Seguridad física en los marcos: el tema que olvidan las empresas cloud-first
La mayoría de los equipos de seguridad ya ejecutan todo en la nube y rara vez piensan en cerraduras y cámaras. Aun así, la mayoría de los marcos los siguen exigiendo, y los auditores siguen preguntando por ellos.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
La seguridad física se ha convertido en el tema olvidado de los programas de seguridad modernos. Las cargas de trabajo se ejecutan en el centro de datos de otra empresa, el personal trabaja desde casa y la oficina consiste sobre todo en escritorios y café. Sin embargo, la mayoría de los marcos siguen exigiendo controles físicos, y cuando auditamos nuestras propias correspondencias comprobamos que estaban infrarrepresentadas, así que le dimos un tema propio.
Quién exige qué
| Marco | Seguridad física | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.AA-06DE.CM-02PR.IR-02 | Definición del tema |
| ISO 27001 | A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12 | Correspondencia |
| CIS v8.1 | — | Sin correspondencia en nuestros datos |
| SOC 2 | CC6.4 | Editorial |
| PCI DSS | 9.2.19.2.39.3.19.2.1.19.3.1.19.3.2 | Correspondencia |
| CMMC | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6 | Correspondencia |
| 800-53 | PE-2PE-3PE-6PE-8PE-13PE-14 | Correspondencia |
| HIPAA | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c) | Correspondencia |
| GDPR | — | Sin correspondencia en nuestros datos |
| NIS2 | 13.113.213.3 | Correspondencia |
| Essential Eight | — | Sin correspondencia en nuestros datos |
Detalle completo y motivo de cada vínculo: Seguridad física en todos los marcos →
Los marcos que más se preocupan
PCI DSS es el más detallado: controles de acceso a las instalaciones con sistemas de datos de titulares de tarjetas, supervisión de áreas sensibles con cámaras o sistemas de control de acceso, autorización y registros de visitantes, tomas de red y hardware restringidos, almacenamiento y destrucción seguros de soportes, e inspección de los dispositivos lectores de tarjetas por si han sido manipulados (Requisito 9). CMMC Level 2 tiene una familia completa: limitar y supervisar el acceso físico, acompañar a los visitantes, mantener registros de acceso, gestionar los dispositivos de acceso y proteger la CUI en sedes de trabajo alternativas (PE.L2-3.10.1 a 3.10.6). ISO 27001 tiene catorce controles físicos en su tema A.7, desde perímetros y controles de entrada hasta escritorio limpio, mantenimiento de equipos y eliminación segura. HIPAA cuenta con un conjunto completo de salvaguardas físicas en §164.310.
Los que no lo hacen
Los CIS Controls eliminaron la seguridad física en la versión 8. GDPR y las Essential Eight no la abordan. SOC 2 la cubre en un único criterio (CC6.4), y los auditores de empresas que solo usan la nube suelen aceptar para ello el informe propio del proveedor de nube.
Lo que preguntan los auditores a una empresa cloud-first
Espere una breve lista de preguntas aunque no posea ningún servidor:
- ¿Qué proveedores de nube y de colocation alojan sus sistemas, y dónde está su informe de garantías?
- ¿Cómo controla el acceso a sus oficinas y quién tiene llaves o credenciales?
- ¿Se registra a los visitantes y se les acompaña allí donde la información sensible es visible?
- ¿Cómo se protegen los portátiles si se pierden o los roban (cifrado, borrado remoto, un proceso de notificación)?
- ¿Cómo se eliminan las unidades, los portátiles y el papel?
Respuestas claras con un poco de evidencia (exportación del sistema de credenciales, registro de visitantes, informe de MDM, certificados de destrucción) suelen cerrar el tema con rapidez.
Conclusiones clave
- La mayoría de los marcos siguen exigiendo controles físicos.
- Las empresas cloud-first heredan las garantías del centro de datos y deben proteger oficinas, portátiles y soportes.
- Los pagos con tarjeta presentes en el comercio devuelven los requisitos físicos de PCI al alcance.
- PCI DSS es el más detallado, hasta el punto de exigir registros de visitantes e inspeccionar los lectores de tarjetas por si hay manipulación.
Cómo cumplirlo sin centro de datos
Para una empresa sin servidores propios, la seguridad física se reduce a cuatro cosas:
- Herede el centro de datos. El informe SOC 2 o el certificado ISO de su proveedor de nube cubre sus instalaciones. Lea el alcance y deje constancia en su propia documentación de que se apoya en él.
- Proteja su oficina de forma proporcionada. Acceso mediante credenciales, registro de visitantes, almacenamiento bajo llave para todo lo sensible y una política de escritorio limpio (ISO A.7.7).
- Trate los portátiles como el perímetro. Cifrado de disco completo, bloqueo de pantalla, borrado remoto y un proceso para dispositivos perdidos cubren gran parte de lo que antes cubrían los controles físicos.
- Gestione los soportes y su eliminación. Borre o destruya las unidades y dispositivos antes de reutilizarlos o desecharlos (ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).
Si acepta pagos con tarjeta en persona, lea con atención el Requisito 9 de PCI DSS: los dispositivos lectores de tarjetas en el punto de venta devuelven los controles físicos al alcance, por muy nativa de la nube que sea su empresa.
La página del tema Seguridad física enumera cada requisito con su fuente, y el análisis de brechas muestra qué añade un nuevo marco al que ya tiene.
Preguntas
¿Cubren los CIS Controls la seguridad física?
No. CIS Controls v8 eliminó la seguridad física, por eso no tiene correspondencia para este tema.
¿Cómo cumplen las empresas que solo usan la nube los requisitos de seguridad física?
Apoyándose en las garantías de su proveedor de nube para los centros de datos (por ejemplo, su informe SOC 2 o su certificado ISO) y cubriendo sus propias oficinas, dispositivos, soportes y visitantes.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.