Seguridad y compliance

Qué te van a pedir

Los cuestionarios de homologación cambian de empresa en empresa, pero preguntan casi siempre lo mismo y en este orden. Sirve saberlo de entrada: la mitad de las respuestas no dependen de vos sino de Articulate, así que no hay nada que investigar internamente.

1. Información general. Quién desarrolla el producto, cuántos usuarios tiene, si es software de mercado o a medida, si se entrega el código fuente.
2. Arquitectura de servidores. Puertos, accesos desde afuera, si hay hardware dedicado o compartido, si existe un ambiente de pruebas.
3. Arquitectura de los clientes. Sistemas operativos, permisos de administrador, si el contenido es responsive.
4. Interfaces. Integración con sistemas internos, APIs, qué datos salen del perímetro de la empresa.
5. Seguridad lógica. El capítulo más largo: identidad, altas y bajas, roles, auditoría, cifrado, PCI-DSS.
6. Conexión de terceros. Si el proveedor entra a la red de la empresa para monitorear o dar soporte.
7. Datos de los alumnos. Dónde se guardan, quién los usa, confidencialidad y GDPR.

EE.UU. o Europa: se elige una sola vez

Articulate opera en dos regiones de AWS: Estados Unidos (Virginia del Norte) y la Unión Europea (Alemania). La región se define al crear la cuenta, sea desde el formulario de la prueba gratuita o al activarla nosotros.

Esa elección no se puede cambiar después. Es la decisión más importante de toda la homologación y la que más veces se toma sin pensar, porque llega en un formulario de alta y parece un detalle administrativo.

Si el área legal o de compliance de tu empresa tiene algo que decir sobre dónde se alojan los datos personales, tiene que decirlo ahora. Europa suele resolver esa conversación porque Alemania está bajo el RGPD, el marco más estricto que existe. La mayoría de las cuentas locales, sin embargo, quedan alojadas en la región de Estados Unidos.

Las dos regiones no se hablan

Antes de elegir conviene mirar con quién vas a trabajar, porque las regiones funcionan como compartimentos estancos. Si vas a compartir proyectos con otra empresa o con una agencia que te desarrolla los cursos, las dos suscripciones tienen que estar en la misma región. Entre una y otra no se pueden copiar proyectos ni compartir el desarrollo.

Las dos regiones, en el whitepaper oficial: Global Data Security and Privacy.

No hay versión para instalar en tu servidor

Articulate 360 es SaaS puro. No existe una edición on-premise ni la posibilidad de alojarlo en la infraestructura de tu empresa. Tampoco es algo que se negocie por contrato ni por volumen.

Conviene decirlo en la primera reunión con Sistemas. Si la política de la empresa exige que todo corra en servidores propios, la conversación se termina ahí y no tiene sentido avanzar con el resto del cuestionario.

Lo que sí se instala son las apps de autoría —Storyline 360, Studio 360, Peek y Replay— en las máquinas de quienes crean los cursos, con Windows 10 u 11 de 64 bits. Todo lo demás corre en el navegador: Rise 360, Review 360, Reach 360 y la biblioteca de contenidos.

Quién opera la infraestructura

La plataforma corre sobre Amazon Web Services y la opera el equipo de Articulate. Es nube pública, multi-tenant, con aislamiento lógico por cliente y redes segmentadas.

La redundancia está repartida en tres zonas de disponibilidad o más por región, con réplica de datos entre zonas y los archivos en S3. Toda la comunicación va por HTTPS sobre el puerto 443; el 80 redirige al 443 y no hace falta abrir ningún otro.

Lo que no hace falta montar

Nada de servidores propios, máquinas virtuales, middleware, bus de servicios ni Azure Application Proxy. Tampoco un ambiente de QA dedicado, que es una pregunta habitual del capítulo de arquitectura.

Estado de los servicios en tiempo real: articulatestatus.com.

Cifrado, backups y transferencia

En tránsito, TLS 1.2 y 1.3. En reposo, AES-256 sobre la totalidad del entorno de datos del cliente: las bases relacionales con TDE, los archivos en S3 con cifrado del lado del servidor y también los backups y los snapshots.

Las claves se gestionan con AWS KMS, con módulos de hardware y rotación, alineado a FIPS 140-2. Es la respuesta a las tres o cuatro preguntas que el cuestionario suele hacer por separado: qué se cifra, con qué algoritmo, quién maneja las claves.

Backups

Automáticos y frecuentes, con pruebas de restauración todas las noches. Los objetivos de continuidad están documentados en la política de seguridad.

Los algoritmos y la gestión de claves, en detalle: Articulate 360 Security Policy.

Los datos de los alumnos

Nombres, correos, progreso y resultados viven en AWS, cifrados y con backups. Lo que importa para el cuestionario es el reparto de roles: tu empresa es la responsable del tratamiento y Articulate es la encargada. Procesa esos datos para prestar el servicio y para nada más.

No los usa ni los analiza con fines propios ni comerciales, no los vende y solo los comparte con los subprocesadores autorizados que necesita para operar, siempre bajo contrato.

El papel que firma

Con cada cliente se firma un DPA, el acuerdo de procesamiento de datos: uso limitado al servicio, no divulgación, personal bajo confidencialidad y notificación de brechas.

Normativas que cubre

RGPD —con la opción de alojar en Europa—, el EU-US Data Privacy Framework para las transferencias hacia Estados Unidos, cláusulas contractuales estándar, CCPA y CPRA en California, más las leyes de Reino Unido, Corea, Australia y Brasil.

Cómo se instrumenta el RGPD: Articulate y GDPR · El certificado del marco de transferencias: Data Privacy Framework.

SSO y doble factor

Hay SSO por SAML 2.0 en los planes Teams, contra el proveedor de identidad que ya uses: Entra ID, ADFS, Okta y los demás del mercado. Es la integración de identidad que el cuestionario va a pedir.

Lo que no hay es doble factor propio. El login de Articulate ID no tiene MFA nativo, así que el segundo factor se impone desde tu proveedor de identidad. Por eso, cuando Seguridad pregunta por MFA, la respuesta correcta no es "sí" ni "no": es usá SSO, que además resuelve las bajas.

Cómo se configura, del lado de Articulate: seguridad y privacidad de tus datos.

Altas, bajas y roles

El ABM completo se hace desde la consola de Teams: se invita por correo, se editan roles, se remueve gente y al removerla se libera la licencia. Al dar de baja a alguien, sus contenidos se transfieren a otra persona en el mismo paso.

Con SSO activo, la baja en el directorio corporativo corta el acceso sola. Es el argumento más fuerte para que Sistemas prefiera SSO antes que cuentas sueltas.

Los roles que existen

En Articulate 360: propietario, administradores y autores. En Reach 360: administradores, managers, reporters y alumnos, más administradores por grupo para delegar. No llega al permiso por atributo, pero cubre la segmentación que pide una operación normal.

Qué se puede auditar y qué no

Acá conviene ser preciso, porque es donde los cuestionarios asumen que todo LMS corporativo se comporta como un sistema on-premise.

Lo que sí

La auditoría de los usuarios finales es completa desde Reach 360: progreso, calificaciones, cursos completados, por grupo, por curso y por persona, todo exportable a CSV y consultable por API.

Lo que no

No hay un visor de logs de administradores para el cliente ni exportación automática de esos registros. Existen del lado de Articulate —las certificaciones se lo exigen— y se pueden pedir como evidencia ante un incidente, pero no se consultan solos.

Tampoco hay alertas configurables hacia tu empresa por SMTP, SNMP ni Syslog, ni conector para integrar los logs en tiempo real con tu SIEM. Articulate monitorea con su propio SIEM y notifica los incidentes según su política de respuesta.

Certificaciones y papeles

Lo que se puede mostrar sin trámite: ISO 27001 e ISO 27701, SOC 2 Type II, CSA STAR Nivel 1 y FedRAMP. Con eso se responde el capítulo de política de seguridad, gestión de cambios y confidencialidad, porque las tres cosas son requisito de esas normas.

Lo que se pide bajo NDA

El reporte SOC 2 completo y los resúmenes ejecutivos de los pentests. Se solicitan a Articulate y llegan firmando un acuerdo de confidencialidad; nosotros hacemos el pedido si te ahorra el ida y vuelta.

Los pentests los hace un tercero, de forma periódica.

Todo el índice de evidencia, en un solo lugar: Articulate Trust Center.

Qué pasa con lo que se escribe en la IA

Es la pregunta nueva de todos los cuestionarios de 2026 y tiene una respuesta corta: lo que se escribe no se guarda ni entrena ningún modelo.

Los prompts y el contenido que procesa el asistente van a subprocesadores de IA con una política de retención cero: se les exige borrar los datos apenas generan la salida. Los datos del cliente no se usan para entrenar modelos.

Lo que hace fuerte a esa respuesta no es la promesa sino dónde está escrita: los dos compromisos son contractuales y caen dentro del alcance de SOC 2 Type II e ISO 27001. O sea que los audita un tercero.

El whitepaper específico, de abril de 2026: AI Security and Privacy at Articulate.