¿Qué marco de seguridad es el mejor punto de partida? Lo medimos
Si solo puedes implementar un marco primero, elige el que más te acerque a los demás. Medimos cuánto te acerca cada uno.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
«¿Con qué marco deberíamos empezar?» es una de las primeras preguntas a las que se enfrenta cualquier programa de seguridad, y las respuestas habituales son opiniones. Queríamos un número: si implementas el marco X, ¿cuánto de cada uno de los demás marcos ya has abordado?
ControlMapping pone en correspondencia los requisitos de once marcos entre sí, así que podemos medirlo. Para cada marco, tomamos todos los demás marcos por turno y contamos cuántos de sus requisitos tienen al menos una correspondencia con el primero, y luego calculamos la media de los diez.
El ranking
| Si tienes | Porcentaje medio de otros marcos correlacionados | Cubre la mayor parte de | Cubre menos de |
|---|---|---|---|
| 800-53 | 80% | CIS v8.1 (100%) | PCI DSS (30%) |
| ISO 27001 | 69% | CIS v8.1 (100%) | PCI DSS (30%) |
| PCI DSS | 66% | CIS v8.1 (95%) | 800-53 (28%) |
| SOC 2 | 64% | CIS v8.1 (98%) | 800-53 (26%) |
| NIST CSF 2.0 | 62% | CIS v8.1 (100%) | 800-53 (29%) |
| NIS2 | 61% | CIS v8.1 (94%) | 800-53 (25%) |
| CMMC | 58% | CIS v8.1 (93%) | PCI DSS (26%) |
| HIPAA | 50% | GDPR (92%) | PCI DSS (20%) |
| CIS v8.1 | 44% | NIS2 (69%) | 800-53 (21%) |
| GDPR | 37% | NIS2 (59%) | Essential Eight (12%) |
| Essential Eight | 24% | CIS v8.1 (50%) | 800-53 (9%) |
Porcentaje = requisitos del otro marco con al menos una asignación (crosswalk o editorial) a este, promediado sobre los otros 10. Calculado en tiempo real a partir de los mismos datos que análisis de brechas.
Dos marcos destacan. NIST SP 800-53 tiene la mayor proporción de correspondencias con el resto, lo que no sorprende: es un catálogo de cientos de controles redactados para cubrir casi todos los temas de seguridad y privacidad, y NIST publica correspondencias oficiales desde él hacia CSF 2.0 e ISO 27001. ISO 27001 le sigue, porque el Anexo A cubre el mismo terreno a un nivel más alto y las cláusulas del sistema de gestión añaden una capa de gobernanza que tocan la mayoría de los marcos.
En el otro extremo, las Essential Eight tienen la menor cobertura, por diseño. Son ocho estrategias de mitigación específicas, no un programa completo, así que implementarlas deja sin tocar la mayor parte de cualquier otro marco. GDPR (RGPD) aparece con un valor bajo por una razón similar: solo se consideran sus artículos de seguridad.
Lee los números con cuidado
Tres cosas que conviene tener presentes:
- Correspondencia no es cumplimiento. Una correspondencia significa que dos requisitos abordan el mismo asunto. El control de vulnerabilidades de ISO 27001 y el requisito de escaneo trimestral de PCI DSS están en correspondencia, pero cumplir el primero no satisface el segundo.
- Los marcos granulares parecen fáciles de cubrir. Casi todos los marcos parecen cubrir casi todos los CIS Controls. CIS tiene 153 salvaguardas específicas, así que la mayoría de los marcos las tocan a nivel de tema, y la mayoría de los enlaces con CIS son nuestro criterio editorial, porque la correspondencia publicada por CIS solo cubre 49 salvaguardas. Trata la columna CIS como «tocado», no como «hecho».
- Los marcos específicos parecen difíciles de cubrir. PCI DSS y SP 800-53 son los más difíciles de cubrir para los demás, porque contienen muchos requisitos detallados que los marcos más amplios no desarrollan.
Quién lo pregunta decide
La medición te indica qué marco ofrece la base más amplia. No te indica cuál necesitas, y eso suele zanjar la cuestión:
- Clientes empresariales de EE. UU. piden un informe SOC 2. Si un contrato depende de ello, empieza por ahí.
- Clientes internacionales, licitaciones y reguladores piden la certificación ISO 27001.
- Trabajo federal de EE. UU. implica SP 800-53 (y FedRAMP para la nube); contratos de defensa implican CMMC Level 2.
- Pagos con tarjeta implican PCI DSS, hagas lo que hagas.
- Proveedores digitales de la UE y sectores críticos necesitan NIS2.
- ¿Nadie lo pide todavía? ISO 27001 o NIST CSF 2.0 ofrecen la base más amplia. CSF es gratuito y más ligero para empezar; ISO añade un certificado cuando lo necesites. SP 800-53 cubre más, pero su tamaño lo convierte en un primer paso pesado para la mayoría de las empresas privadas.
Luego amplía, no empieces de nuevo
Empieces por donde empieces, el segundo marco cuesta menos que el primero. Ejecuta un análisis de brechas desde el marco que tienes hasta el que necesitas, y obtendrás la lista requisito por requisito de lo que se reutiliza y lo que es nuevo, con la evidencia de cada enlace. Las comparativas cubren con más profundidad los pares más habituales, como ISO 27001 vs SOC 2 y NIST CSF vs ISO 27001.
Cómo lo medimos
Para cada par ordenado de marcos usamos el mismo cálculo que el análisis de brechas: un requisito cuenta como correspondiente cuando se agrupa en el mismo tema de ControlMapping que un requisito del otro marco, o cuando está enlazado directamente con uno de ellos mediante una correspondencia publicada o un enlace editorial con una razón indicada. Los requisitos que solo comparten un resultado de NIST CSF 2.0 («Relación tangencial») no cuentan. Las cifras anteriores se calculan en directo a partir de los datos actuales; consulta la metodología.
Preguntas
¿Qué marco de seguridad cubre más de los demás?
En los datos de ControlMapping, NIST SP 800-53 cubre de media la mayor proporción de los requisitos de los demás marcos, seguido de ISO 27001. Una correspondencia significa que los requisitos abordan resultados relacionados, no que uno satisfaga al otro.
¿Debería una pequeña empresa empezar con ISO 27001 o con SOC 2?
Empieza por lo que piden tus clientes. Si nadie lo pide todavía, ISO 27001 o NIST CSF ofrecen la base más amplia; SOC 2 es la vía más rápida para obtener un informe si un contrato en EE. UU. depende de ello.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.