La Ley 21.663 no pide que las cosas ocurran. Pide que puedas demostrar que ocurrieron. El artículo 8 letra b) obliga a mantener un registro actualizado y continuo de todas las acciones que forman parte del sistema de gestión de seguridad de la información. Sin trazabilidad, el cumplimiento no existe ante un auditor o fiscalizador de la ANCI.
Gobernanza, Riesgo y Cumplimiento —conocidos por sus siglas en inglés como GRC— son tres disciplinas que, cuando se gestionan de forma integrada, permiten a una organización protegerse, cumplir con las exigencias regulatorias y operar con transparencia. En el contexto de la Ley 21.663 y la Ley 21.719, el GRC no es un concepto abstracto: es el marco operativo que hace que el SGSI funcione en la realidad y no solo en los documentos.
Identificando amenazas antes de que se conviertan en incidentes, en lugar de reaccionar cuando el daño ya está hecho.
Garantizando que los requisitos legales, contractuales y normativos se apliquen de forma continua en toda la organización, no solo durante una auditoría.
Cuando la información sobre gobernanza, riesgos y cumplimiento está centralizada, la dirección puede analizar tendencias, identificar brechas y asignar recursos donde realmente importa.
Una organización que puede demostrar cumplimiento sólido genera más confianza en sus clientes, socios y reguladores que una que solo declara tenerlo.
A medida que una organización crece en complejidad, gestionar GRC manualmente se vuelve insostenible. La escala exige procesos y herramientas que crezcan con la organización.
Reduciendo duplicación, errores humanos y retrabajo, lo que libera tiempo para actividades de mayor valor.
Cuando una organización decide apoyarse en tecnología para gestionar su GRC —y para cumplir con los requisitos de registro y trazabilidad que exige la Ley 21.663— hay características que no son opcionales. Estas son las que determinan si la herramienta realmente sirve para evidenciar cumplimiento ante la ANCI o si solo genera archivos que nadie puede auditar:
Una característica adicional de alto valor es la capacidad de incluir marcos de referencia precargados, que permiten a la organización trabajar desde el día uno con estructuras alineadas a estándares como ISO 27001 o los controles de ciberseguridad más reconocidos.
Los registros no pueden modificarse retroactivamente. Cada acción ejecutada queda sellada con fecha, hora y responsable.
Es posible reconstruir la secuencia exacta de eventos para cualquier proceso, incidente o cambio.
Desde la detección de un evento hasta su resolución, cada paso queda documentado y vinculado al anterior.
La información es exportable en formatos legibles por un auditor externo, no solo por quien administra el sistema.
El registro opera de forma ininterrumpida. Un sistema que solo registra en horario laboral no cumple con el requisito de gestión continua del Art. 8 letra a).
Los eventos de distintas plataformas —red, endpoints, aplicaciones, accesos— confluyen en una vista unificada.
Un sistema de gestión de tickets bien implementado cumple naturalmente con estas propiedades: cada ticket tiene fecha de apertura, responsable asignado, acciones registradas, aprobaciones requeridas y fecha de cierre. Ese historial es evidencia concreta, trazable e inmutable. Es lo que la ANCI va a pedir cuando fiscalice.
Automatizar el GRC no es un lujo para empresas grandes: es una necesidad para cualquier organización que quiera mantener el cumplimiento de forma sostenible sin depender de esfuerzos manuales intensivos. En un entorno donde los requisitos regulatorios crecen y los equipos de seguridad no siempre crecen al mismo ritmo, la automatización es lo que hace viable la gestión continua que exige la Ley 21.663.
| Funcionalidad requerida | Por qué importa para la Ley 21.663 |
|---|---|
| Inventario automatizado de activos | Base del análisis de riesgos y del BIA de continuidad operacional |
| Gestión de flujos de trabajo | Trazabilidad de cada proceso del SGSI ante fiscalización de la ANCI |
| Monitoreo de cumplimiento de software | Control de activos no autorizados o no conformes (Art. 8 letra d) |
| Gestión del ciclo de vida de contratos | Control de proveedores y cadena de suministro digital |
| Reportes configurables y automatizados | Preparación para fiscalización de la ANCI y auditorías externas |
| Integración con sistemas de identidad y acceso | Evidencia de control de accesos (ISO 27001 control A.8) |
| Registro de incidentes con flujo de escalamiento | Cumplimiento de plazos del Art. 9°: 3h / 72h / 15 días |
| Base de datos de gestión de configuraciones (CMDB) | Visibilidad de dependencias para continuidad operacional (Art. 8 letra c) |
Inventario automatizado de activos
Base del análisis de riesgos y del BIA de continuidad operacional
Gestión de flujos de trabajo
Trazabilidad de cada proceso del SGSI ante fiscalización de la ANCI
Monitoreo de cumplimiento de software
Control de activos no autorizados o no conformes (Art. 8 letra d)
Gestión del ciclo de vida de contratos
Control de proveedores y cadena de suministro digital
Reportes configurables y automatizados
Preparación para fiscalización de la ANCI y auditorías externas
Integración con sistemas de identidad y acceso
Evidencia de control de accesos (ISO 27001 control A.8)
Registro de incidentes con flujo de escalamiento
Cumplimiento de plazos del Art. 9°: 3h / 72h / 15 días
Base de datos de gestión de configuraciones (CMDB)
Visibilidad de dependencias para continuidad operacional (Art. 8 letra c)
Muchas organizaciones tienen evidencia dispersa: correos electrónicos con aprobaciones, archivos en carpetas compartidas, planillas sin control de versión, actas en papel sin firma digital. Eso no es evidencia auditable: es documentación que puede cuestionarse en su integridad, fecha y autoría.
Una plataforma de gestión de servicios de TI que funciona como sistema de registro del SGSI convierte cada acción operativa en evidencia estructurada:
Eso es lo que distingue el cumplimiento real del cumplimiento de papel.
Conocer las características que debe tener una herramienta de GRC es un punto de partida. Implementarla correctamente —definiendo qué procesos automatizar, cómo configurar los flujos de trabajo para que generen evidencia auditable, cómo integrarla con tu SGSI ISO 27001— es donde está la diferencia entre una inversión tecnológica que funciona y una que solo agrega complejidad.
La tecnología no cumple por sí sola.
Cumple cuando está bien implementada.