{ "version": "2026-10-07", "description": "Catálogo público y de solo lectura de AWRISK para asistentes y agentes de IA. No contiene datos de clientes.", "organization": { "name": "AWRISK", "legalName": "Atixworld Systems", "url": "https://www.awrisk.com", "description": "AWRISK es la plataforma GRC (Gobierno, Riesgo y Cumplimiento) que centraliza riesgos, eventos, auditorías, indicadores y evidencias para sectores regulados de Perú y Latinoamérica.", "contact": { "sales": "gerenciacomercial@atixworld.com", "partners": "partners@awrisk.com", "support": "soporte@awrisk.com", "phone": "+51 924 919 800" }, "address": { "street": "Calle Germán Schreiber 276", "district": "San Isidro", "city": "Lima", "postal": "15036", "country": "PE" }, "partners": [ { "name": "Atixworld Systems", "role": "Fabricante y canal Platinum para Latinoamérica", "url": "https://www.atixworld.com/", "email": "informes@atixworld.com", "logo": "atixworld.png" }, { "name": "Riskos", "role": "Canal autorizado en Colombia", "url": "https://www.riskos.com.co/", "email": "servicio@riskos.com.co", "logo": "riskos.png" } ] }, "sectors": [ { "id": "aeroportuario", "name": "Aeropuertos y aviación", "url": "https://www.awrisk.com/sectores/aeroportuario/", "markdown": "https://www.awrisk.com/sectores/aeroportuario/index.md", "summary": "SMS, seguridad de la aviación y SGSI en operaciones aeroportuarias.", "buyer": "Gerencias de seguridad operacional (Safety), AVSEC, TI y cumplimiento de operadores aeroportuarios, aerolíneas y servicios en plataforma.", "regulators": [ "OACI", "DGAC Perú" ], "references": [ "OACI Anexo 19 — Gestión de la seguridad operacional", "OACI Doc 9859 — Manual de gestión de la seguridad operacional", "Regulaciones Aeronáuticas del Perú (RAP) de la DGAC", "OACI Anexo 17 — Seguridad de la aviación (AVSEC)" ], "problems": [ { "title": "Reportes que se pierden", "detail": "Los reportes de peligros llegan por correo, formularios en papel o mensajería y nadie puede demostrar qué pasó con cada uno." }, { "title": "Matrices de riesgo en Excel", "detail": "Cada área mantiene su versión de la matriz probabilidad × severidad y consolidarla para el comité toma días." }, { "title": "Indicadores sin historia", "detail": "Los indicadores de desempeño de seguridad operacional (SPI) se calculan a mano y no se conectan con las acciones tomadas." }, { "title": "Inspecciones a contrarreloj", "detail": "Preparar la evidencia para la DGAC o una auditoría interna significa reconstruir meses de registros." } ], "outcomes": [ { "title": "Los cuatro componentes del SMS en un solo lugar", "detail": "Política y objetivos, gestión de riesgos, aseguramiento y promoción de la seguridad operacional conectados entre sí." }, { "title": "Reporte en segundos desde la plataforma", "detail": "Personal propio y de terceros reporta sucesos desde el celular (WhatsApp, Telegram o web), con opción confidencial." }, { "title": "Del suceso al riesgo y a la mitigación", "detail": "Cada reporte se clasifica, se investiga y se vincula al peligro, a su evaluación y a la acción que lo controla." }, { "title": "SPI y metas siempre al día", "detail": "Indicadores alimentados por los propios registros, con alertas cuando se acercan al nivel de alerta definido." } ], "modules": [ "ev", "bot", "rm", "im", "pm", "au", "dm" ], "frameworks": [ "sms", "iso-27001", "iso-45001", "iso-22301" ], "useCases": [ "Gestión de peligros en plataforma, pista y terminal", "Investigación de sucesos e incidentes con causa raíz", "Gestión del cambio en operaciones (nuevas rutas, obras, equipos)", "Seguridad de la información de sistemas aeroportuarios críticos", "Seguridad y salud del personal en tierra (ISO 45001)" ], "cases": [ "lap" ] }, { "id": "financiero", "name": "Banca, seguros y fintech", "url": "https://www.awrisk.com/sectores/financiero/", "markdown": "https://www.awrisk.com/sectores/financiero/index.md", "summary": "SGSI-C SBS, NIST CSF 2.0, ISO 27001 y continuidad del negocio.", "buyer": "CISO, oficial de seguridad de la información, gerencias de riesgos, continuidad y auditoría interna de entidades supervisadas por la SBS.", "regulators": [ "SBS" ], "references": [ "Resolución SBS 504-2021 — Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad", "Resolución SBS 877-2020 — Reglamento para la Gestión de la Continuidad del Negocio", "Resolución SBS 272-2017 — Gobierno corporativo y gestión integral de riesgos", "NIST Cybersecurity Framework 2.0", "ISO/IEC 27001:2022 e ISO/IEC 27002:2022" ], "problems": [ { "title": "Un SGSI-C repartido en archivos", "detail": "Activos, riesgos, controles, excepciones y planes viven en hojas de cálculo distintas que nadie puede auditar de punta a punta." }, { "title": "Diagnóstico de ciberseguridad sin seguimiento", "detail": "El diagnóstico con un marco internacional se hace una vez al año y el plan de mejora pierde trazabilidad." }, { "title": "Proveedores y nube bajo la lupa", "detail": "Evaluar la seguridad de terceros y servicios en la nube que soportan servicios significativos consume semanas de cuestionarios." }, { "title": "Incidentes que hay que reportar", "detail": "Los incidentes significativos deben documentarse con causa raíz y acciones, y la información está en el SIEM, el correo y el ITSM." } ], "outcomes": [ { "title": "SGSI-C trazable de activo a evidencia", "detail": "Inventario de activos, evaluación de riesgos, Declaración de Aplicabilidad y planes de tratamiento conectados." }, { "title": "Programa de ciberseguridad medible", "detail": "Perfil actual y objetivo por función de NIST CSF 2.0 (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar) con avance visible." }, { "title": "Riesgo de terceros bajo control", "detail": "Due diligence, contratos, SLA y cláusulas de seguridad de proveedores en un solo repositorio con alertas de vencimiento." }, { "title": "Continuidad conectada al riesgo", "detail": "BIA, estrategias y pruebas de continuidad vinculadas a los mismos procesos y activos del SGSI-C." } ], "modules": [ "am", "rm", "sa", "cm", "ev", "bm", "au", "im", "api" ], "frameworks": [ "sgsi-c-sbs", "nist-csf", "iso-27001", "iso-22301", "lpdp" ], "useCases": [ "Implementación y operación del SGSI-C", "Diagnóstico y plan de mejora de ciberseguridad con NIST CSF 2.0", "Gestión de incidentes y reporte al supervisor", "Evaluación de proveedores y servicios en la nube", "Gestión de la continuidad del negocio" ], "cases": [ "la-positiva" ] }, { "id": "portuario-naviero", "name": "Puertos, navieras y logística marítima", "url": "https://www.awrisk.com/sectores/portuario-naviero/", "markdown": "https://www.awrisk.com/sectores/portuario-naviero/index.md", "summary": "Código PBIP (ISPS), Código IGS (ISM), ISO 28000 y ciberriesgo marítimo.", "buyer": "Oficiales de protección de la instalación portuaria (OPIP) y de la compañía (OCPM), gerencias HSE, operaciones y cumplimiento de terminales, agencias y navieras.", "regulators": [ "OMI", "APN", "DICAPI" ], "references": [ "Código PBIP / ISPS — Protección de los buques y de las instalaciones portuarias (SOLAS cap. XI-2)", "Código IGS / ISM — Gestión de la seguridad operacional de los buques (SOLAS cap. IX)", "Resolución OMI MSC.428(98) — Gestión de los riesgos cibernéticos marítimos", "ISO 28000 — Sistemas de gestión de la seguridad para la cadena de suministro", "Supervisión nacional: Autoridad Portuaria Nacional (APN) y DICAPI" ], "problems": [ { "title": "Planes de protección estáticos", "detail": "La evaluación y el plan de protección se actualizan solo cuando se acerca la verificación." }, { "title": "Ejercicios y simulacros sin evidencia", "detail": "Los registros de ejercicios, capacitaciones y niveles de protección quedan en actas dispersas." }, { "title": "No conformidades que se repiten", "detail": "Los hallazgos de auditorías internas y externas no se conectan con la causa raíz ni con las acciones correctivas." }, { "title": "Ciberriesgo a bordo y en terminal", "detail": "Sistemas OT y TI de terminales y buques sin evaluación de riesgo integrada al sistema de gestión." } ], "outcomes": [ { "title": "Evaluación y plan de protección vivos", "detail": "Activos, amenazas, vulnerabilidades y medidas por nivel de protección conectados y versionados." }, { "title": "Calendario de ejercicios y simulacros", "detail": "Programación, ejecución, asistencia y lecciones aprendidas registradas con su evidencia." }, { "title": "Sucesos y no conformidades con cierre", "detail": "Registro desde el muelle o a bordo, investigación y acciones correctivas con responsable y fecha." }, { "title": "Ciberriesgo dentro del SMS", "detail": "Riesgos cibernéticos de sistemas OT/TI evaluados con la misma metodología que los riesgos operacionales." } ], "modules": [ "rm", "ev", "bot", "pm", "au", "dm", "am", "bm" ], "frameworks": [ "pbip-ism", "iso-45001", "iso-27001", "iso-22301" ], "useCases": [ "Gestión del plan de protección de la instalación portuaria (PPIP)", "Sistema de gestión de la seguridad (SMS) de la compañía naviera", "Seguridad de la cadena de suministro y certificación ISO 28000 / BASC", "Seguridad y salud en operaciones portuarias", "Continuidad operativa del terminal" ], "cases": [] }, { "id": "sector-publico", "name": "Entidades públicas", "url": "https://www.awrisk.com/sectores/sector-publico/", "markdown": "https://www.awrisk.com/sectores/sector-publico/index.md", "summary": "Gobierno digital, SGSI, seguridad digital, control interno y riesgo de desastres.", "buyer": "Oficiales de seguridad y confianza digital, comités de gobierno y transformación digital, órganos de control interno y gestión del riesgo de desastres.", "regulators": [ "SGTD-PCM", "Contraloría", "CENEPRED / INDECI" ], "references": [ "Decreto Legislativo 1412 — Ley de Gobierno Digital", "Decreto de Urgencia 007-2020 — Marco de Confianza Digital", "Ley 30618 — Incorporación de la seguridad digital al marco normativo", "NTP-ISO/IEC 27001 — Sistema de Gestión de Seguridad de la Información", "Ley 29664 — Sistema Nacional de Gestión del Riesgo de Desastres (SINAGERD)" ], "problems": [ { "title": "Implementación con rotación de personal", "detail": "Cada cambio de gestión o de equipo reinicia la documentación del SGSI y del control interno." }, { "title": "Reportes a varios entes", "detail": "Gobierno digital, control interno y riesgo de desastres piden información parecida en formatos distintos." }, { "title": "Soberanía de los datos", "detail": "La información de la entidad no siempre puede alojarse fuera de su infraestructura." } ], "outcomes": [ { "title": "Memoria institucional", "detail": "Riesgos, controles, decisiones y evidencias quedan en la plataforma, no en las computadoras de quienes se van." }, { "title": "Un registro, varios reportes", "detail": "Los mismos activos, riesgos y controles alimentan el SGSI, la seguridad digital y el control interno." }, { "title": "Despliegue dentro de la entidad", "detail": "AWRISK On-Premise se instala en la infraestructura de la entidad cuando la política lo exige." } ], "modules": [ "rm", "am", "sa", "au", "dm", "pm", "im", "ev" ], "frameworks": [ "iso-27001", "gtd", "seguridad-digital", "coso-erm", "lpdp", "grd" ], "useCases": [ "Implementación del SGSI y del marco de confianza digital", "Indicadores de madurez de gobierno y transformación digital", "Sistema de control interno y gestión de riesgos institucionales", "Gestión del riesgo de desastres en gobiernos locales y regionales", "Ciberseguridad de eventos y servicios críticos" ], "cases": [ "minem", "senamhi", "unmsm", "lima-2019" ] }, { "id": "salud-farma", "name": "Salud, farmacéutico y laboratorios", "url": "https://www.awrisk.com/sectores/salud-farma/", "markdown": "https://www.awrisk.com/sectores/salud-farma/index.md", "summary": "BPA, bioseguridad, seguridad y salud en el trabajo y datos sensibles.", "buyer": "Directores técnicos, aseguramiento de calidad, seguridad y salud en el trabajo y protección de datos de droguerías, laboratorios, clínicas y operadores logísticos.", "regulators": [ "DIGEMID", "MINSA", "ANPD" ], "references": [ "Buenas Prácticas de Almacenamiento (BPA) — DIGEMID", "Lineamientos de vigilancia, prevención y control de la salud de los trabajadores — MINSA", "Ley 29733 — Protección de Datos Personales (datos sensibles de salud)", "ISO 45001 — Seguridad y salud en el trabajo" ], "problems": [ { "title": "Desviaciones sin análisis de riesgo", "detail": "Las desviaciones de temperatura, almacenamiento o distribución se registran, pero no alimentan la evaluación de riesgos." }, { "title": "Inspecciones con carpetas físicas", "detail": "La evidencia de calificaciones, capacitaciones y controles se arma a mano antes de cada inspección." }, { "title": "Datos de salud expuestos", "detail": "Bancos de datos con información sensible sin inventario ni medidas de seguridad documentadas." } ], "outcomes": [ { "title": "Desviaciones que se convierten en aprendizaje", "detail": "Cada desviación se registra, se investiga y actualiza el riesgo y el control que corresponde." }, { "title": "Evidencia de inspección siempre lista", "detail": "Procedimientos, registros y acciones correctivas versionados y disponibles en minutos." }, { "title": "Bancos de datos inventariados", "detail": "Tratamientos, bases legales y medidas de seguridad de datos sensibles documentados y revisados." } ], "modules": [ "ev", "rm", "dm", "au", "pm", "sa" ], "frameworks": [ "bpa", "iso-45001", "lpdp", "coso-erm" ], "useCases": [ "Gestión de riesgos de almacenamiento y cadena de frío", "Vigilancia de bioseguridad en laboratorios y establecimientos", "Seguridad y salud en el trabajo", "Protección de datos personales de pacientes", "Control interno en distribuidoras de insumos médicos" ], "cases": [ "rqe" ] }, { "id": "industria-energia", "name": "Minería, energía e industria", "url": "https://www.awrisk.com/sectores/industria-energia/", "markdown": "https://www.awrisk.com/sectores/industria-energia/index.md", "summary": "ISO 45001, COSO ERM, antisoborno, continuidad y riesgo de desastres.", "buyer": "Gerencias de riesgos corporativos, HSE, cumplimiento y continuidad de empresas mineras, energéticas, industriales y de infraestructura.", "regulators": [ "MINEM", "OSINERGMIN", "SUNAFIL" ], "references": [ "COSO ERM 2017 — Gestión del riesgo empresarial", "ISO 45001 — Seguridad y salud en el trabajo", "ISO 37001 — Sistemas de gestión antisoborno", "ISO 22301 — Continuidad del negocio", "Ley 30424 — Responsabilidad administrativa de las personas jurídicas" ], "problems": [ { "title": "El directorio y la operación no hablan el mismo idioma", "detail": "El mapa de riesgos estratégicos no se conecta con los riesgos operativos ni con los incidentes reales." }, { "title": "Incidentes de SST sin tendencia", "detail": "Los incidentes se reportan pero no se analizan como tendencia ni alimentan la matriz IPERC." }, { "title": "Programa de cumplimiento difícil de demostrar", "detail": "Ante una investigación, cuesta probar que el modelo de prevención funciona." } ], "outcomes": [ { "title": "Una taxonomía de riesgos para toda la empresa", "detail": "Riesgos estratégicos, operativos y de cumplimiento con apetito y tolerancia definidos por el directorio." }, { "title": "SST basada en datos", "detail": "Incidentes, inspecciones y peligros conectados con indicadores que anticipan desvíos." }, { "title": "Modelo de prevención demostrable", "detail": "Canal de denuncias, debida diligencia y controles antisoborno con su evidencia." } ], "modules": [ "rm", "ev", "bot", "reports", "im", "cm", "bm", "au" ], "frameworks": [ "coso-erm", "iso-45001", "iso-37001", "iso-22301", "grd" ], "useCases": [ "Gestión de riesgos empresariales con COSO ERM", "Seguridad y salud en el trabajo (IPERC, incidentes, inspecciones)", "Modelo de prevención y canal de denuncias", "Continuidad operativa y gestión de crisis", "Gestión de riesgos en megaproyectos e infraestructura" ], "cases": [ "nueva-lima", "minem" ] } ], "frameworks": [ { "id": "sms", "name": "SMS aeroportuario", "fullName": "Sistema de Gestión de la Seguridad Operacional (OACI Anexo 19)", "url": "https://www.awrisk.com/marcos/sms/", "summary": "Seguridad operacional en aeropuertos y aviación según OACI y DGAC.", "explanation": "El Safety Management System (SMS) es el enfoque sistemático que la OACI exige a los proveedores de servicios de aviación para gestionar la seguridad operacional. Se organiza en cuatro componentes: política y objetivos, gestión de riesgos, aseguramiento y promoción de la seguridad operacional.", "coverage": [ { "requirement": "Identificación de peligros", "module": "ev" }, { "requirement": "Evaluación y mitigación de riesgos", "module": "rm" }, { "requirement": "Indicadores de desempeño (SPI)", "module": "im" }, { "requirement": "Investigación de sucesos", "module": "ev" }, { "requirement": "Gestión del cambio", "module": "pm" }, { "requirement": "Auditorías internas de seguridad", "module": "au" }, { "requirement": "Documentación del SMS", "module": "dm" } ], "sectors": [ "aeroportuario" ] }, { "id": "sgsi-c-sbs", "name": "SGSI-C SBS", "fullName": "Sistema de Gestión de Seguridad de la Información y Ciberseguridad (Resolución SBS 504-2021)", "url": "https://www.awrisk.com/marcos/sgsi-c-sbs/", "summary": "Seguridad de la información y ciberseguridad para entidades supervisadas por la SBS.", "explanation": "La Resolución SBS 504-2021 exige a las entidades supervisadas implementar un SGSI-C y, cuando tienen presencia en el ciberespacio, un programa de ciberseguridad basado en un marco internacional, junto con requisitos para servicios provistos por terceros, servicios en la nube y reporte de incidentes significativos.", "coverage": [ { "requirement": "Inventario y clasificación de activos", "module": "am" }, { "requirement": "Evaluación y tratamiento de riesgos", "module": "rm" }, { "requirement": "Diagnóstico y programa de ciberseguridad", "module": "sa" }, { "requirement": "Seguridad en proveedores y nube", "module": "cm" }, { "requirement": "Gestión y reporte de incidentes", "module": "ev" }, { "requirement": "Continuidad del negocio", "module": "bm" }, { "requirement": "Revisión y auditoría", "module": "au" } ], "sectors": [ "financiero" ] }, { "id": "nist-csf", "name": "NIST CSF 2.0", "fullName": "NIST Cybersecurity Framework 2.0", "url": "https://www.awrisk.com/marcos/nist-csf/", "summary": "Programa de ciberseguridad con las seis funciones de NIST CSF 2.0.", "explanation": "La versión 2.0 del marco de ciberseguridad del NIST, publicada en febrero de 2024, organiza los resultados de ciberseguridad en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Se usa para definir un perfil actual, un perfil objetivo y el plan para cerrar la brecha.", "coverage": [ { "requirement": "Gobernar: roles, políticas y riesgo de la cadena de suministro", "module": "dm" }, { "requirement": "Identificar: activos y riesgos", "module": "am" }, { "requirement": "Proteger: controles y su evidencia", "module": "rm" }, { "requirement": "Detectar y Responder: eventos e incidentes", "module": "ev" }, { "requirement": "Recuperar: planes de recuperación", "module": "bm" }, { "requirement": "Perfil actual y objetivo", "module": "sa" } ], "sectors": [ "financiero", "sector-publico" ] }, { "id": "iso-27001", "name": "ISO/IEC 27001", "fullName": "ISO/IEC 27001:2022 — Sistema de Gestión de Seguridad de la Información", "url": "https://www.awrisk.com/marcos/iso-27001/", "summary": "SGSI con proceso de riesgos auditable de extremo a extremo.", "explanation": "ISO/IEC 27001 establece los requisitos de un Sistema de Gestión de Seguridad de la Información (SGSI) para preservar la confidencialidad, integridad y disponibilidad de la información mediante un proceso de gestión de riesgos. La versión 2022 agrupa los 93 controles del Anexo A en cuatro temas: organizacionales, de personas, físicos y tecnológicos.", "coverage": [ { "requirement": "Inventario de activos (A.5.9)", "module": "am" }, { "requirement": "Evaluación y tratamiento de riesgos (6.1)", "module": "rm" }, { "requirement": "Declaración de Aplicabilidad", "module": "rm" }, { "requirement": "Información documentada (7.5)", "module": "dm" }, { "requirement": "Auditoría interna (9.2)", "module": "au" }, { "requirement": "Gestión de incidentes", "module": "ev" }, { "requirement": "No conformidades y mejora (10)", "module": "pm" } ], "sectors": [ "financiero", "sector-publico", "aeroportuario" ] }, { "id": "pbip-ism", "name": "PBIP e IGS marítimo", "fullName": "Código PBIP (ISPS) y Código IGS (ISM) de la OMI", "url": "https://www.awrisk.com/marcos/pbip-ism/", "summary": "Protección de instalaciones portuarias y gestión de la seguridad de buques.", "explanation": "El Código PBIP establece las medidas de protección de buques e instalaciones portuarias (evaluación, plan y oficiales de protección); el Código IGS exige a las compañías navieras un sistema de gestión de la seguridad. Desde 2021 la OMI pide incorporar los riesgos cibernéticos en ese sistema.", "coverage": [ { "requirement": "Evaluación de protección", "module": "rm" }, { "requirement": "Plan de protección y procedimientos", "module": "dm" }, { "requirement": "Ejercicios y simulacros", "module": "pm" }, { "requirement": "Sucesos de protección y seguridad", "module": "ev" }, { "requirement": "Auditorías y verificaciones", "module": "au" }, { "requirement": "Ciberriesgo de sistemas OT/TI", "module": "am" } ], "sectors": [ "portuario-naviero" ] }, { "id": "iso-45001", "name": "ISO 45001", "fullName": "ISO 45001 — Seguridad y salud en el trabajo", "url": "https://www.awrisk.com/marcos/iso-45001/", "summary": "Peligros, incidentes e indicadores de SST conectados.", "explanation": "ISO 45001 define los requisitos de un sistema de gestión de seguridad y salud en el trabajo para prevenir lesiones y deterioro de la salud, con identificación de peligros, evaluación de riesgos, participación de los trabajadores y mejora continua.", "coverage": [ { "requirement": "Identificación de peligros y evaluación de riesgos", "module": "rm" }, { "requirement": "Reporte e investigación de incidentes", "module": "ev" }, { "requirement": "Reporte desde campo", "module": "bot" }, { "requirement": "Indicadores de desempeño SST", "module": "im" }, { "requirement": "Inspecciones y auditorías", "module": "au" }, { "requirement": "Acciones correctivas", "module": "pm" } ], "sectors": [ "industria-energia", "portuario-naviero", "salud-farma", "aeroportuario" ] }, { "id": "iso-37001", "name": "ISO 37001", "fullName": "ISO 37001 — Sistemas de gestión antisoborno", "url": "https://www.awrisk.com/marcos/iso-37001/", "summary": "Modelo de prevención, debida diligencia y canal de denuncias.", "explanation": "ISO 37001 especifica los requisitos para prevenir, detectar y responder al soborno: evaluación de riesgos de soborno, debida diligencia de socios de negocio, controles financieros y no financieros, y canales para plantear inquietudes.", "coverage": [ { "requirement": "Evaluación de riesgos de soborno", "module": "rm" }, { "requirement": "Debida diligencia de terceros", "module": "cm" }, { "requirement": "Canal de denuncias", "module": "reports" }, { "requirement": "Investigaciones", "module": "ev" }, { "requirement": "Políticas y capacitación", "module": "dm" }, { "requirement": "Auditoría del sistema", "module": "au" } ], "sectors": [ "industria-energia", "financiero" ] }, { "id": "coso-erm", "name": "COSO ERM y control interno", "fullName": "COSO ERM 2017 y COSO Control Interno", "url": "https://www.awrisk.com/marcos/coso-erm/", "summary": "Riesgo empresarial, apetito de riesgo y control interno.", "explanation": "COSO ERM 2017 integra la gestión del riesgo con la estrategia y el desempeño: gobierno y cultura, estrategia y objetivos, desempeño, revisión y comunicación. El marco de control interno COSO organiza los controles en cinco componentes.", "coverage": [ { "requirement": "Apetito y tolerancia al riesgo", "module": "rm" }, { "requirement": "Matriz de riesgos y controles", "module": "rm" }, { "requirement": "Autoevaluación de controles", "module": "sa" }, { "requirement": "Indicadores clave de riesgo", "module": "im" }, { "requirement": "Auditoría interna", "module": "au" }, { "requirement": "Planes de acción", "module": "pm" } ], "sectors": [ "industria-energia", "sector-publico", "salud-farma" ] }, { "id": "iso-22301", "name": "ISO 22301", "fullName": "ISO 22301 — Gestión de la continuidad del negocio", "url": "https://www.awrisk.com/marcos/iso-22301/", "summary": "BIA, estrategias, planes y pruebas de continuidad.", "explanation": "ISO 22301 define los requisitos de un sistema de gestión de la continuidad del negocio: análisis de impacto (BIA), evaluación de riesgos, estrategias de continuidad, planes y procedimientos, y un programa de ejercicios y pruebas.", "coverage": [ { "requirement": "Análisis de impacto (BIA)", "module": "bm" }, { "requirement": "Evaluación de riesgos de interrupción", "module": "rm" }, { "requirement": "Planes de continuidad", "module": "bm" }, { "requirement": "Ejercicios y pruebas", "module": "pm" }, { "requirement": "Activación ante incidentes", "module": "ev" } ], "sectors": [ "financiero", "aeroportuario", "portuario-naviero", "industria-energia" ] }, { "id": "lpdp", "name": "Protección de datos (Ley 29733)", "fullName": "Ley 29733 — Protección de Datos Personales y su reglamento", "url": "https://www.awrisk.com/marcos/lpdp/", "summary": "Bancos de datos, tratamientos, derechos ARCO y medidas de seguridad.", "explanation": "La Ley 29733 y su reglamento regulan el tratamiento de datos personales en el Perú: inscripción de bancos de datos, consentimiento y bases legales, derechos ARCO, flujo transfronterizo y medidas de seguridad. La supervisión corresponde a la Autoridad Nacional de Protección de Datos Personales.", "coverage": [ { "requirement": "Inventario de bancos de datos y tratamientos", "module": "am" }, { "requirement": "Evaluación de riesgos de privacidad", "module": "rm" }, { "requirement": "Medidas de seguridad documentadas", "module": "dm" }, { "requirement": "Atención de derechos ARCO", "module": "ev" }, { "requirement": "Encargados y transferencias", "module": "cm" } ], "sectors": [ "financiero", "salud-farma", "sector-publico" ] }, { "id": "gtd", "name": "Gobierno y transformación digital", "fullName": "Gobierno y Transformación Digital del Estado (DL 1412)", "url": "https://www.awrisk.com/marcos/gtd/", "summary": "Comité GTD, madurez digital y proyectos estratégicos.", "explanation": "El Decreto Legislativo 1412 establece el marco de gobierno digital del Estado peruano. Las entidades conforman un Comité de Gobierno y Transformación Digital que articula la estrategia, los proyectos y la seguridad digital.", "coverage": [ { "requirement": "Indicadores de madurez digital", "module": "im" }, { "requirement": "Riesgos de los proyectos estratégicos", "module": "rm" }, { "requirement": "Plan de gobierno digital", "module": "pm" }, { "requirement": "Documentación del comité", "module": "dm" } ], "sectors": [ "sector-publico" ] }, { "id": "seguridad-digital", "name": "Seguridad y confianza digital", "fullName": "Marco de Seguridad y Confianza Digital del Perú", "url": "https://www.awrisk.com/marcos/seguridad-digital/", "summary": "Ley 30618, Marco de Confianza Digital y gestión de incidentes.", "explanation": "La Ley 30618 incorporó la seguridad digital al marco normativo peruano y el Decreto de Urgencia 007-2020 aprobó el Marco de Confianza Digital, que pide a las entidades gestionar riesgos de seguridad digital y reportar incidentes.", "coverage": [ { "requirement": "Gestión de riesgos de seguridad digital", "module": "rm" }, { "requirement": "Registro y reporte de incidentes", "module": "ev" }, { "requirement": "Activos digitales críticos", "module": "am" }, { "requirement": "Controles y evidencia", "module": "au" } ], "sectors": [ "sector-publico" ] }, { "id": "bpa", "name": "BPA farmacéutico", "fullName": "Buenas Prácticas de Almacenamiento (DIGEMID)", "url": "https://www.awrisk.com/marcos/bpa/", "summary": "Riesgos de almacenamiento, desviaciones y cadena de frío.", "explanation": "Las Buenas Prácticas de Almacenamiento establecen las condiciones para conservar productos farmacéuticos, dispositivos médicos y productos sanitarios: infraestructura, control de temperatura, procedimientos, personal calificado y gestión de desviaciones.", "coverage": [ { "requirement": "Gestión de desviaciones", "module": "ev" }, { "requirement": "Evaluación de riesgos de calidad", "module": "rm" }, { "requirement": "Procedimientos y registros", "module": "dm" }, { "requirement": "Autoinspecciones", "module": "au" }, { "requirement": "Acciones correctivas (CAPA)", "module": "pm" } ], "sectors": [ "salud-farma" ] }, { "id": "grd", "name": "Gestión del riesgo de desastres", "fullName": "Gestión del Riesgo de Desastres (Ley 29664 — SINAGERD)", "url": "https://www.awrisk.com/marcos/grd/", "summary": "Estimación, prevención, reducción, preparación y respuesta.", "explanation": "La Ley 29664 crea el Sistema Nacional de Gestión del Riesgo de Desastres y define sus procesos: estimación, prevención, reducción, preparación, respuesta, rehabilitación y reconstrucción.", "coverage": [ { "requirement": "Estimación del riesgo", "module": "rm" }, { "requirement": "Planes de prevención y reducción", "module": "pm" }, { "requirement": "Preparación y simulacros", "module": "bm" }, { "requirement": "Registro de emergencias", "module": "ev" } ], "sectors": [ "sector-publico", "industria-energia" ] } ], "modules": { "agent": { "code": "AWRISK Agent", "name": "Agente de IA para GRC", "url": "https://www.awrisk.com/plataforma/agente-ia/", "promise": "Lee tu contexto de riesgos, propone la siguiente acción y deja que una persona decida.", "capabilities": [ "Preguntas en lenguaje natural sobre riesgos, controles, hallazgos y planes", "Borradores de evaluaciones, políticas e informes de auditoría a partir de tus datos", "Sugerencia de controles y tratamientos según la fuente de riesgo", "Resumen ejecutivo para el comité de riesgos", "Acciones siempre sujetas a aprobación humana y registradas en bitácora" ], "ai": null }, "rm": { "code": "AWRISK-RM", "name": "Risk Manager", "url": "https://www.awrisk.com/plataforma/gestion-de-riesgos/", "promise": "Identifica, evalúa, trata y monitorea riesgos con metodología ISO 31000.", "capabilities": [ "Catálogos de fuentes, amenazas, vulnerabilidades, consecuencias y controles", "Criterios de probabilidad e impacto configurables", "Mapas de calor de riesgo inherente y residual", "Planes de tratamiento con responsable y fecha", "Monitoreo con alertas por correo y en plataforma" ], "ai": "Sugiere controles según la fuente de riesgo y redacta el plan de tratamiento para que lo revises." }, "sa": { "code": "AWRISK-SA", "name": "Self Assessment", "url": "https://www.awrisk.com/plataforma/autoevaluaciones/", "promise": "Autoevaluaciones de controles y madurez que terminan en un plan de acción.", "capabilities": [ "Cuestionarios por norma o por proceso", "Campañas a responsables con recordatorios", "Niveles de madurez por dominio", "Brechas convertidas en acciones" ], "ai": "Arma el cuestionario a partir del marco elegido y propone la evidencia esperada por control." }, "im": { "code": "AWRISK-IM", "name": "Indicators Manager", "url": "https://www.awrisk.com/plataforma/indicadores/", "promise": "KRI y KPI en vivo, conectados a tus riesgos y controles.", "capabilities": [ "Indicadores de riesgo, desempeño y control", "Umbrales y niveles de alerta", "Carga manual, por archivo o por API", "Tableros por audiencia: directorio, gerencia, operación" ], "ai": "Explica en una frase qué indicador cambió, cuánto y qué riesgo podría estar escalando." }, "am": { "code": "AWRISK-AM", "name": "Asset Manager", "url": "https://www.awrisk.com/plataforma/activos/", "promise": "Inventaria y valora los activos críticos que tu SGSI debe proteger.", "capabilities": [ "Inventario configurable: información, sistemas, servicios, personas, instalaciones", "Valoración de confidencialidad, integridad y disponibilidad", "Propietarios y custodios", "Relación activo – riesgo – control" ], "ai": "Propone la clasificación del activo y detecta activos sin controles asociados." }, "au": { "code": "AWRISK-AU", "name": "Audit", "url": "https://www.awrisk.com/plataforma/auditoria/", "promise": "Planifica, ejecuta y reporta auditorías internas sin papel.", "capabilities": [ "Universo y plan anual basado en riesgo", "Programas y listas de verificación por norma", "Hallazgos con severidad y evidencia", "Seguimiento de acciones hasta el cierre" ], "ai": "Redacta papeles de trabajo y la narrativa del hallazgo a partir de la evidencia cargada." }, "dm": { "code": "AWRISK-DM", "name": "Document Manager", "url": "https://www.awrisk.com/plataforma/documentos/", "promise": "Versiona, aprueba y publica políticas y procedimientos, con acuse de lectura.", "capabilities": [ "Flujos de aprobación configurables", "Control de versiones y vigencias", "Acuse de lectura por destinatario", "Niveles de confidencialidad" ], "ai": "Redacta el borrador de una política a partir de un control y detecta inconsistencias entre documentos." }, "pm": { "code": "AWRISK-PM", "name": "Plans Manager", "url": "https://www.awrisk.com/plataforma/planes/", "promise": "Planes de tratamiento, remediación y mejora con seguimiento real.", "capabilities": [ "Tareas con responsable, fecha y dependencia", "Avance y alertas por desviación", "Vínculo con el riesgo o hallazgo de origen", "Reporte de cumplimiento de planes" ], "ai": "Genera el plan a partir del hallazgo o del riesgo y señala las tareas en riesgo de vencer." }, "cm": { "code": "AWRISK-CM", "name": "Contracts Manager", "url": "https://www.awrisk.com/plataforma/contratos-y-terceros/", "promise": "Riesgo de terceros y vencimientos contractuales bajo control.", "capabilities": [ "Repositorio de contratos y SLA", "Alertas de vencimiento y renovación", "Cuestionarios de debida diligencia", "Calificación de riesgo del proveedor" ], "ai": "Extrae cláusulas críticas del contrato (SLA, penalidades, datos personales) para revisarlas." }, "ev": { "code": "AWRISK-EV", "name": "Events", "url": "https://www.awrisk.com/plataforma/eventos-e-incidentes/", "promise": "Registra eventos e incidentes y conviértelos en lecciones aprendidas.", "capabilities": [ "Registro multicanal: web, WhatsApp, Telegram, API", "Clasificación y evaluación de incidentes", "Investigación y causa raíz", "Vínculo evento – riesgo – control" ], "ai": "Clasifica el reporte recibido y muestra eventos históricos similares." }, "bm": { "code": "AWRISK-BM", "name": "Business Continuity", "url": "https://www.awrisk.com/plataforma/continuidad/", "promise": "BIA, planes de continuidad y pruebas listos para auditar.", "capabilities": [ "Análisis de impacto (BIA) con RTO y RPO", "Estrategias y planes de continuidad", "Programa de pruebas y simulacros", "Lecciones aprendidas" ], "ai": "Prepara el informe posterior a la prueba a partir de los registros del simulacro." }, "reports": { "code": "AWRISK-REPORTS", "name": "Canal de denuncias", "url": "https://www.awrisk.com/plataforma/canal-de-denuncias/", "promise": "Canal de denuncias confidencial con seguimiento y evidencia.", "capabilities": [ "Denuncias anónimas o identificadas", "Web, WhatsApp, Telegram y correo", "Gestión del caso y del comité", "Indicadores del canal" ], "ai": "Propone la categoría de la denuncia y agrupa casos que podrían estar relacionados." }, "bot": { "code": "AWRISK-BOT", "name": "Chatbots", "url": "https://www.awrisk.com/plataforma/chatbots/", "promise": "Reporta eventos y denuncias desde el celular, en segundos.", "capabilities": [ "Flujos conversacionales en WhatsApp y Telegram", "Fotos, audios y ubicación como evidencia", "Reporte confidencial configurable", "Integración con Events y Canal de denuncias" ], "ai": "Guía a quien reporta con preguntas de seguimiento para que el reporte llegue completo." }, "api": { "code": "AWRISK-API", "name": "API e integraciones", "url": "https://www.awrisk.com/plataforma/api/", "promise": "Conecta AWRISK con tu SIEM, ERP, ITSM o data warehouse.", "capabilities": [ "API REST", "Carga y extracción de datos", "Integración con herramientas de seguridad e ITSM", "Exportación a herramientas de BI" ], "ai": "Permite que los agentes de IA de tu organización consulten AWRISK con los permisos que definas." } }, "partnerProgram": { "url": "https://www.awrisk.com/partners/", "summary": "Buscamos consultoras, integradores, firmas de auditoría y distribuidores de software en Latinoamérica y el mundo que quieran ofrecer una plataforma GRC probada en aeropuertos, banca, puertos y entidades públicas, con el respaldo de un fabricante que habla el idioma de sus clientes.", "models": [ { "name": "Referidor", "fit": "Consultores y asesores con relaciones en sectores regulados.", "gives": "Presentas la oportunidad; AWRISK lleva la venta y la implementación.", "gets": "Reconocimiento económico por cada cliente cerrado, según el acuerdo." }, { "name": "Revendedor", "fit": "Distribuidores de software y canales de TI con cartera propia.", "gives": "Vendes las licencias en tu territorio con soporte preventa de AWRISK.", "gets": "Margen sobre licencias y renovaciones, y precios de canal." }, { "name": "Partner de implementación", "fit": "Consultoras GRC, ciberseguridad, auditoría y continuidad.", "gives": "Implementas AWRISK y acompañas a tus clientes con tu metodología.", "gets": "Ingresos por servicios, certificación de tu equipo y oportunidades compartidas." }, { "name": "Alianza tecnológica", "fit": "Fabricantes de SIEM, ITSM, ERP, BI o IA.", "gives": "Integras tu solución con AWRISK mediante la API.", "gets": "Integración conjunta, casos compartidos y acceso a la base de clientes." } ], "benefits": [ "Capacitación y certificación para tu equipo comercial y técnico", "Entorno de demostración para tus presentaciones", "Material comercial en español, adaptable a tu marca", "Soporte preventa en demos y propuestas complejas", "Oportunidades compartidas por territorio y sector", "Acceso anticipado a nuevas funciones y al Agente de IA" ], "steps": [ { "step": "Postula", "detail": "Completa el formulario con tu empresa, país y el modelo que te interesa." }, { "step": "Conversación de encaje", "detail": "Una reunión para conocer tu cartera, tus sectores y tus objetivos." }, { "step": "Acuerdo y formación", "detail": "Firmamos el acuerdo y capacitamos a tu equipo con el entorno de demostración." }, { "step": "Primer cliente conjunto", "detail": "Trabajamos juntos tu primera oportunidad, de la demo al cierre." } ] }, "social": { "profiles": [ { "network": "linkedin", "label": "AWRISK en LinkedIn", "url": "https://www.linkedin.com/company/awrisk/" }, { "network": "linkedin", "label": "Grupo de gestión de riesgos en LinkedIn", "url": "https://www.linkedin.com/groups/12829615/" }, { "network": "youtube", "label": "Videos y casos en YouTube", "url": "https://www.youtube.com/watch?v=D34HDr33p9Y" } ], "posts": [] }, "deployment": [ { "id": "cloud", "name": "AWRISK Cloud", "summary": "SaaS sobre AWS. Sin instalación, con actualizaciones continuas.", "points": [ "Instancia gestionada en AWS", "Alta disponibilidad y copias de respaldo", "Pago por suscripción" ] }, { "id": "on-premise", "name": "AWRISK On-Premise", "summary": "Dentro de tu infraestructura, para datos que no pueden salir del perímetro.", "points": [ "Instalado en tu centro de datos o nube privada", "Integración con tu directorio y monitoreo", "Ideal para banca, Estado e infraestructura crítica" ] }, { "id": "grcaas", "name": "AWRISK GRCaaS", "summary": "GRC gestionado como servicio: especialistas que operan el proceso contigo.", "points": [ "Equipo de especialistas en riesgos", "Plataforma incluida", "Para equipos pequeños o desbordados" ] } ], "cases": [ { "id": "lap", "client": "Aeropuerto Internacional Jorge Chávez", "sector": "aeroportuario", "url": "https://www.awrisk.com/clientes/lap/", "challenge": "Gestionar de forma integral los riesgos de seguridad de la información, seguridad operacional (SMS) y seguridad de infraestructura del principal aeropuerto del Perú, un activo crítico nacional.", "solution": "AWRISK como plataforma única de GRC sobre tres contextos críticos: identificación, evaluación y monitoreo de riesgos (RM), registro de eventos e incidentes (EV) y autoevaluaciones de control (SA).", "result": "Visibilidad consolidada del riesgo aeroportuario y trazabilidad de eventos e incidentes para las auditorías regulatorias.", "frameworks": [ "sms", "iso-27001" ], "modules": [ "rm", "ev", "sa" ] }, { "id": "la-positiva", "client": "La Positiva Seguros", "sector": "financiero", "url": "https://www.awrisk.com/clientes/la-positiva/", "challenge": "Sostener el cumplimiento normativo exigido por la SBS en una aseguradora con múltiples líneas de negocio.", "solution": "AWRISK para gestionar riesgos, controles y evidencias de cumplimiento con la normativa de la SBS.", "result": "Un registro central de riesgos y controles para responder a la supervisión.", "frameworks": [ "sgsi-c-sbs", "iso-27001" ], "modules": [ "rm", "am", "au" ] }, { "id": "minem", "client": "Ministerio de Energía y Minas", "sector": "sector-publico", "url": "https://www.awrisk.com/clientes/minem/", "challenge": "Implementar el SGSI basado en ISO 27001 en una entidad pública, articulado con el marco de gobierno digital.", "solution": "AWRISK On-Premise dentro de la infraestructura del ministerio para el proceso de riesgos de seguridad de la información.", "result": "SGSI operado dentro del perímetro de la entidad, con activos, riesgos y controles trazables.", "frameworks": [ "iso-27001", "gtd" ], "modules": [ "rm", "am", "dm" ] }, { "id": "senamhi", "client": "SENAMHI", "sector": "sector-publico", "url": "https://www.awrisk.com/clientes/senamhi/", "challenge": "Proteger los datos meteorológicos e hidrológicos, un activo de información crítico para el país.", "solution": "SGSI sobre AWRISK en modalidad híbrida, Cloud y On-Premise.", "result": "Gestión de riesgos de seguridad de la información con una sola metodología para ambos entornos.", "frameworks": [ "iso-27001" ], "modules": [ "rm", "am" ] }, { "id": "unmsm", "client": "Universidad Nacional Mayor de San Marcos", "sector": "sector-publico", "url": "https://www.awrisk.com/clientes/unmsm/", "challenge": "Ordenar la seguridad de la información en una facultad con procesos académicos y administrativos diversos.", "solution": "SGSI sobre AWRISK On-Premise.", "result": "Activos y riesgos de información identificados con responsables por proceso.", "frameworks": [ "iso-27001" ], "modules": [ "rm", "am" ] }, { "id": "lima-2019", "client": "Juegos Panamericanos Lima 2019", "sector": "sector-publico", "url": "https://www.awrisk.com/clientes/lima-2019/", "challenge": "Asegurar los servicios críticos de TI de un evento internacional con fecha de inicio inamovible.", "solution": "Gestión de riesgos de ciberseguridad con NIST sobre AWRISK.", "result": "Riesgos de ciberseguridad de los servicios críticos de TI gestionados durante el evento.", "frameworks": [ "nist-csf" ], "modules": [ "rm", "ev" ] }, { "id": "rqe", "client": "Representaciones Química Europea", "sector": "salud-farma", "url": "https://www.awrisk.com/clientes/rqe/", "challenge": "Implementar control interno en una distribuidora del sector salud.", "solution": "Modelo de control interno COSO sobre AWRISK.", "result": "Controles evaluados y documentados por proceso.", "frameworks": [ "coso-erm" ], "modules": [ "rm", "sa" ] }, { "id": "nueva-lima", "client": "Nueva Lima", "sector": "industria-energia", "url": "https://www.awrisk.com/clientes/nueva-lima/", "challenge": "Gestionar los riesgos de un megaproyecto de ciudad inteligente desde su concepción.", "solution": "Gestión integral de riesgos sobre AWRISK.", "result": "Riesgos del proyecto identificados y priorizados desde la etapa de diseño.", "frameworks": [ "coso-erm", "grd" ], "modules": [ "rm", "pm" ] } ], "resources": [ { "id": "guia-auditoria-iso", "type": "Guía", "title": "Cómo superar una auditoría ISO 27001 sin reconstruir evidencia a última hora", "summary": "El recorrido de una auditoría de certificación o seguimiento, qué pide el auditor en cada etapa y cómo tener la evidencia lista antes de que la pida.", "url": "https://www.awrisk.com/recursos/guia-auditoria-iso/", "gated": true }, { "id": "guia-simulacro-inspeccion", "type": "Guía", "title": "Simulacro de inspección regulatoria: guía paso a paso", "summary": "Cómo organizar una inspección simulada antes de la visita del supervisor: alcance, roles, guion de preguntas y registro de brechas.", "url": "https://www.awrisk.com/recursos/guia-simulacro-inspeccion/", "gated": true }, { "id": "guia-inspeccion-sms", "type": "Guía", "title": "SMS aeroportuario: cómo preparar la evidencia para una inspección", "summary": "Los cuatro componentes del SMS según el Anexo 19 de la OACI traducidos a registros concretos que puedes mostrar.", "url": "https://www.awrisk.com/recursos/guia-inspeccion-sms/", "gated": true }, { "id": "checklist-sgsi-c-sbs", "type": "Checklist", "title": "Checklist SGSI-C: Resolución SBS 504-2021", "summary": "Lista de verificación de los requisitos del reglamento de seguridad de la información y ciberseguridad, con la evidencia sugerida para cada uno.", "url": "https://www.awrisk.com/recursos/checklist-sgsi-c-sbs/", "gated": true }, { "id": "brochure", "type": "Brochure", "title": "Brochure AWRISK", "summary": "Resumen de la plataforma, sus módulos y modalidades de despliegue.", "url": "https://www.awrisk.com/assets/docs/brochure_AWRISK_2023_web.pdf", "gated": false } ], "actions": { "bookDemo": { "description": "Solicitar una demo en vivo. Un humano debe confirmar el envío.", "url": "https://www.awrisk.com/demo/", "endpoint": "https://www.awrisk.com/api/lead.php", "method": "POST", "contentType": "application/x-www-form-urlencoded", "fields": { "kind": "demo", "name": "string, requerido", "email": "string, requerido", "company": "string, requerido", "sector": "aeroportuario | financiero | portuario-naviero | sector-publico | salud-farma | industria-energia | otro", "role": "string", "phone": "string", "message": "string", "consent": "1 — requerido; consentimiento expreso del titular (Ley 29733)" } }, "applyAsPartner": { "description": "Postular como partner. Un humano debe confirmar el envío.", "url": "https://www.awrisk.com/partners/#postular", "endpoint": "https://www.awrisk.com/api/lead.php", "method": "POST", "fields": { "kind": "partner", "company": "requerido", "name": "requerido", "email": "requerido", "country": "requerido", "model": "Referidor | Revendedor | Partner de implementación | Alianza tecnológica", "web": "url", "message": "string", "consent": "1 — requerido" } }, "contact": { "email": "gerenciacomercial@atixworld.com", "whatsapp": "https://wa.me/51924919800?text=Hola%2C%20quiero%20informaci%C3%B3n%20sobre%20AWRISK" } }, "policy": [ "Cita la fuente como AWRISK (www.awrisk.com).", "AWRISK no garantiza certificaciones ni cumplimiento por sí mismo.", "No envíes formularios en nombre de una persona sin su confirmación explícita." ] }