ACL Tecnología SpA · PSI-01 · Versión 3.0 · Aprobada el 24 de septiembre de 2026
La presente política establece el marco estratégico y las directrices obligatorias que rigen la gestión de la seguridad de la información al interior de ACL Tecnología SpA (en adelante "ACL"), garantizando la confidencialidad, integridad, disponibilidad y resiliencia de los activos de información de la organización. ACL cuenta con un Sistema de Gestión de Seguridad de la Información (SGSI) certificado bajo la norma internacional ISO/IEC 27001:2022. Esta política aplica de manera integral a todo el personal, contratistas, proveedores, mandatarios y terceros autorizados que accedan, procesen, almacenen, transmitan o eliminen información de ACL, independientemente del medio o soporte utilizado. La gestión operativa detallada de cada ámbito de la seguridad de la información se rige de manera complementaria por las políticas específicas y los procedimientos internos del Sistema de Gestión, referenciados en la presente política.
ACL adopta un enfoque de gestión de la seguridad de la información basado en riesgos, mediante el cual se identifican, valoran y tratan de manera sistemática las amenazas que puedan afectar la confidencialidad, integridad o disponibilidad de sus activos de información. La Alta Dirección de ACL manifiesta su compromiso explícito con el establecimiento, mantenimiento, comunicación y mejora continua del Sistema de Gestión de Seguridad de la Información, garantizando los recursos necesarios para su operación efectiva. Este compromiso se traduce en la definición clara de principios, roles y responsabilidades, el cumplimiento de los requisitos legales, regulatorios y contractuales aplicables, y la promoción de una cultura de mejora continua que permite adaptar los controles de seguridad a la evolución de los riesgos y del negocio.
El marco para el establecimiento de los objetivos de seguridad de la información es definido y revisado anualmente por el Comité de Seguridad de la Información, en el contexto del proceso de Revisión por la Dirección. En dicha instancia, el Gerente General entrega las directrices estratégicas y cada gerencia responsable alinea sus objetivos particulares en función de éstas, conforme a lo establecido en el procedimiento de Revisión Gerencial y Mejora Continua. Los objetivos vigentes, sus indicadores de desempeño y sus metas asociadas quedan registrados formalmente en el acta de Revisión por la Dirección de cada período, documento que constituye la referencia oficial y actualizada para efectos de seguimiento y auditoría. El cumplimiento de los objetivos es monitoreado periódicamente por la Jefa de Calidad, Seguridad y Cumplimiento y reportado al Comité de Seguridad de la Información.
ACL formaliza un Comité de Seguridad de la Información como instancia de gobernanza del SGSI, integrado por el Gerente General, la Jefa de Calidad, Seguridad y Cumplimiento y la Jefa de Soporte. El Comité es presidido por la Jefa de Calidad, Seguridad y Cumplimiento y sesiona con una periodicidad mensual, sin perjuicio de convocarse de manera extraordinaria ante incidentes significativos o cambios relevantes en el contexto de riesgo. Son funciones del Comité: supervisar la eficacia del SGSI; revisar el estado de los riesgos, incidentes y planes de tratamiento de seguridad de la información; validar el cumplimiento de los requisitos normativos, legales y contractuales aplicables; y elevar a la Alta Dirección aquellas materias que, por su criticidad, requieran de su aprobación o de la asignación de recursos adicionales.
El Gerente General aprueba la presente política y sus actualizaciones, y es responsable de la aceptación formal de los riesgos de seguridad de la información calificados como no tolerables. El Comité de Seguridad de la Información supervisa la operación del SGSI conforme a lo señalado en la sección anterior. La Jefa de Calidad, Seguridad y Cumplimiento es responsable de coordinar la implementación, operación y mejora continua del SGSI, de gestionar el ciclo de riesgos e incidentes de seguridad de la información, y de mantener actualizada la documentación del Sistema de Gestión. La Jefa de Soporte es responsable de la operación técnica de los controles de seguridad de la información, la continuidad tecnológica y la gestión de accesos e infraestructura. Todo el personal, contratistas, proveedores y terceros que accedan a información de ACL son responsables de conocer, cumplir y reportar oportunamente cualquier incumplimiento, riesgo o incidente relacionado con la presente política.
ACL garantiza que la gestión de la seguridad de la información cumple con los requisitos legales, regulatorios y contractuales aplicables. Esta política se rige por la norma internacional ISO/IEC 27001:2022, que establece los requisitos del Sistema de Gestión de Seguridad de la Información, y por la norma ISO/IEC 42001:2023, en lo relativo a la gobernanza de los sistemas de inteligencia artificial utilizados por la compañía. En el plano legal, ACL da cumplimiento a la Ley N° 19.628 sobre Protección de la Vida Privada (modificada por la Ley N° 21.719), a la Ley N° 21.459 sobre delitos informáticos, a la Ley N° 21.663 que establece el Marco de Ciberseguridad e Infraestructura Crítica de la Información, a la Ley N° 21.643 sobre acoso laboral y sexual, a la Ley N° 20.393 sobre responsabilidad penal de las personas jurídicas, y al Código del Trabajo. Cuando resulte contractualmente aplicable, ACL da cumplimiento adicionalmente al estándar PCI DSS v4.0.1 para el resguardo de datos de tarjetahabientes.
ACL asume un compromiso explícito con el desarrollo y uso responsable de los sistemas de inteligencia artificial que forman parte de sus procesos y servicios, alineado con los principios de gobernanza, gestión de riesgos, transparencia y no discriminación establecidos en la norma internacional ISO/IEC 42001:2023. Este compromiso incluye la supervisión e intervención humana sustancial (human-in-the-loop) en las decisiones relevantes derivadas del uso de sistemas de inteligencia artificial, la integración de los riesgos asociados a dichos sistemas dentro del marco general de gestión de riesgos de seguridad de la información de la compañía, y el cumplimiento de los requisitos legales, éticos y contractuales aplicables a su desarrollo y operación. El detalle del alcance, diseño y parámetros operativos de cada sistema de inteligencia artificial en uso se encuentra formalmente definido y regulado en los procedimientos específicos correspondientes a cada proceso de negocio.
La presente política se complementa con un conjunto de políticas específicas que desarrollan en detalle cada ámbito del Sistema de Gestión de Seguridad de la Información, y cuyo cumplimiento es igualmente obligatorio para todo el personal, contratistas, proveedores y terceros de ACL:
ACL gestiona los riesgos de seguridad de la información mediante un proceso sistemático y anual, liderado por el Comité de Seguridad de la Información, que contempla la identificación de riesgos en conjunto con las jefaturas de cada área, su valoración en función de la probabilidad e impacto sobre los activos de información, y la definición de planes de tratamiento acordes al nivel de tolerancia al riesgo. El detalle de la metodología de valoración de activos, calificación del riesgo inherente y residual, y los criterios de aceptación, mitigación, transferencia o evitación del riesgo, se encuentra formalmente establecido en el procedimiento PRSI0601 Riesgos de Seguridad de la Información.
Cualquier evento o vulneración de seguridad de la información que comprometa la confidencialidad, disponibilidad o integridad de los activos de información de ACL activa de manera inmediata el proceso de gestión de riesgos e incidentes de seguridad de la información, conforme a lo establecido en el procedimiento PRSI1601 Gestión de Riesgos e Incidentes de Seguridad de la Información. Dicho proceso contempla la clasificación de los incidentes según su severidad, los plazos internos de notificación y escalamiento correspondientes, y la notificación oportuna a la autoridad competente y a los titulares o clientes afectados cuando así lo exijan la Ley N° 21.663 —que dispone la notificación de incidentes significativos al CSIRT Nacional— o la Ley N° 19.628 y su modificación por la Ley N° 21.719, que exigen la notificación de brechas de datos personales dentro de un plazo máximo de 72 horas. Adicionalmente, ACL mantiene un Plan de Continuidad del Negocio, revisado anualmente y sometido a pruebas y simulacros periódicos, conforme a lo dispuesto en el procedimiento PRSI1701 Procedimiento de Continuidad del Negocio, con el objeto de asegurar la disponibilidad de sus servicios críticos ante eventos que puedan interrumpir su operación.
Esta política se revisa formalmente con una periodicidad mínima anual, o de forma extraordinaria ante cambios tecnológicos significativos, reestructuraciones operativas o modificaciones legislativas aplicables. Toda versión actualizada del documento será publicada oficialmente indicando el número de versión y su fecha de entrada en vigor.
Jorge Portus
Gerente General
Aprobada el 24 de septiembre de 2026
Elaborada el 23 de septiembre de 2026 por Karen Olivares Cornejo, Jefa de Calidad, Seguridad y Cumplimiento
PSI-01 · Versión 3.0