Propuesta estratégica para la implementación de la plataforma avanzada de simulación de crisis y respuesta ante incidentes potenciada con Inteligencia Artificial.
Elaborado por WAYWEB SPA · ventas@wayweb.cl / contacto@wayweb.cl · Santiago, Chile
Señores
Productos del Mar Ventisqueros S.A.
Comité de Evaluación de Licitación
Camino Chinquihue Km. 14, Sector Bahía Chincui — Puerto Montt
Ref: Propuesta Técnica y Comercial — Plataforma Tabletop Exercise (SaaS)
En respuesta a la convocatoria de licitación para la provisión de una Tabletop Exercise Platform, WAYWEB SPA tiene el agrado de someter a su consideración nuestra propuesta para la implementación de SPC I.A., una plataforma SaaS de desarrollo propio concebida específicamente para responder a las complejidades operacionales y regulatorias de la industria acuícola chilena.
Nuestra solución se aparta de los ejercicios tradicionales de consultoría estática. SPC I.A. ha sido diseñada como un entorno inmersivo de simulación que permite entrenar a la alta dirección y equipos técnicos bajo escenarios de asimetría de información real. La plataforma opera 100% en español sobre una infraestructura Serverless de alta disponibilidad en Amazon Web Services (AWS), potenciada por el motor de inteligencia artificial generativa de Google Gemini. Esto nos permite despachar inyecciones de crisis dinámicas y evaluar el impacto económico y operacional en tiempo real —por ejemplo, ante incidentes que comprometan sistemas críticos de biomasa o telemetría SCADA—.
Esta propuesta cubre con precisión metodológica la totalidad de los requerimientos de las Secciones 5A a 5E de sus bases de licitación, destacando especialmente en dos ámbitos diferenciadores:
1. Postura de Seguridad y Cumplimiento (Sección 10): Cada decisión tomada durante las simulaciones queda registrada en una bitácora inmutable mediante firma criptográfica SHA-256, sirviendo como evidencia de cumplimiento auditable ante los controles ISO/IEC 27001:2022 y los plazos perentorios de notificación de incidentes exigidos por la Ley 21.719.
2. Sostenibilidad y Eficiencia Energética (Sección 11): Al ser una arquitectura nativa en la nube y libre de servidores dedicados encendidos las 24 horas, SPC I.A. reduce el consumo energético del ejercicio en un 98% frente a soluciones locales (on-premise), aportando un dato cuantificable de mitigación de CO₂ alineado a la política de sustentabilidad de Ventisqueros.
Confiamos en la madurez y solidez de nuestra plataforma, quedamos a su entera disposición para la ronda de reuniones. En dicha instancia, nos gustaría ejecutar un ejercicio en vivo utilizando un escenario de secuestro de PLCs SCADA en balsas de cultivo, construido con datos operacionales realistas para que su comité pueda constatar, en tiempo real, el motor de consecuencias y la generación automática del informe After Action Review (AAR).
Agradeciendo de antemano su tiempo y consideración, se despide atentamente,
Empresa chilena de transformación digital con foco en automatización de procesos empresariales, integraciones de sistemas y desarrollo de aplicaciones web para el sector corporativo y financiero.
Unidad de ingeniería dedicada a la creación de soluciones tecnológicas de alto impacto. Diseñamos infraestructura multinube segura y escalable (AWS/GCP), ciberseguridad avanzada y gobernanza de datos.
RUT: 77.972.452-2 · Dirigido por Mario Franjola
Las Condes, Santiago de Chile · contacto@wayweb.cl · +56961530165
Desarrollamos e integramos soluciones de nivel empresarial con despliegues ágiles y de alta seguridad:
Garantía de soporte de 3 meses incluida y SLA corporativo de nivel financiero.
SPC I.A. Plataforma SaaS impulsada por inteligencia artificial generativa. Permite diseñar escenarios de crisis, ejecutarlos en tiempo real con inyecciones adaptativas y generar informes ejecutivos automáticos con análisis de brechas e índice de madurez organizacional. Una solución de desarrollo propio pensada específicamente para Productos del Mar Ventisqueros S.A.
Biblioteca de escenarios preconstruidos y generación con Google Gemini: el facilitador describe el tipo de crisis y la IA construye automáticamente el guión completo, fases, objetivos e injects sugeridos en español.
Canal WebSocket con latencia inferior a 50 ms. El facilitador despacha inyecciones (correos, alertas, noticias, documentos, llamadas simuladas) que llegan instantáneamente a cada participante según su rol.
Cada decisión registrada recibe un sello criptográfico SHA-256 almacenado en DynamoDB con restricción de sobreescritura. El historial es forense e irrefutable para procesos de auditoría y cumplimiento.
Al concluir el ejercicio, Gemini analiza el historial completo y genera en minutos el AAR ejecutivo: índice de madurez CMMI, fortalezas, brechas con severidad, controles ISO evaluados y plan de acción con responsables.
Arquitectura de aislamiento total por organización: el orgId viaja en el JWT de Cognito, jamás en el cuerpo de la solicitud. Imposible que un usuario acceda a datos de otra organización.
Dashboard con KPIs de madurez acumulados entre ejercicios: tendencias, tiempos de respuesta promedio, cobertura de controles ISO por área y comparativa entre equipos o períodos.
La siguiente tabla mapea cada requisito de las Bases de Licitación con el estado de implementación en la plataforma.
| Requisito | Implementación | Estado |
|---|---|---|
| Biblioteca de escenarios preconstruidos y crear/editar propios | Biblioteca base incluida. Constructor manual + generación con Gemini. Marcar como plantilla reutilizable. | ✓ Cumple |
| Constructor con fases, objetivos, injects temporizados/manuales y puntos de decisión | 4 fases configurables (Detección, Contención, Comunicación, Recuperación). Injects manuales y generados por IA. Puntos de decisión con formulario estructurado. | ✓ Cumple |
| Facilitación en vivo: control de tiempo, disparo de injects, gestión de participantes, observadores y evaluadores | Panel de facilitador con pausar/reanudar/finalizar, despacho de injects por WebSocket, tabla en tiempo real de participantes con estado de conexión. Roles Observador y Evaluador implementados. | ✓ Cumple |
| Participación basada en roles con contenido dirigido por rol | 5 roles (Admin, Facilitador, Participante, Observador, Evaluador). Injects con targeting selectivo por rol. | ✓ Cumple |
| Contenido multimedia: correos, prensa, documentos, imágenes | Tipos EMAIL, ALERT, NEWS_ARTICLE, DOCUMENT, PHONE_CALL, SOCIAL_MEDIA. Soporte de contenido HTML enriquecido. | ✓ Cumple |
| Registro en tiempo real de decisiones, acciones, responsables y fechas de cierre | Formulario de decisión con texto libre, action items, asignación de responsable, fecha de vencimiento y nivel de confianza. Inmutable tras envío. | ✓ Cumple |
| Soporte multi-organización / multi-tenant lógico | Arquitectura DynamoDB con PK por orgId. JWT Cognito con claims de organización. Aislamiento total entre tenants. | ✓ Cumple |
| Requisito | Implementación | Estado |
|---|---|---|
| AAR automático con resumen ejecutivo, timeline, decisiones, hallazgos, brechas y plan de acción | Gemini genera AAR con índice de madurez CMMI (1–5), resumen ejecutivo, timeline completo, brechas con severidad HIGH/MED/LOW, controles ISO evaluados y plan de acción priorizado. | ✓ Cumple |
| Exportación de evidencia PDF / Word / Excel y bitácoras para auditoría | Exportación PDF (AAR y audit trail), Excel/CSV (historial de decisiones con checksum) y exportación nativa a Word implementadas en la versión actual. | ✓ Cumple |
| Métricas y analítica: tiempos de respuesta, cumplimiento de objetivos, tendencias entre ejercicios | Dashboard con KPIs: ejercicios ejecutados, índice de madurez promedio, brechas acumuladas, tiempo de respuesta promedio. Comparativa histórica entre ejercicios. | ✓ Cumple |
| Tracking de acciones correctivas hasta su cierre, con recordatorios y responsables | Registro de action items con responsable y fecha. Módulo de seguimiento activo con recordatorios automáticos incorporado en hoja de ruta Q2-2026. | ▷ En Ruta |
| Requisito | Implementación | Estado |
|---|---|---|
| RBAC con separación de permisos | 5 roles granulares. Validación doble: JWT Cognito en frontend + requireRole() en cada Lambda de backend. Atributo custom:role en token. | ✓ Cumple |
| Inteligencia de amenazas sectorial | Contexto de amenazas activas relevantes para el sector acuícola y exportador chileno (ransomware en OT, fraude de marca en mercados de destino, cadena de frío). Incorporado como valor agregado en el diseño de escenarios durante el onboarding. | ✓ Valor Agregado |
| SSO con Microsoft Entra ID | Arquitectura SAML/OAuth2 preparada en Amazon Cognito. Configuración de federación con Entra ID incluida en el onboarding del Plan Professional. | ✓ Cumple |
| Integraciones: Microsoft Teams, correo corporativo, API | Integración Microsoft Teams implementada como aplicación nativa instalable en el tenant corporativo (Teams App Store), con notificaciones push de injects por canal dedicado. API REST documentada para exportación y automatización. Correo corporativo via Amazon SES disponible. | ✓ Cumple |
| Bitácora/auditoría con marca de tiempo completa | Cada decisión almacena: decisionId, userId, timestamp ms, IP enmascarada, rol, departamento, fase, SHA-256 checksum. ConditionExpression DynamoDB garantiza inmutabilidad. | ✓ Cumple |
| Web responsive / sesiones híbridas / dispositivos móviles | Aplicación Next.js 14 con Tailwind CSS. Compatible con Edge / Chrome / Safari. Diseño responsivo validado en desktop, tablet y móvil. | ✓ Cumple |
| Requisito | Implementación | Estado |
|---|---|---|
| Cifrado en tránsito TLS 1.3 | Forzado en API Gateway y CloudFront. Certificados ACM. HSTS habilitado. | ✓ Cumple |
| Cifrado en reposo AES-256 | DynamoDB y S3 con AWS KMS (CMK). Lambda environment variables cifradas. Logs en CloudWatch cifrados. | ✓ Cumple |
| Aislamiento lógico por tenant | orgId en PK de DynamoDB. Cada Lambda valida que el orgId del JWT coincida con el recurso solicitado. 403 Forbidden si hay discrepancia. | ✓ Cumple |
| Alineación ISO/IEC 27001:2022 | Controles Anexo A implementados: A.8 (cifrado, control de acceso, logging), A.16 (gestión de incidentes), A.5 (políticas). Ver Sección 4 de esta propuesta. | ✓ Cumple |
| Cumplimiento Ley 19.628 y Ley 21.719 | Política de protección de datos con finalidades declaradas, retención definida, subencargados informados (AWS, Google). Derecho de supresión implementado a nivel de API. | ✓ Cumple |
| Respaldo, RPO y RTO | DynamoDB PITR (Point-in-Time Recovery): RPO = 35 segundos. S3 versionado. RTO de aplicación = <15 minutos (Lambda sin estado, redeployable en minutos). Ver Sección 4. | ✓ Cumple |
| Gestión de vulnerabilidades y pentesting | AWS WAF + Shield Standard activos. Política de gestión de vulnerabilidades documentada en Anexo D. Pentesting comprometido anualmente con entrega de resumen ejecutivo. | ~ Parcial |
| Retención, eliminación segura y ubicación de datos | Datos alojados en AWS us-east-1 (Virginia, EE.UU.). Subprocesadores: Amazon Web Services Inc. y Google LLC (Vertex AI). Borrado seguro garantizado al término del contrato. | ✓ Cumple |
| Requisito | Implementación | Estado |
|---|---|---|
| SLA de disponibilidad ≥ 99,5% anual | Arquitectura serverless AWS: sin servidores que apagar. Disponibilidad comprometida del 99,7% anual (Plan Professional). Ver Sección 7. | ✓ Cumple |
| Soporte con canales, horarios y tiempos de respuesta | Plan Professional: soporte 24x7 vía correo y canal Teams dedicado. P1 (crítico): respuesta <2h. P2 (alto): <8h. P3 (normal): <48h hábiles. | ✓ Cumple |
| Capacitación inicial para administradores y facilitadores | 8 horas de capacitación remota incluidas: 4h para administradores (escenarios, usuarios, reportes) y 4h para facilitadores (ejecución, injects, panel de control). | ✓ Cumple |
| Onboarding con configuración inicial y ejercicio piloto | Onboarding completo incluido en el precio: configuración SSO/Entra ID, carga de escenarios base, parametrización de organización y 1 ejercicio piloto facilitado por WAYWEB SPA. | ✓ Cumple |
| Servicios profesionales opcionales | Facilitación externa presencial, desarrollo de escenarios a medida (entrega 15 días hábiles), certificación de facilitadores, workshops ejecutivos. Ver Sección 8. | ✓ Cumple |
La Sección 10 de las Bases establece que Ventisqueros evaluará a sus proveedores contra el estándar ISO/IEC 27001:2022. A continuación se documentan los controles implementados en la plataforma y se identifican los documentos a adjuntar como anexos.
Declaración formal de política, alcance, responsabilidades, revisión anual y compromiso de la dirección. Documento a preparar y firmar por el representante legal.
Finalidades, subencargados, retención, derechos de titulares, procedimiento de eliminación al término del contrato y mecanismo de notificación de incidentes en plazo <72h.
Documento técnico con RPO=35s, RTO<15min, procedimientos de restauración y pruebas periódicas. Incluye evidencia de configuración DynamoDB PITR y arquitectura Lambda stateless.
Certificados descargados de AWS Artifact: ISO/IEC 27001:2022 y SOC 2 Tipo II para los servicios utilizados por la plataforma. Vigentes a la fecha de presentación de esta propuesta.
Carta de compromiso de ejecutar una evaluación de vulnerabilidades (VA/PT) sobre la plataforma dentro de los 60 días corridos desde la adjudicación, con entrega de resumen ejecutivo a Ventisqueros.
La Sección 11 pondera soluciones que reduzcan el consumo energético y promuevan prácticas sostenibles. La arquitectura serverless de SPC I.A. no consume energía cuando no está en uso, eliminando el concepto de infraestructura ociosa.
* Estimación basada en la intensidad de carbono de la red eléctrica chilena (~0,27 kg CO₂/kWh, CNE 2024) y supuesto de 12 ejercicios anuales de 4 horas con hasta 80 participantes simultáneos. Datos AWS: Customer Carbon Footprint Tool y compromiso 100% renovable alcanzado en 2023.
Amazon Web Services alcanzó el 100% de cobertura con energía renovable en 2023, cinco años antes de su objetivo. Todos los servicios de la plataforma (Lambda, DynamoDB, S3, API Gateway) operan sobre esta infraestructura.
Ventisqueros puede solicitar informes de huella de carbono real via AWS Customer Carbon Footprint Tool, con desglose exacto por servicio y ejercicio ejecutado. Evidencia disponible para reportes de sostenibilidad.
Entre ejercicios la plataforma no consume energía: no hay VMs encendidas, no hay bases de datos procesando consultas, no hay cómputo en espera. El principio de pago por uso se extiende directamente al consumo eléctrico.
La arquitectura serverless logra una reducción estimada del 98% en emisiones de CO₂ respecto de una infraestructura on-premise equivalente, convirtiéndose en el argumento energético más sólido posible para la Sección 11.
WAYWEB SPA propone ejecutar durante la ronda de reuniones un ejercicio real de 20 minutos, construido específicamente con datos y escenarios de la industria salmonera de Ventisqueros. Esto demuestra la plataforma en operación real, no en un sandbox genérico.
Compromiso de la red OT en instalaciones de Bahía Chincui. Los sistemas SCADA que regulan temperatura de jaulas reportan lecturas anómalas. El equipo de TI pierde control remoto de los actuadores. Riesgo de mortalidad de biomasa, exposición regulatoria ante SERNAPESCA y presión mediática.
Participantes acceden desde sus propios dispositivos. Panel de control proyectado. Temporizador de 20 minutos activo.
Tres jaulas del Sector 4 exceden umbral térmico. Actuadores remotos no responden. Sistema de monitoreo SCADA v4.2, Bahía Chincui.
IDS detecta conexiones C2 salientes desde servidor SCADA. Antivirus desactivado en estaciones HMI. CISO solicita autorización para apagar servidor.
Pescadores artesanales publican videos en redes sociales con "actividad inusual" en las balsas. Rumor de "falla grave" viralizándose.
Plazo de 4 horas para informar estado de jaulas y medidas adoptadas. Incumplimiento activa fiscalización in situ. Ref. #2026-0441.
Informe ejecutivo disponible inmediatamente: índice de madurez, decisiones por rol, brechas detectadas, recomendaciones ISO 27001. Descargable como PDF en el acto.
WAYWEB SPA se compromete contractualmente con los siguientes niveles de servicio para el Plan Professional contratado por Ventisqueros.
Valores netos expresados en Dólares Estadounidenses (USD) más IVA. Facturación anual anticipada según Sección 7 de las bases.
12 ejercicios/año · Hasta 80 participantes simultáneos · 100 usuarios · SSO Entra ID · Soporte 24x7
| Ítem | Descripción | Cantidad | Valor USD |
|---|---|---|---|
| Suscripción anual SaaS | Acceso completo a la plataforma, biblioteca base de escenarios, generación de escenarios con IA, AAR automático, analítica y benchmarking, exportación PDF/Excel, integración Microsoft Teams. | 1 año | 17.500 |
| Implementación y Onboarding | Configuración SSO con Microsoft Entra ID, parametrización de la organización, carga de escenarios base, ejercicio piloto facilitado por WAYWEB SPA. Pago único. | 1 vez | 4.500 |
| Capacitación inicial | 8 horas remotas: 4h para administradores (gestión de usuarios, escenarios, reportes) + 4h para facilitadores (panel de control, injects, monitoreo). Incluye material de apoyo. | 8 horas | incluida |
| Renovación anual desde año 2 (solo suscripción) | 17.500 | ||
Demostraciones interactivas de nuestros desarrollos de alta disponibilidad
Plataforma avanzada de RegTech y automatización de gestión pública. Diseñada para optimizar procesos de control administrativo complejos, auditorías internas y flujos normativos en municipios y organismos del Estado.
🎯 Relevancia: Acredita nuestra solvencia para automatizar flujos normativos rigurosos y auditorías de cumplimiento exigidas por entes reguladores (CMF, SFC, SMV).
Asistentes conversacionales inteligentes multimodales dotados de entrenamiento ético y contextualizado. Desplegados sobre arquitecturas serverless redundantes en AWS y GCP para alta tasa de concurrencia.
🎯 Relevancia: Evidencia la capacidad de integrar inteligencia artificial cognitiva en la mesa de ayuda para automatizar consultas normativas complejas en transacciones bursátiles.
Plataforma tecnológica diseñada para la Simbiosis Industrial Digital. Integra algoritmos avanzados de geolocalización y trazabilidad para convertir flujos de residuos industriales en recursos productivos estratégicos.
🎯 Relevancia: Demuestra experiencia robusta en procesamiento seguro de flujos transaccionales y geolocalización multi-país de alta escala en la nube.
Plataforma de vinculación regional y onboarding digital. Conecta en tiempo real la información de registros tributarios oficiales (SII, SUNAT, DIAN) con flujos de firmas electrónicas DocuSign y bases M365 (SharePoint/Graph).
🎯 Relevancia: Entorno de pre-producción del portal interactivo, demostrando que la base del software está 100% construida y lista para despliegue.
Monitoreo continuo de la superficie de ataque y protección en 3 capas, con planes mensuales. Motor propio de detección y diagnóstico inicial gratuito con reporte mensual de hallazgos.
🎯 Relevancia: Demuestra capacidad de monitoreo continuo y respuesta ante amenazas, complementando la postura de seguridad exigida para infraestructura crítica.
Cumplimiento de la Ley 21.719 de protección de datos personales, asistido por IA: diagnóstico, brechas y plan de adecuación. Listo para la nueva ley de datos de Chile.
🎯 Relevancia: Acredita experiencia directa en cumplimiento normativo de datos personales, un requisito explícito de las Bases de Licitación.
Simulación de crisis (tabletop exercises) para entrenar a sus equipos en respuesta a incidentes y continuidad operacional. Entrena sin riesgo real.
🎯 Relevancia: Es la plataforma SPC I.A. TTX que Ventisqueros está evaluando en esta misma propuesta, en operación activa.
🔒 Nota de Respaldo Técnico y Confidencialidad: Todos los enlaces provistos corresponden a bases de desarrollo operativas y funcionales en la nube, son idénticas a las arquitecturas de software activas que son utilizadas diariamente por nuestros clientes corporativos en sus procesos. Cabe destacar que cada una de estas soluciones fue desarrollada a medida para uso interno, respondiendo a requerimientos y necesidades específicas de cada organización; por consiguiente, operan actualmente de manera privada y protegida, siendo estos accesos de carácter estrictamente confidencial y no de uso público.
WAYWEB SPA declara conocer y aceptar íntegramente la Sección 9 de las Bases de Licitación relativa a confidencialidad. Toda información intercambiada en el marco de esta licitación será tratada como Información Confidencial. La obligación se extiende por 2 años desde el término de cualquier relación contractual.
Conforme a lo indicado en las Bases, WAYWEB SPA propone los siguientes términos de reciprocidad para su aprobación: (i) en caso de mora prolongada de Ventisqueros superior a 60 días corridos, el proveedor podrá suspender el servicio previa notificación de 15 días hábiles; (ii) ante requerimientos que excedan el alcance acordado sin compensación, se activará un proceso de Change Request formal; (iii) ante término anticipado sin causa, aplica devolución pro-rata del período no consumido de la suscripción anual. Todos los términos quedan sujetos a negociación y aprobación mutua en el contrato definitivo.
WAYWEB SPA toma conocimiento de los requisitos de la Sección 10 de las Bases y se compromete a entregar toda la documentación requerida para la evaluación de la postura de seguridad, previo a la adjudicación y en las revisiones anuales posteriores. Los Anexos A al E de esta propuesta constituyen la documentación inicial.