Cumplimiento y reportería
La postura técnica traducida a marcos normativos.
La misma telemetría que alimenta la detección alimenta el cumplimiento. Cada hallazgo, cada activo y
cada acción de contención queda cruzada contra los marcos que le aplican a su organización: score por marco,
controles cubiertos, parciales y fuera de alcance, con tendencia en el tiempo. El monitoreo continuo deja de
ser un gasto técnico y pasa a ser la evidencia que el regulador pide.
Score por marco y tendencia diaria
Informe del SOC, exportable y enviable
Marcos evaluados en paralelo
No es un cuestionario que alguien responde una vez al año. Cada control se evalúa contra la operación real
y se recalcula solo cuando la infraestructura cambia.
ISO/IEC 27001Sistema de gestión de seguridad
Controles del Anexo A verificados sobre evidencia técnica, no sobre declaraciónLey 21.663 · Ley Marco de CiberseguridadFiscaliza la ANCI
Gestión continua de riesgos, capacidad de respuesta y reporte de incidentesLey 21.719 · Datos personalesFiscaliza la Agencia de Protección de Datos
Medidas de seguridad apropiadas y notificación de vulneracionesNorma Técnica N.º 7 · Ley 21.180Transformación Digital del Estado
Confidencialidad, integridad y disponibilidad de plataformas del EstadoISO 27799Seguridad de la información en salud
Adaptación de ISO 27002 al dato clínico y al equipamiento médicoHIPAARegla de seguridad
Salvaguardas técnicas y administrativas sobre información de saludPrivacidad CENS 2024Interoperabilidad en salud
Requisitos de privacidad del estándar nacional de salud digitalMadurez IS4H · OPSSistemas de información para la salud
Nivel de madurez institucional según el modelo de la OPSMadurez operativaLínea base propia
Cobertura de detección, tiempo de respuesta y calidad del triajeMarcos sectorialesCMF · sector energía · salud
Se incorporan según la actividad regulada de cada cliente
Reporte de incidentes · estructura legal
El informe no se arma después del incidente. Ya viene armado.
Cuando ocurre un incidente con efecto significativo, la Ley 21.663 pone un reloj en marcha. Zentris registra
cada caso con los campos que el reglamento exige, así que el reporte a la ANCI se completa con lo que la
plataforma ya capturó: no hay que reconstruir la historia a mano mientras el equipo está apagando el incendio.
DESDE LA DETECCIÓN
≤ 3 h
Alerta temprana
El caso ya tiene hora de detección, activos afectados e indicadores de compromiso. Es lo mínimo que pide el formulario.
REPORTE COMPLETO
≤ 72 h
Actualización técnica
Vector, sistemas comprometidos y medidas de contención aplicadas. Para operadores de importancia vital con servicio interrumpido, el plazo baja a 24 horas.
CIERRE
≤ 15 d
Informe final
Causa raíz, impacto real y verificación de que la corrección cerró el vector. Sale de la misma trazabilidad, sin trabajo aparte.
ANCI · CSIRT Nacional
Ley 21.663
Plazos fijos y escalonados para incidentes con efecto significativo. Obliga a prestadores de servicios esenciales y operadores de importancia vital. El régimen de reporte rige desde marzo de 2025.
Agencia de Protección de Datos
Ley 21.719
Notificación por el medio más expedito y sin dilaciones indebidas cuando la vulneración afecta datos personales. Además hay que avisar a las personas si los datos son sensibles, de menores o financieros. Vigencia plena desde diciembre de 2026.
Campos que el caso ya trae resueltos
Una misma vulneración puede activar dos relojes en paralelo, uno ante la ANCI y otro ante la Agencia de
Protección de Datos, con organismos y plazos distintos. Los marcos evaluados y los plazos aplicables se
configuran según el sector del cliente y su calificación regulatoria. Zentris entrega la evidencia técnica
y la estructura del reporte; la presentación ante el regulador y su calificación jurídica siguen siendo
responsabilidad de la organización y de sus asesores legales.
