Ciberseguridad para empresas en Uruguay: guía práctica
Guía práctica de ciberseguridad para empresas en Uruguay: principales riesgos, controles esenciales, obligaciones, servicios disponibles y cómo construir una estrategia de seguridad adecuada a cada organización.
Por InfoSecura · Actualizado 19/09/2026
La ciberseguridad dejó de ser un problema exclusivo de bancos, grandes corporaciones o empresas tecnológicas.
Hoy prácticamente cualquier empresa depende de correo electrónico, servicios en la nube, sistemas de gestión, acceso remoto, proveedores tecnológicos, dispositivos móviles y datos digitales para funcionar. Esa dependencia genera oportunidades de negocio, pero también una superficie de ataque que debe ser gestionada.
En Uruguay, la propia Estrategia Nacional de Ciberseguridad 2024-2030 identifica a las MiPymes como un sector especialmente expuesto y plantea la necesidad de facilitarles el acceso a herramientas y servicios de ciberseguridad.
Además, el crecimiento de los incidentes demuestra que el problema no es teórico. CERTuy informó que durante el primer semestre de 2026 detectó y respondió 32.399 incidentes de seguridad de la información, un 52% más que durante el mismo período del año anterior. Parte de ese incremento también responde a mejoras en las capacidades de monitoreo y detección.
Pero ¿qué necesita realmente una empresa para protegerse?
La respuesta no debería comenzar por comprar herramientas. Una estrategia efectiva combina personas, procesos y tecnología, priorizando los riesgos que realmente podrían afectar al negocio.
En esta guía explicamos qué debería considerar una empresa uruguaya para construir un programa de ciberseguridad razonable, desde los controles mínimos hasta la gestión de incidentes, proveedores, vulnerabilidades y cumplimiento.
¿Qué significa ciberseguridad para una empresa?
La ciberseguridad puede entenderse como el conjunto de medidas destinadas a proteger los sistemas, la información y los servicios digitales frente a amenazas que puedan afectar su:
- Confidencialidad: evitar que información sea accedida por personas no autorizadas.
- Integridad: evitar modificaciones indebidas o no autorizadas.
- Disponibilidad: garantizar que sistemas e información estén disponibles cuando el negocio los necesita.
En una empresa, esto se traduce en proteger activos como:
- correo electrónico;
- Microsoft 365 o Google Workspace;
- servidores;
- equipos de empleados;
- sistemas ERP y CRM;
- aplicaciones web;
- bases de datos;
- infraestructura cloud;
- redes y VPN;
- respaldos;
- documentación comercial;
- información de clientes y empleados.
El objetivo no es alcanzar una seguridad perfecta. Eso no existe.
El objetivo es reducir el riesgo a un nivel aceptable para el negocio y estar preparados para responder cuando algo falle.
¿Por qué debería preocuparse una empresa uruguaya?
Porque una empresa no necesita ser famosa para resultar atractiva para un atacante.
Gran parte de los ataques actuales son automatizados. Los delincuentes buscan sistemas vulnerables, credenciales filtradas, servidores expuestos o usuarios susceptibles al phishing sin necesariamente conocer previamente a la organización.
Una empresa puede convertirse en objetivo simplemente porque:
- un empleado reutilizó una contraseña que apareció en una filtración;
- existe una VPN o firewall vulnerable publicado en Internet;
- una cuenta de Microsoft 365 no tiene autenticación multifactor;
- un servidor no fue actualizado;
- un empleado abrió un archivo malicioso;
- un proveedor con acceso a la organización fue comprometido.
Por eso, tamaño y notoriedad no equivalen necesariamente a riesgo.
Las amenazas más frecuentes para una empresa
No todas las empresas enfrentan exactamente los mismos riesgos, pero existen escenarios que se repiten con frecuencia.
Phishing y robo de credenciales
El correo electrónico continúa siendo uno de los principales puntos de entrada.
Un atacante puede intentar engañar a un empleado para que entregue su contraseña, apruebe una autenticación multifactor fraudulenta, descargue malware o realice una transferencia de dinero.
Compromiso de Microsoft 365 o Google Workspace
Una cuenta corporativa comprometida puede permitir acceso a:
- correo electrónico;
- OneDrive o Google Drive;
- Teams;
- SharePoint;
- contactos;
- documentación interna;
- información comercial.
Además, el atacante puede utilizar la cuenta legítima para enviar nuevos ataques a clientes y proveedores.
Ransomware
Un ransomware puede cifrar archivos y detener operaciones, pero los ataques modernos también pueden incluir robo previo de información y extorsión.
Por eso, tener un backup no elimina por sí solo el riesgo.
Vulnerabilidades sin corregir
Firewalls, VPN, servidores, aplicaciones web, sistemas operativos y otros productos reciben continuamente actualizaciones de seguridad.
Una vulnerabilidad conocida y expuesta puede proporcionar al atacante un punto de entrada sin necesidad de engañar a ningún usuario.
Fraude por correo empresarial
En ataques conocidos como BEC (Business Email Compromise), los delincuentes utilizan cuentas comprometidas o suplantadas para solicitar transferencias, modificar cuentas bancarias de proveedores o engañar a áreas financieras.
Proveedores comprometidos
La empresa puede tener buenos controles internos y aun así resultar afectada por un tercero que posee acceso a sus sistemas, información o infraestructura.
¿Por dónde debería empezar una empresa?
Una empresa que nunca desarrolló formalmente un programa de ciberseguridad no debería comenzar comprando diez productos diferentes.
El primer paso debería ser responder cuatro preguntas:
- ¿Qué activos tenemos?
- ¿Qué información y sistemas son críticos?
- ¿Qué amenazas podrían afectarlos?
- ¿Qué controles ya existen y cuáles faltan?
Con esas respuestas puede construirse un plan priorizado.
Los controles esenciales de ciberseguridad para una empresa
Una base razonable debería contemplar, como mínimo, los siguientes aspectos.
1. Inventario de activos
No puede protegerse aquello que la organización no sabe que existe.
El inventario debería incluir al menos:
- computadoras;
- servidores;
- dispositivos de red;
- software;
- servicios cloud;
- cuentas;
- aplicaciones críticas.
Herramientas de descubrimiento e inventario como Lansweeper pueden ayudar a mantener esta información actualizada.
2. Autenticación multifactor
La autenticación multifactor (MFA) debería aplicarse especialmente a:
- correo corporativo;
- VPN;
- cuentas administrativas;
- servicios cloud;
- accesos remotos;
- aplicaciones críticas.
Una contraseña por sí sola ya no debería considerarse una protección suficiente para servicios críticos.
3. Gestión de privilegios
Los usuarios no deberían trabajar habitualmente con permisos administrativos si no los necesitan.
También deberían revisarse:
- cuentas administrativas compartidas;
- usuarios antiguos;
- cuentas de empleados que dejaron la empresa;
- privilegios excesivos;
- cuentas de servicio;
- accesos de proveedores.
El principio debería ser otorgar únicamente el acceso necesario para realizar la función correspondiente.
4. Actualizaciones y gestión de vulnerabilidades
No alcanza con confiar en que Windows Update o los proveedores resolverán automáticamente todos los problemas.
La empresa debería contar con un proceso para:
- identificar vulnerabilidades;
- priorizarlas;
- aplicar correcciones;
- documentar excepciones;
- validar posteriormente la remediación.
Podés profundizar en este tema en nuestra guía sobre gestión de vulnerabilidades en empresas.
5. Protección de endpoints
Las computadoras y servidores deberían contar con mecanismos adecuados de protección.
Dependiendo del riesgo y tamaño de la organización, esto puede incluir:
- antivirus de nueva generación;
- EDR;
- control de aplicaciones;
- cifrado de dispositivos;
- hardening;
- gestión centralizada de políticas.
Un EDR proporciona capacidades de detección y respuesta superiores a las de un antivirus tradicional, aunque su efectividad también depende de que exista alguien capaz de monitorear y responder a sus alertas.
6. Seguridad del correo electrónico
La empresa debería revisar controles como:
- protección antiphishing;
- antimalware;
- SPF;
- DKIM;
- DMARC;
- protección de enlaces;
- protección de adjuntos;
- detección de suplantación.
También es importante revisar periódicamente configuraciones de Microsoft 365 o Google Workspace.
7. Backups protegidos y probados
Un backup que nunca fue restaurado es solamente una expectativa.
La estrategia debería contemplar:
- múltiples copias;
- separación del entorno productivo;
- protección contra eliminación o modificación;
- retención suficiente;
- pruebas periódicas de restauración.
También debería conocerse cuánto tiempo puede tolerar la empresa estar sin cada servicio y cuánta información está dispuesta a perder.
8. Seguridad de red
La existencia de un firewall no significa automáticamente que la red sea segura.
Deberían revisarse aspectos como:
- reglas innecesarias;
- servicios publicados;
- VPN;
- firmware;
- segmentación;
- accesos entre redes;
- Wi-Fi corporativo;
- redes de invitados.
Una red plana donde todos los dispositivos pueden comunicarse libremente facilita el movimiento lateral después de un compromiso.
9. Logs y monitoreo
Cuando ocurre un incidente, una de las preguntas más importantes es:
¿qué pasó?
Sin registros adecuados, responderla puede ser imposible.
La organización debería determinar qué eventos necesita conservar provenientes de:
- firewall;
- VPN;
- Active Directory;
- Microsoft Entra ID;
- Microsoft 365;
- servidores;
- EDR;
- aplicaciones críticas;
- infraestructura cloud.
En organizaciones que requieren monitoreo continuo puede ser conveniente utilizar servicios de SOC o MDR, como Blackpoint Cyber MDR, para detectar y responder a amenazas durante las 24 horas.
10. Concientización de empleados
Los usuarios forman parte del sistema de seguridad.
La capacitación debería enseñar situaciones que realmente puedan enfrentar:
- phishing;
- robo de credenciales;
- fraude financiero;
- uso de contraseñas;
- MFA;
- manejo de información;
- reporte de incidentes.
Las simulaciones periódicas de phishing permiten además medir el comportamiento real y dirigir capacitación adicional a quienes la necesitan.
Plataformas como KnowBe4 permiten automatizar programas de concientización y simulaciones.
11. Plan de respuesta a incidentes
La pregunta no debería ser únicamente cómo evitar un incidente, sino también:
¿qué vamos a hacer cuando ocurra?
Un procedimiento de respuesta debería determinar:
- quién coordina;
- quién toma decisiones;
- cómo se contiene un incidente;
- qué evidencia debe preservarse;
- quién comunica internamente;
- cuándo intervienen abogados;
- cuándo se notifica a autoridades;
- cómo se recuperan los servicios.
Si tu empresa está enfrentando un incidente, podés consultar nuestra guía ¿Hackearon tu empresa? Qué hacer en las primeras 24 horas.
12. Gestión de proveedores
Los terceros deberían formar parte del análisis de riesgo.
Una empresa debería saber:
- qué proveedores tienen acceso a sus sistemas;
- qué información almacenan;
- qué permisos tienen;
- qué mecanismos de autenticación utilizan;
- cómo reportarán un incidente;
- cómo protegen los datos;
- qué sucede cuando finaliza el contrato.
Personas, procesos y tecnología
Una estrategia equilibrada necesita las tres dimensiones.
Dimensión Ejemplos Personas Capacitación, responsables, roles, cultura, especialistas. Procesos Gestión de incidentes, vulnerabilidades, accesos, riesgos, terceros y continuidad. Tecnología MFA, EDR, firewall, backups, SIEM, email security, inventario.Invertir únicamente en tecnología suele producir una falsa sensación de seguridad.
Una empresa puede comprar un EDR avanzado y continuar en riesgo si nadie revisa sus alertas. Puede tener un firewall empresarial y mantener servicios innecesarios abiertos. Puede tener backups pero nunca probar su restauración.
La tecnología debe formar parte de un proceso.
¿Cuánta ciberseguridad necesita una PyME?
No todas las empresas necesitan un SOC interno, cinco especialistas y herramientas empresariales de alto costo.
La seguridad debería ser proporcional al riesgo.
Una pequeña empresa debería priorizar controles fundamentales:
- inventario;
- MFA;
- actualizaciones;
- backups;
- protección de endpoints;
- correo seguro;
- capacitación;
- procedimiento básico de incidentes.
A medida que aumenta la complejidad, también pueden incorporarse:
- gestión formal de riesgos;
- EDR avanzado;
- SIEM;
- SOC o MDR;
- gestión continua de vulnerabilidades;
- pentesting;
- clasificación de información;
- DLP;
- gestión avanzada de identidades;
- auditorías periódicas.
La Estrategia Nacional de Ciberseguridad de Uruguay reconoce específicamente que las MiPymes suelen encontrarse más desprotegidas y plantea acciones para facilitarles el acceso a herramientas y servicios de seguridad.
Una empresa pequeña también necesita gobernanza
Gobernanza no significa necesariamente crear un departamento completo.
Significa que alguien debe poder responder:
- ¿quién es responsable de la ciberseguridad?
- ¿qué riesgos aceptamos?
- ¿qué controles priorizamos?
- ¿qué incidentes tuvimos?
- ¿qué vulnerabilidades siguen pendientes?
- ¿qué proveedores representan mayor riesgo?
- ¿qué inversiones necesitamos?
En organizaciones que no justifican un CISO interno de tiempo completo, estas funciones pueden desarrollarse mediante un servicio de vCISO.
¿Qué marco de ciberseguridad puede utilizar una empresa en Uruguay?
No es necesario inventar un modelo propio.
Existen marcos reconocidos que permiten organizar los controles y evaluar el nivel de madurez.
Marco de Ciberseguridad de Uruguay 5.0
Agesic mantiene el Marco de Ciberseguridad de Uruguay 5.0, diseñado para organizaciones públicas y privadas.
El MCU 5.0 contiene 72 requisitos organizados alrededor de seis funciones:
- Gobernar.
- Identificar.
- Proteger.
- Detectar.
- Responder.
- Recuperar.
También incluye un modelo de madurez que permite evaluar la situación actual y establecer objetivos progresivos.
CIS Controls
CIS Controls ofrece un conjunto priorizado de salvaguardas técnicas y organizacionales.
Su estructura mediante grupos de implementación resulta especialmente útil para organizaciones que necesitan comenzar por los controles de mayor impacto.
Podés consultar nuestra guía sobre CIS Controls para empresas.
ISO/IEC 27001
ISO 27001 permite implementar un Sistema de Gestión de Seguridad de la Información basado en riesgos.
Resulta especialmente útil cuando la organización necesita formalizar procesos, demostrar controles ante clientes o avanzar hacia una certificación.
Podés conocer más en nuestra guía sobre ISO 27001 en Uruguay.
¿Qué obligaciones de ciberseguridad existen en Uruguay?
El marco aplicable depende del sector, tipo de organización y datos tratados.
El Decreto N.º 66/025 establece obligaciones específicas para entidades públicas y determinadas entidades privadas vinculadas a servicios o sectores críticos.
Entre ellas se encuentran requisitos relacionados con:
- Responsable de Seguridad de la Información;
- adopción del Marco de Ciberseguridad;
- gestión de incidentes;
- auditorías;
- conservación de trazas;
- gestión de terceros.
No todas las empresas privadas uruguayas están automáticamente alcanzadas.
Si necesitás profundizar sobre el alcance podés consultar nuestra guía sobre el Decreto 66/025 y sus obligaciones de ciberseguridad.
Las organizaciones también deben considerar la normativa de protección de datos personales cuando procesan información de clientes, empleados u otras personas.
¿Cuánto cuesta implementar ciberseguridad en una empresa?
No existe un costo universal.
Depende, entre otros factores, de:
- cantidad de usuarios;
- cantidad de dispositivos;
- infraestructura;
- uso de cloud;
- criticidad del negocio;
- regulación;
- controles ya existentes;
- necesidad de monitoreo 24x7.
Lo importante es evitar dos extremos:
invertir demasiado en herramientas que nadie opera o invertir demasiado poco y dejar riesgos críticos sin tratar.
Una evaluación inicial permite determinar qué inversiones generan mayor reducción de riesgo.
¿Conviene tener ciberseguridad interna o tercerizarla?
En muchas empresas el modelo más eficiente es híbrido.
El equipo interno conserva conocimiento del negocio y operación diaria, mientras especialistas externos aportan capacidades específicas.
Función Puede ser interna Puede tercerizarse Responsabilidad y estrategia Sí Sí, mediante vCISO Operación de infraestructura Sí Sí Gestión de vulnerabilidades Sí Sí Monitoreo 24x7 Posible, pero costoso Habitualmente mediante SOC/MDR Pentesting Menos habitual Habitualmente externo Respuesta a incidentes Sí Puede requerir especialistas externosLa decisión debería basarse en capacidades, costo, independencia y nivel de riesgo, no simplemente en si una función puede técnicamente realizarse dentro de la empresa.
¿Qué es un vCISO?
Un Virtual Chief Information Security Officer permite acceder a funciones de dirección de seguridad sin incorporar necesariamente un CISO de tiempo completo.
Puede encargarse de:
- estrategia de ciberseguridad;
- gestión de riesgos;
- políticas;
- cumplimiento;
- roadmaps;
- presentación de riesgos a dirección;
- coordinación de auditorías;
- seguimiento de incidentes.
Podés conocer nuestro servicio de vCISO para empresas.
¿Qué es vSecOps?
Mientras el vCISO se concentra principalmente en estrategia y gobierno, un servicio de vSecOps trabaja sobre la operación cotidiana de los controles técnicos.
Por ejemplo:
- gestión de vulnerabilidades;
- hardening;
- revisión de configuraciones;
- gestión de EDR;
- controles de Microsoft 365;
- seguimiento de remediaciones;
- apoyo a infraestructura.
Ambas funciones son complementarias.
¿Cuándo debería una empresa hacer un pentest?
Un pentest o prueba de penetración permite evaluar de forma controlada qué vulnerabilidades podrían ser explotadas por un atacante.
Puede resultar especialmente útil:
- antes de poner una aplicación crítica en producción;
- después de cambios importantes;
- ante requisitos regulatorios o contractuales;
- como evaluación periódica;
- para validar controles existentes.
No debería confundirse con un simple escaneo automatizado de vulnerabilidades.
Cómo evaluar rápidamente el estado de seguridad de una empresa
Una primera autoevaluación puede comenzar con estas preguntas:
- ¿Tenemos un inventario actualizado de equipos y software?
- ¿Todos los accesos críticos utilizan MFA?
- ¿Los usuarios trabajan sin privilegios administrativos innecesarios?
- ¿Los sistemas reciben actualizaciones periódicamente?
- ¿Realizamos evaluaciones de vulnerabilidades?
- ¿Tenemos EDR o protección equivalente?
- ¿Los backups están aislados y probamos restauraciones?
- ¿Revisamos la seguridad de Microsoft 365 o Google Workspace?
- ¿Tenemos registros suficientes para investigar un incidente?
- ¿Existe monitoreo de alertas?
- ¿Los empleados reciben capacitación?
- ¿Existe un procedimiento de respuesta a incidentes?
- ¿Evaluamos proveedores críticos?
- ¿Alguien es formalmente responsable de la ciberseguridad?
- ¿La dirección recibe información sobre riesgos de seguridad?
Si varias de estas respuestas son “no” o “no sabemos”, existe una oportunidad clara de mejora.
Un plan práctico para los primeros 90 días
Una empresa que quiera comenzar puede dividir el trabajo en etapas.
Primeros 30 días: entender el riesgo
- Identificar sistemas críticos.
- Actualizar el inventario.
- Revisar cuentas administrativas.
- Verificar MFA.
- Evaluar backups.
- Identificar servicios expuestos a Internet.
- Definir un responsable.
Días 30 a 60: reducir exposiciones importantes
- Corregir vulnerabilidades críticas.
- Eliminar accesos innecesarios.
- Mejorar protección de endpoints.
- Revisar correo electrónico.
- Aplicar hardening.
- Comenzar capacitación.
Días 60 a 90: formalizar y medir
- Definir políticas fundamentales.
- Implementar gestión periódica de vulnerabilidades.
- Formalizar respuesta a incidentes.
- Definir métricas.
- Evaluar proveedores críticos.
- Construir un roadmap de mediano plazo.
Después de estos primeros pasos, la ciberseguridad debería convertirse en un proceso continuo y no en un proyecto que termina.
Cómo elegir una empresa de ciberseguridad en Uruguay
Al contratar servicios de ciberseguridad conviene evaluar algo más que la lista de herramientas ofrecidas.
Algunas preguntas útiles son:
- ¿El proveedor entiende el negocio además de la tecnología?
- ¿Tiene experiencia real en respuesta a incidentes?
- ¿Trabaja con marcos reconocidos?
- ¿Puede explicar los riesgos en lenguaje ejecutivo?
- ¿Entrega recomendaciones priorizadas?
- ¿Hace seguimiento de los hallazgos?
- ¿Puede integrarse con el equipo de infraestructura existente?
- ¿Cuenta con especialistas en las áreas que ofrece?
- ¿Define claramente alcance, responsabilidades y entregables?
Una buena consultoría no debería generar dependencia innecesaria, sino ayudar a la empresa a comprender y reducir sus riesgos.
Servicios de ciberseguridad para empresas en Uruguay
En InfoSecura trabajamos con empresas que necesitan desarrollar o mejorar sus capacidades de ciberseguridad sin necesariamente construir un departamento interno completo.
Los servicios pueden incluir:
- vCISO: dirección, gobierno, riesgos, políticas y cumplimiento.
- vSecOps: operación y mejora continua de controles técnicos.
- Respuesta a Incidentes: contención, análisis, erradicación y recuperación.
- Ethical Hacking y Pentesting: evaluación ofensiva de sistemas y aplicaciones.
- KnowBe4: concientización y simulaciones de phishing.
- Lansweeper: inventario y visibilidad de activos tecnológicos.
- Blackpoint Cyber: MDR y monitoreo de amenazas 24x7.
El primer paso no tiene por qué ser un proyecto complejo.
Una evaluación inicial permite identificar qué controles existen, dónde se encuentran las principales brechas y cuáles deberían ser las prioridades de inversión.
Conocé InfoSecura y nuestros servicios de ciberseguridad →
Preguntas frecuentes sobre ciberseguridad para empresas
¿Una PyME realmente necesita ciberseguridad?
Sí. Las pequeñas y medianas empresas utilizan correo, servicios cloud, sistemas administrativos y datos que pueden ser aprovechados por atacantes. La seguridad debe adaptarse al tamaño y riesgo de la organización, pero no debería ignorarse.
¿Cuál es la medida de seguridad más importante?
No existe un único control que resuelva todos los riesgos. Como base, una empresa debería priorizar inventario, MFA, actualizaciones, backups, protección de endpoints, seguridad del correo y capacidad de responder a incidentes.
¿Con un buen antivirus es suficiente?
No. El antivirus o EDR es solamente una capa. No evita por sí solo credenciales robadas, configuraciones inseguras, vulnerabilidades en firewalls, fraude por correo, exposición de datos o problemas de terceros.
¿Tener Microsoft 365 significa que Microsoft se encarga de toda la seguridad?
No. Microsoft protege la infraestructura de su plataforma, pero la empresa sigue siendo responsable de configurar adecuadamente identidades, accesos, MFA, privilegios, dispositivos, compartición de información y otros controles.
¿Cada cuánto debería realizarse una evaluación de seguridad?
La frecuencia depende del riesgo y del tipo de evaluación. Algunos controles requieren monitoreo continuo, mientras que las evaluaciones de vulnerabilidades pueden realizarse mensual o trimestralmente y los pentests con una periodicidad diferente o ante cambios importantes.
¿Qué diferencia hay entre vCISO y vSecOps?
El vCISO se concentra principalmente en estrategia, gobierno, riesgo y cumplimiento. vSecOps se concentra en la operación técnica y mejora continua de controles. En muchas organizaciones funcionan de forma complementaria.
¿Qué hago si mi empresa ya fue hackeada?
La prioridad es contener el incidente sin destruir evidencia, determinar su alcance, proteger las credenciales afectadas y preservar registros. Ante incidentes importantes conviene solicitar asistencia especializada lo antes posible.
¿Qué marco de ciberseguridad conviene usar en Uruguay?
El Marco de Ciberseguridad de Uruguay 5.0 de Agesic constituye una excelente referencia local. También pueden utilizarse CIS Controls, NIST Cybersecurity Framework e ISO/IEC 27001 según los objetivos y características de la organización.
Fuentes y referencias
- Agesic – Estrategia Nacional de Ciberseguridad del Uruguay 2024-2030.
- Agesic – Línea 7.3: Mejorar la ciberseguridad de las MiPymes.
- Agesic – Marco de Ciberseguridad 5.0.
- CERTuy – Estadísticas de incidentes de seguridad de la información.
- Center for Internet Security – CIS Controls.
- NIST – Cybersecurity Framework.
Este artículo tiene fines informativos generales. La estrategia, controles y obligaciones aplicables deben determinarse según el tamaño, actividad, infraestructura, riesgos y requisitos regulatorios de cada organización.