Auditoría y Cumplimiento (GRC)
Sabrás exactamente qué controles te faltan para ISO 27001, PCI DSS o la normativa chilena, y llegarás a la auditoría con los controles funcionando y la evidencia en orden.
- Duración típica
- 6 a 12 meses (ISO 27001)
- Entregable clave
- Matriz de brechas priorizada
- Incluye
- Auditoría interna previa
Beneficios
Qué gana tu organización
Brechas claras y priorizadas
Decides con información: qué cerrar primero según el riesgo, cuánto esfuerzo implica cada brecha y qué puede esperar.
Un solo programa de controles
Si te aplican varios marcos o leyes, diseñamos controles que responden a todos a la vez, sin duplicar trabajo ni evidencia.
Sin sorpresas en la auditoría
Una auditoría interna de prueba detecta lo pendiente a tiempo para cerrarlo antes de la revisión formal.
Cumplimiento que se sostiene
Políticas y procesos adaptados a cómo opera tu organización, para que los controles sigan funcionando después de la auditoría.
¿Es para ti?
Este servicio es para ti si…
Si te reconoces en alguna de estas situaciones, es un buen momento para conversar.
Cuéntanos tu caso- Un cliente o una licitación te exige ISO 27001 o evidencia formal de tus controles de seguridad.
- Tu empresa es prestadora de servicios esenciales u OIV y debe cumplir la Ley Marco de Ciberseguridad.
- Tratas datos personales de clientes o colaboradores y debes prepararte para la Ley 21.719.
- Se acerca una auditoría de certificación, de PCI DSS o de un regulador y no sabes cuán preparado estás.
El servicio
¿En qué consiste?
Una certificación, una licitación o un regulador te piden demostrar que gestionas la seguridad de la información, y tener políticas escritas no basta: el auditor pide evidencia de que los controles funcionan. En Chile, además, la Ley N.º 21.663 (Ley Marco de Ciberseguridad) exige a prestadores de servicios esenciales y operadores de importancia vital (OIV) gestionar sus riesgos y reportar incidentes, y la Ley N.º 21.719 de protección de datos personales rige plenamente desde el 1 de diciembre de 2026.
Evaluamos tus brechas (gap assessment) frente al marco que necesitas: ISO/IEC 27001:2022, PCI DSS v4, NIST CSF 2.0, la normativa de la CMF u otros requisitos de tu industria. Luego diseñamos las políticas, procesos y controles que faltan, y acompañamos a tus equipos en su implementación.
Cuando te aplican varios marcos a la vez, construimos un solo programa de controles que responde a todos. Antes de la auditoría formal hacemos una auditoría interna de prueba y te acompañamos hasta el cierre del proceso.
Entregables
Qué recibes
Matriz de brechas priorizada
El estado de cada control frente al marco objetivo, con prioridad, esfuerzo estimado y responsable sugerido.
Políticas y procedimientos
Documentación adaptada a tu operación, con los procedimientos y registros que el auditor va a pedir.
Plan de implementación por fases
Hitos, responsables y plazos para cerrar las brechas antes de la auditoría.
Evidencia lista para auditoría
Registros y evidencias ordenados por control, listos para presentar al auditor o al regulador.
Metodología
Cómo trabajamos
Un proceso en cuatro fases, de principio a fin, con tu equipo informado en cada etapa.
-
Evaluación de brechas
Medimos tu madurez actual frente al marco o la ley objetivo.
- Revisión documental y de controles existentes
- Entrevistas con áreas clave
- Matriz de brechas priorizada
-
Diseño de controles
Definimos las políticas, procesos y controles técnicos necesarios, reutilizables entre marcos.
- Políticas y procedimientos
- Controles técnicos complementarios
- Plan de implementación por fases
-
Implementación acompañada
Apoyamos a tus equipos en la puesta en marcha de los controles.
- Mesas de trabajo con áreas responsables
- Seguimiento de avance
- Evidencia ordenada para la auditoría
-
Preparación de la auditoría
Dejamos todo listo para la certificación o la revisión regulatoria.
- Auditoría interna previa (mock audit)
- Cierre de hallazgos pendientes
- Acompañamiento durante la auditoría formal
Preguntas frecuentes
Resolvemos tus dudas
Depende de tu madurez actual: en promedio, entre 6 y 12 meses desde el gap assessment. Si ya tienes controles y documentación en marcha, el plazo se acorta.
No. La certificación la emite un organismo certificador acreditado e independiente; nosotros preparamos a tu organización y te acompañamos durante el proceso.
Sí. Evaluamos tus brechas frente a las obligaciones que te apliquen, como gestionar riesgos y reportar incidentes al CSIRT Nacional (con una alerta temprana en un máximo de 3 horas) o proteger los datos personales que tratas, y las integramos al mismo programa de controles.
Sí, es uno de los motivos más habituales: responder a exigencias contractuales, cuestionarios de seguridad de clientes o requisitos de licitación con evidencia concreta.
Del marco o la ley objetivo, del alcance (sedes, procesos y sistemas incluidos), de tu madurez actual y del nivel de acompañamiento que necesites. Después de una reunión de alcance te enviamos una propuesta.
¿Tienes otra pregunta? Escríbenos y te respondemos.
Sigue explorando
Servicios relacionados
Pentesting para Cumplimiento DORA
Pon a prueba tus funciones críticas como lo haría un atacante real de tu sector y obtén la evidencia que DORA exige, con pruebas de intrusión dirigidas por inteligencia de amenazas (TLPT).
Ver servicioPentesting de Aplicaciones Web
Encontramos las vulnerabilidades explotables de tus aplicaciones web y APIs antes que un atacante, y te decimos exactamente cómo cerrarlas.
Ver servicioPentesting de Redes (Interno y Externo)
Te mostramos por dónde podría entrar un atacante a tu red y hasta dónde llegaría una vez dentro, con un plan claro para cerrar esas rutas antes de que alguien las use.
Ver servicio¿Avanzamos con Auditoría y Cumplimiento (GRC)?
Agenda una reunión de 30 minutos: entendemos tu contexto y te proponemos el alcance adecuado para tu organización.
Agenda una reunión