Observatorio INCIB
Herramientas de evaluación actualizadas, alcance normativo y tendencias de estándares y buenas prácticas. Incluido con tus cursos.
Evaluar, saber qué te aplica y adelantarte a lo que viene.
Acceso a las herramientas de evaluación actualizadas, al mapa de alcance normativo y al boletín de tendencias de estándares y buenas prácticas. Incluido 12 meses con cualquier curso o ruta pagada y en el Plan Organización; los alumni lo renuevan con su descuento.
Observatorio INCIB
- Gratis 12 meses con cualquier curso o ruta pagada
- Incluido en el Plan Organización
- Alumni lo renuevan con su descuento
- Evaluaciones actualizadas con versión y fecha; compara tus resultados entre versiones
- Boletín de tendencias y alertas de vigencia
Diez criterios por marco con escala No / Parcial / Sí. El resultado se guarda en tu navegador con la versión de la evaluación: cuando publiquemos una versión nueva, repítela y compara. La primera es de acceso libre.
Qué norma te aplica, en qué versión, desde cuándo y qué cambió. Los ítems marcados "validar" esperan confirmación de especialista antes de publicarse en producción.
Ley 21.719 · Protección de datos personales
vigencia próxima- Tipo
- Ley chilena
- Versión
- Publicada 13-dic-2024
- Vigencia
- 1-dic-2026
- Aplica a
- Toda organización pública o privada que trate datos personales en Chile
- Principios y bases de licitud
- Derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo
- Registro de actividades y evaluación de impacto cuando corresponda
- Notificación de brechas
- Modelo de prevención de infracciones y delegado (voluntario, atenuante)
Cambios recientes: Crea la Agencia de Protección de Datos Personales y un régimen de multas leves, graves y gravísimas.
Ley 21.663 · Marco de Ciberseguridad
vigente- Tipo
- Ley chilena
- Versión
- Publicada 8-abr-2024
- Vigencia
- Vigente; reglamentos y calificaciones de OIV en curso
- Aplica a
- Servicios esenciales y operadores de importancia vital (OIV) calificados por la ANCI
- Deberes generales de ciberseguridad
- Reporte de incidentes al CSIRT Nacional por etapas
- Sistema de gestión de seguridad y planes de continuidad para OIV
- Certificación y auditorías según reglamento
Cambios recientes: ANCI operativa; resoluciones de calificación de OIV (Res. Ex. 87/2025 y 187/2026) amplían el universo regulado.
Ley 20.393 y Ley 21.595 · Responsabilidad penal de la persona jurídica y delitos económicos
vigente- Tipo
- Ley chilena
- Versión
- Ley 21.595 publicada 17-ago-2023
- Vigencia
- Vigente
- Aplica a
- Personas jurídicas de derecho privado y empresas del Estado
- Modelo de prevención de delitos adecuado al riesgo
- Encargado de prevención con autonomía y recursos
- Canal de denuncias y procedimientos de investigación
- Supervisión y actualización del modelo
Cambios recientes: Amplía el catálogo de delitos y endurece las sanciones; el modelo de prevención deja de tener certificación obligatoria y pasa a evaluarse por su efectividad.
ISO/IEC 27001:2022 · Sistema de gestión de seguridad de la información
vigente- Tipo
- Estándar internacional
- Versión
- 2022 (Anexo A: 93 controles en 4 temas)
- Vigencia
- Transición desde 2013 cerrada el 31-oct-2025
- Aplica a
- Organizaciones que certifican o alinean su seguridad; exigida por clientes y licitaciones
- Contexto, liderazgo, planificación de riesgos
- Declaración de Aplicabilidad
- Auditoría interna y revisión por la dirección
- Controles organizacionales, de personas, físicos y tecnológicos
Cambios recientes: Nuevos controles: inteligencia de amenazas, seguridad en la nube, preparación de TIC para la continuidad, monitoreo, filtrado web, codificación segura, prevención de fuga de datos, enmascaramiento, eliminación de información, configuración segura.
NIST CSF 2.0 · Marco de ciberseguridad
vigente- Tipo
- Marco de buenas prácticas
- Versión
- 2.0 (feb-2024)
- Vigencia
- Vigente
- Aplica a
- Cualquier organización; referencia en Ley 21.663 y en evaluaciones de madurez
- Seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar
- Perfiles actual y objetivo
- Niveles de implementación
Cambios recientes: Agrega la función Gobernar y amplía el alcance más allá de infraestructura crítica; incorpora riesgo de cadena de suministro.
CIS Controls v8.1
vigente- Tipo
- Marco de buenas prácticas
- Versión
- 8.1 (jun-2024)
- Vigencia
- Vigente
- Aplica a
- Organizaciones de cualquier tamaño; grupos de implementación IG1 a IG3
- 18 controles y salvaguardas priorizadas
- IG1 como higiene mínima
Cambios recientes: Alinea con NIST CSF 2.0 (función Gobernar) y precisa clases de activos.
ISO 22301:2019 · Continuidad del negocio
vigente- Tipo
- Estándar internacional
- Versión
- 2019
- Vigencia
- Vigente
- Aplica a
- Organizaciones con procesos críticos; exigida a OIV y por clientes
- Análisis de impacto al negocio
- Estrategias y planes de continuidad
- Pruebas y mejora
Cambios recientes: Sin cambios recientes; se complementa con ISO/IEC 27031 para TIC.
ISO 31000:2018 y COSO ERM 2017 · Gestión de riesgos
vigente- Tipo
- Estándar y marco
- Versión
- ISO 31000:2018 · COSO ERM 2017
- Vigencia
- Vigentes
- Aplica a
- Dirección y segunda línea de cualquier organización
- Principios, marco y proceso
- Apetito y tolerancia
- Integración con estrategia y desempeño
Cambios recientes: COSO publicó guías complementarias sobre riesgo en la nube, ESG e inteligencia artificial.
COBIT 2019 y COSO 2013 · Gobierno de TI y control interno
vigente- Tipo
- Marcos
- Versión
- COBIT 2019 · COSO IC 2013
- Vigencia
- Vigentes
- Aplica a
- Auditoría interna, gobierno de TI, control interno sobre reporte financiero
- 17 principios COSO
- 40 objetivos de gobierno y gestión COBIT
- Factores de diseño y metas en cascada
Cambios recientes: ISACA publica guías de enfoque (nube, DevOps, privacidad) sobre la base COBIT 2019.
ISO/IEC 42001:2023 · Sistema de gestión de inteligencia artificial
emergente- Tipo
- Estándar internacional
- Versión
- 2023
- Vigencia
- Vigente; certificación disponible
- Aplica a
- Organizaciones que desarrollan o usan IA en procesos con impacto en personas
- Evaluación de impacto de sistemas de IA
- Controles del Anexo A sobre datos, transparencia y supervisión humana
Cambios recientes: Primer estándar certificable de gestión de IA; se integra con 27001 y 27701.
PCI DSS v4.0.1 · Datos de tarjetas
vigente- Tipo
- Estándar de industria
- Versión
- 4.0.1 (jun-2024)
- Vigencia
- Requisitos futuros exigibles desde 31-mar-2025
- Aplica a
- Comercios y proveedores que almacenan, procesan o transmiten datos de tarjetas
- 12 requisitos
- Enfoque personalizado opcional
- Análisis de riesgo dirigido
Cambios recientes: La versión 4.0 se retiró el 31-dic-2024.
Lectura comentada de lo que mueve a los estándares y a la regulación chilena, con el curso donde se trabaja cada tema.
Las organizaciones chilenas tienen semanas para tener registro de tratamientos, procedimientos de derechos, cláusulas con encargados y plan de respuesta a brechas. Las multas se escalan en UTM por categoría de infracción.
Las resoluciones de calificación de operadores de importancia vital incorporan nuevos sectores y empresas. Quien es calificado asume deberes de reporte, sistema de gestión y continuidad en plazos acotados.
ISO/IEC 42001 y las guías de riesgo de IA de NIST (AI RMF) se piden en licitaciones y auditorías de proveedores. La evaluación de impacto de sistemas automatizados conecta con los derechos de la Ley 21.719 sobre decisiones automatizadas.
Los auditores internos migran del muestreo a pruebas sobre el 100 % de las transacciones con herramientas de análisis y scripts. Las normas de ISACA y del IIA refuerzan la analítica como competencia base.
NIST CSF 2.0, CIS v8.1 e ISO 27001:2022 (A.5.19 a A.5.23) exigen gestionar el riesgo de proveedores. Los incidentes recientes en Chile y la región entraron por terceros con acceso privilegiado.
Tras la Ley 21.595, el modelo de prevención se evalúa por su funcionamiento real: matriz de riesgos penales por proceso, canal de denuncias operativo y evidencia de supervisión. La certificación externa dejó de ser el eje.
Reguladores financieros en la región siguen el modelo DORA de la Unión Europea: pruebas de resiliencia, gestión de incidentes y terceros TIC. ISO 22301 y la función Recuperar de NIST CSF se evalúan juntas.
Las auditorías piden evidencia de formación anual por persona (ISO 27001 A.6.3, Ley 21.663) y métricas de simulaciones de phishing. Los certificados verificables reemplazan a las listas de asistencia.