El cumplimiento no es seguridad, pero las correspondencias ayudan con ambos
Todo profesional de la seguridad ha conocido a una organización certificada que, aun así, sufrió una brecha. La lección no es ignorar el cumplimiento, sino dejar de permitir que consuma todo el presupuesto de seguridad.
Es una de las observaciones más antiguas de la profesión: el cumplimiento no es seguridad. Los informes de brechas incluyen con regularidad organizaciones que tenían las certificaciones correctas y habían superado sus auditorías. La observación es cierta, pero la conclusión habitual, que el cumplimiento es puro teatro, es errónea. Cumplimiento y seguridad se solapan considerablemente. El problema está en lo que ocurre en los márgenes y en cuánto tiempo consume el cumplimiento.
Dónde coinciden
Los marcos coinciden en los fundamentos porque los fundamentos funcionan. Cada uno de los once marcos que correlacionamos exige gestión de activos, gestión de vulnerabilidades, copias de seguridad y recuperación, respuesta a incidentes y notificación de incidentes (el núcleo común). La mayoría exige MFA, registro de eventos, revisiones de acceso y seguridad de proveedores. Una organización que realmente hace estas cosas es mucho más difícil de vulnerar que una que no las hace, tenga o no el certificado.
Dónde divergen
- Alcance. Una auditoría cubre un sistema definido. Los atacantes no respetan el alcance: la brecha entra por el portátil corporativo, el servidor de pruebas olvidado o el proveedor fuera del perímetro.
- Momento puntual. Los controles que funcionan sobre la muestra de la auditoría pueden no funcionar en todas partes, todos los días.
- Diseño frente a eficacia. Un control puede existir, estar documentado y haber sido probado, y aun así no detener el ataque para el que fue concebido: un MFA que puede ser suplantado mediante phishing, o un escáner que no ve la mitad del parque tecnológico.
- Lo que los marcos omiten. Varias de las rutas de ataque más explotadas (API, aplicaciones web, DNS) son exigidas por pocos marcos, como muestra nuestro análisis de los temas que los marcos pasan por alto.
El coste real: el tiempo
El problema mayor no es que el cumplimiento sea erróneo, sino que es caro. Una organización con tres o cuatro marcos puede dedicar la mayor parte de su esfuerzo de seguridad a correlaciones, evidencias y auditorías, en buena parte duplicado. Cada hora dedicada a producir la misma revisión de accesos en tres formatos es una hora que no se dedica a la caza de amenazas, al endurecimiento de sistemas o a la superficie de ataque que ningún auditor revisa.
Cómo ayudan ambas cosas las correspondencias
Aquí es donde la correspondencia demuestra su valor. Si sabe que un solo control satisface ISO 27001, SOC 2, PCI DSS y NIS2 a la vez, lo implementa una vez, lo evidencia una vez y deja de pagar el coste del cumplimiento tres veces. El tiempo ahorrado es el que necesita la seguridad. Una buena correspondencia también muestra dónde los marcos guardan silencio, que es precisamente donde debe orientarse su propia evaluación de riesgos.
| Dirección | Correspondencia | Sin correspondencia | ||
|---|---|---|---|---|
| Tiene ISO 27001 → necesita SOC 2 | 41 de 61 (67%) | 0 | 20 | informe → |
| Tiene SOC 2 → necesita ISO 27001 | 98 de 123 (80%) | 21 | 4 | informe → |
Señales de que un programa se ha vuelto solo de cumplimiento
- El trabajo de seguridad se programa en función de las fechas de auditoría, no de las amenazas.
- Los controles existen solo dentro del alcance de la auditoría; el resto del parque tecnológico no se toca.
- Las métricas miden documentos y tasas de finalización, no resultados como el tiempo de parcheo o el tiempo de detección.
- El equipo puede indicar qué requisito del marco satisface un control, pero no qué ataque detiene.
- Los hallazgos se cierran cambiando documentos en lugar de cambiar sistemas.
Si varias de estas señales le resultan familiares, la solución no es prescindir del cumplimiento, sino automatizarlo y redirigir el tiempo ahorrado.
Conclusiones clave
- Cumplimiento y seguridad comparten los fundamentos, pero divergen en los márgenes.
- El mayor coste del cumplimiento es el esfuerzo duplicado.
- Correlacione una vez, automatice las evidencias y dedique el tiempo ahorrado a la seguridad.
Qué hacer
- Construya un único conjunto de controles correlacionado con cada marco al que deba responder, en lugar de un programa por marco.
- Automatice las evidencias siempre que el sistema pueda generarlas.
- Dedique el tiempo ahorrado a lo que las auditorías no ven: gestión de la superficie de ataque, ingeniería de detección y pruebas.
- Mida la seguridad por separado del cumplimiento: incidentes, tiempo de parcheo, resistencia al phishing y tiempo de recuperación.
El cumplimiento es el suelo, no el techo. Use las correspondencias para llegar al suelo al menor coste posible y, después, construya sobre él. El análisis de brechas y la matriz de cobertura son el punto de partida.
Preguntas
¿Es segura una organización conforme?
No necesariamente. El cumplimiento demuestra que existen determinados controles y que funcionan dentro de un alcance definido; los atacantes apuntan a lo que sea más débil, esté o no dentro del alcance.
¿Mejora el cumplimiento la seguridad en algún sentido?
Sí: los marcos imponen medidas básicas que muchas organizaciones omitirían, como inventarios de activos, parcheo, revisiones de acceso y planes de incidentes. El problema surge cuando el cumplimiento se convierte en todo el programa.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-13Requisitos de MFA comparados en 11 marcos de seguridadQué marcos exigen MFA, a quién y con qué rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 y HIPAA, comparados en paralelo.
Análisis · 2026-09-29Regla de Seguridad de HIPAA desde la perspectiva de NIST CSF 2.0Un programa basado en NIST CSF 2.0 se corresponde con casi todos los requisitos de la Regla de Seguridad de HIPAA. Qué se traslada, los dos que no, y qué aporta CSF más allá de HIPAA.