Blog
Blog
Análisis basado en los datos de crosswalk, guías prácticas y opiniones de Paul Gillet. Canal RSS
Análisis
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.
Análisis · 2026-10-13Requisitos de MFA comparados en 11 marcos de seguridadQué marcos exigen MFA, a quién y con qué rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 y HIPAA, comparados en paralelo.
Análisis · 2026-09-29Regla de Seguridad de HIPAA desde la perspectiva de NIST CSF 2.0Un programa basado en NIST CSF 2.0 se corresponde con casi todos los requisitos de la Regla de Seguridad de HIPAA. Qué se traslada, los dos que no, y qué aporta CSF más allá de HIPAA.
Análisis · 2026-09-15Requisitos de cifrado comparados: qué exige cada marco y qué deja a tu criterioCómo tratan ISO 27001, PCI DSS, CMMC, HIPAA, RGPD [GDPR] y NIS2 el cifrado en reposo, en tránsito y la gestión de claves, con los ID de los requisitos.
Análisis · 2026-08-18Requisitos de respuesta a incidentes comparados entre marcosPlanes de respuesta a incidentes, pruebas y plazos de notificación comparados entre ISO 27001, SOC 2, PCI DSS, NIS2, RGPD [GDPR], CMMC y HIPAA.
Análisis · 2026-08-04Seguridad física en los marcos: el tema que olvidan las empresas cloud-firstRequisitos de seguridad física comparados entre ISO 27001, PCI DSS, CMMC, HIPAA y SOC 2, y cómo las empresas cloud-first los cumplen.
Análisis · 2026-07-02Requisitos de registro y retención de logs comparadosRegistro de auditoría y retención de logs comparados en ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC y NIST, incluidos los pocos periodos de retención fijos.
Análisis · 2026-05-19¿Qué parte de PCI DSS v4.0.1 cubre realmente ISO 27001?ISO 27001 se correlaciona con menos de un tercio de los requisitos de PCI DSS v4.0.1. Dónde está el solapamiento, por qué la mayor parte de PCI supone trabajo nuevo incluso para un SGSI y cómo planificarlo.
Análisis · 2026-04-07Artículos de seguridad del RGPD (GDPR) correlacionadosEl RGPD (GDPR) es una ley de privacidad, pero los artículos 5, 25, 28, 32 a 35 y 37 a 39 imponen obligaciones de seguridad. Cómo se correlacionan con ISO 27001 y NIST, y qué deja fuera un SGSI.
Análisis · 2026-02-24Requisitos de copias de seguridad y recuperación comparados entre marcosFrecuencia de copias de seguridad, protección y pruebas de restauración comparadas entre ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, Essential Eight y NIST.
Análisis · 2026-01-06CMMC Level 2 trazado a SP 800-53: lo que indica el Apéndice D del NISTCada práctica de CMMC Level 2 se traza a NIST SP 800-53 a través del Apéndice D de SP 800-171. Cómo funciona el mapa, los cambios de Rev 5 y la única práctica sin correspondencia.
Análisis · 2025-11-25Los temas de seguridad que menos marcos exigen, y por qué importaEl DNS, la inteligencia de amenazas, la seguridad de API y la de aplicaciones web son los temas que menos marcos exigen. Por qué ocurre, y por qué eso no es un permiso para omitirlos.
Análisis · 2025-10-14Qué cubre ISO 27001 de NIS2, punto por puntoISO 27001 tiene correspondencia con cada punto del Reglamento de Ejecución de NIS2, pero la certificación por sí sola no equivale al cumplimiento de NIS2. Qué se traslada, qué no y por qué.
Análisis · 2025-08-27¿Correspondencia publicada o criterio propio? Cuánta correspondencia entre marcos se basa en evidencia publicadaEtiquetamos cada correspondencia entre marcos como correspondencia publicada o criterio editorial. Cómo varía la proporción según el marco y por qué te afecta.
Análisis · 2025-07-15El núcleo común de requisitos de seguridad de todos los marcosCinco temas de seguridad aparecen en los 11 marcos principales, desde ISO 27001 y SOC 2 hasta NIS2 y las Essential Eight. Qué son y por qué conviene construirlos primero.
Análisis · 2025-06-03Brecha de CIS Controls: por qué solo 49 de 153 salvaguardas tienen correspondencia publicadaLa correspondencia publicada por CIS con NIST CSF 2.0 cubre solo 49 de las 153 salvaguardas de CIS Controls v8.1. Por qué ocurre, y qué implica para las correspondencias de CIS en las que confía.
Análisis · 2025-04-17Riesgo de proveedores y cadena de suministro: quién exige quéRequisitos de seguridad de proveedores y cadena de suministro comparados entre ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA y NIST CSF 2.0.
Análisis · 2025-04-02Criterios de SOC 2 sin equivalente en ISO 27001 y su razón de serLa mayoría de los criterios de SOC 2 se corresponden con ISO 27001, pero Integridad del Procesamiento y la mayoría de los criterios de Privacidad no. Cuáles son, por qué y qué hacer si están dentro del alcance.
Análisis · 2025-03-04NIST CSF 1.1 a 2.0: adónde fueron las subcategorías retiradasNIST retiró 79 subcategorías de CSF 1.1 en CSF 2.0, trasladándolas o fusionándolas con otras. Aquí está la tabla completa con el destino de cada una y cómo actualizar las correspondencias antiguas.
Análisis · 2025-01-21La función Gobernar de NIST CSF 2.0: ¿qué marcos ya la cubren?CSF 2.0 añadió la función Gobernar: estrategia de riesgo, roles, política, supervisión y riesgo de la cadena de suministro. Qué marcos ya la cubren.
Análisis · 2024-12-05¿Qué marco de seguridad es el mejor punto de partida? Lo medimosMedimos cuánto de otros diez marcos cubre cada uno de los 11 marcos de seguridad. SP 800-53 e ISO 27001 lideran, pero quién lo pregunta es lo que decide.
Análisis · 2024-10-22Essential Eight vs ISO 27001: por qué la mayoría de los vínculos son solo «relación tangencial»ISO 27001 cubre en principio cada estrategia del Essential Eight, pero la mayoría de los controles de la ASD solo guardan relación tangencial con el Anexo A. Qué significa esto para ti.Guía práctica
Guía práctica · 2026-09-01Cómo prepararse para una evaluación CMMC Level 2 si ya aplica SP 800-53Cómo prepararse para CMMC Level 2 si ya aplica NIST SP 800-53: alcance CUI, el SSP, reutilización de evidencias y errores habituales.
Guía práctica · 2026-07-21Cómo leer una correspondencia y cuándo no fiarse de ellaQué indica y qué no indica una correspondencia entre marcos: tipos de relación, dirección, versiones, granularidad y autoría, y comprobaciones previas.
Guía práctica · 2026-06-03De ISO 27001 a NIS2: un plan práctico para cerrar brechasPlan paso a paso para una organización certificada en ISO 27001 sujeta a NIS2: alcance, registro, deberes de la dirección, notificación y medidas avanzadas.
Guía práctica · 2026-04-21Diligencia debida de proveedores: un proceso para muchos marcosUn único proceso de diligencia debida de proveedores para ISO 27001, SOC 2, PCI DSS, GDPR [RGPD], HIPAA y NIS2: clasificación por niveles, informes de aseguramiento, contratos y seguimiento.
Guía práctica · 2026-03-10Del informe de brechas al plan de proyecto: responsables, evidencias y plazosCómo convertir un análisis de brechas de un marco en un plan de proyecto: flujos de trabajo, secuencia, estimaciones, responsables y evidencias documentadas hasta la auditoría.
Guía práctica · 2026-01-21Evidencia de gestión de cambios que los auditores aceptanQué evidencia de gestión de cambios supera las auditorías de SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS y NIS2, desde las solicitudes de extracción hasta los cambios de emergencia.
Guía práctica · 2025-12-09Revisiones de accesos de usuarios que superan a cualquier auditorCómo realizar revisiones de accesos que superen auditorías de ISO 27001, SOC 2, PCI DSS, HIPAA y CMMC: alcance, frecuencia, revisores y evidencias.
Guía práctica · 2025-10-28Cómo realizar un análisis de brechas entre dos marcos y convertirlo en un registro de seguimientoMétodo práctico para el análisis de brechas entre dos marcos de seguridad: alcance, revisión de correspondencias, validación de vínculos y seguimiento.
Guía práctica · 2025-09-11Una evaluación de riesgos para ISO 27001, SOC 2 e HIPAACómo realizar una evaluación de riesgos de seguridad de la información que satisfaga ISO 27001, SOC 2 y la Regla de Seguridad de HIPAA, y qué revisa cada auditoría.
Guía práctica · 2025-07-29Elegir su nivel de madurez objetivo de Essential EightCómo elegir el nivel de madurez objetivo de Essential Eight: qué defiende cada nivel, quién necesita el Nivel Dos o Tres y cómo avanzar.
Guía práctica · 2025-06-17Redactar una Declaración de Aplicabilidad que supere la auditoríaCómo redactar una Declaración de Aplicabilidad de ISO 27001:2022: qué debe contener, cómo justificar las exclusiones y los hallazgos de auditoría más comunes.
Guía práctica · 2025-05-20Informes al consejo con los perfiles de NIST CSF 2.0Cómo usar los perfiles actual y objetivo de NIST CSF 2.0 para informar sobre ciberseguridad al consejo: qué mostrar y cómo vincularlo con sus marcos.
Guía práctica · 2025-05-01Definir el alcance de un primer informe SOC 2 sin comprometerse en excesoCómo definir el alcance de un primer informe SOC 2: qué sistema, qué Criterios de Servicios de Confianza, exclusiones (carve-outs) y controles de entidades usuarias, y errores costosos en el alcance.
Guía práctica · 2025-03-18Correlacionar un conjunto de políticas con varios marcos sin reescribirloCómo estructurar un conjunto de políticas de seguridad que cumpla ISO 27001, SOC 2, NIST, PCI DSS y NIS2, y qué exige por escrito cada marco.
Guía práctica · 2025-02-04Notificación de incidentes NIS2: plazos de 24 y 72 horasProcedimiento NIS2 para incidentes significativos: criterios de significancia, alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes.
Guía práctica · 2024-12-24Evidencias reutilizables entre SOC 2, ISO 27001 y PCI DSSQué evidencias de auditoría sirven a la vez para SOC 2, ISO 27001 y PCI DSS, qué necesita cada auditor que los demás no piden y cómo recopilarla una sola vez.
Guía práctica · 2024-11-06Un único conjunto de controles para SOC 2 e ISO 27001: ejecuta ambos sin hacer todo dos vecesCómo gestionar SOC 2 e ISO 27001 a partir de un único conjunto de controles: qué se solapa, qué aporta cada uno, cómo estructurar controles y evidencias y cómo coordinar las auditorías.Opinión
Opinión · 2026-06-17Por qué etiquetamos cada correspondencia como «Correspondencia» o «Editorial»Por qué ControlMapping marca cada correspondencia entre marcos como Correspondencia publicada o juicio editorial, y por qué importa la trazabilidad visible.
Opinión · 2026-05-05El caso de los datos de cumplimiento abiertos y gratuitosLos mapeos entre marcos están en gran parte cerrados en herramientas de pago y hojas de cálculo. Por qué deben ser abiertos, documentados y gratuitos.
Opinión · 2026-03-24Lo que 20 años en ciberseguridad me enseñaron sobre auditoríasLecciones de dos décadas de auditorías de seguridad: la evidencia vence al relato, el alcance lo decide todo, y los controles fallan cuando nadie se responsabiliza de ellos.
Opinión · 2026-02-05Políticas de seguridad redactadas con IA: ¿atajo útil o riesgo de auditoría?La IA generativa puede redactar políticas de seguridad en minutos. Dónde ayuda, dónde genera hallazgos de auditoría y cómo usarla sin producir políticas vacías.
Opinión · 2025-12-23El cumplimiento no es seguridad, pero las correspondencias ayudan con ambosPor qué aprobar auditorías no hace segura a una organización, dónde coinciden cumplimiento y seguridad, y cómo la correspondencia entre marcos libera tiempo para la seguridad.
Opinión · 2025-11-11Antes de comprar herramientas, redacta tus políticasPor qué comprar herramientas antes de definir cómo opera la organización lleva a software sin uso, y el orden de trabajo que lo evita.
Opinión · 2025-09-25El problema de las correspondencias de proveedores que no se pueden verificarLas plataformas de cumplimiento vinculan un control con muchos marcos mediante correspondencias que nadie puede inspeccionar. Riesgos y qué exigir.
Opinión · 2025-08-12Responsabilidad de la dirección en NIS2: ¿cambiarán los consejos?NIS2 obliga a los órganos de dirección a aprobar, supervisar y formarse en ciberseguridad, con responsabilidad. Qué cambiará y qué deben hacer los consejos.
Opinión · 2025-07-01¿Necesita una pequeña empresa ISO 27001?Cuándo tiene sentido ISO 27001 para una pequeña empresa, cuándo deben ir primero SOC 2 o una línea base técnica y cómo mantener la certificación en proporción a su tamaño.
Opinión · 2025-02-18Fatiga de marcos: elija un marco central y vincule todos los demás a élLas organizaciones que responden a varios marcos de seguridad se agotan al gestionar cada uno por separado. Por qué elegir un marco central y vincular el resto a él funciona mejor.
Opinión · 2025-01-07¿Deberían las organizaciones fuera de Australia usar el Essential Eight?El Essential Eight de la ASD es una línea base australiana con recomendaciones universales. Por qué otras organizaciones podrían adoptarlo y cómo encaja junto a ISO o NIST.
Opinión · 2024-11-20Por qué «¿tiene certificación SOC 2?» es la pregunta equivocadaNo existe una certificación SOC 2. Qué pregunta realmente se hace, qué muestra y qué no muestra un informe SOC 2, y mejores preguntas que plantear a los proveedores.