodia firmada, verificable offline, con sello RFC 3161 | Sí | No verificable | Varía |
Las celdas de terceros no están verificadas por AlerceGRC; confírmalas con cada proveedor.
Lo que está activo en la plataforma hoy.
- +25 marcos y +567 controles, con marcos chilenos por sector
- Crosswalks con navegador visual
- Reloj ANCI en vivo e informe de incidente
- Aprobación con segregación de funciones y export CSV
- SoA autogenerada en PDF
- ERM con apetito, KRI y controles mitigantes
- Salas de auditoría con cierre por firma
- Privacidad: brechas, PIA/DPIA y panel
- Relojes GRC: tareas de control y ciclos de certificación
- CMDB y centro de notificaciones
- Consola SSO / SCIM
- Alertas de seguridad de cuenta: nuevo dispositivo y bloqueo
- Criptografía reforzada: reautenticación con doble factor y claves separadas por propósito
Tu sector, ya modelado.
Marcos chilenos por vertical, activados sobre la misma plataforma. Y si tu normativa no está, la construimos a medida.
AlerceGRC ayuda a gestionar y evidenciar el cumplimiento; no reemplaza la asesoría legal ni garantiza el cumplimiento. Los catálogos son marcos de referencia y no sustituyen el texto legal oficial. Las marcas de normas indican marcos soportados, no certificaciones.
Agenda una demo con nuestro equipo.
Te mostramos tus marcos, tu riesgo y cómo se ve una evidencia lista para auditoría. Sin humo.
Escríbenos a [email protected] · +56 9 3882 1702
Agendar una demo →