Comparación
ISO 27001 frente a RGPD: la mitad de seguridad de una ley de privacidad
ISO/IEC 27001:2022 · GDPR · datos 2026-10-27
Por Paul Gillet · Actualizado 2026-10-17
El RGPD es una ley de privacidad; ISO 27001 es una norma de seguridad. Ambos coinciden en los artículos que imponen obligaciones de seguridad: integridad y confidencialidad (artículo 5, apartado 1, letra f), protección de datos desde el diseño (artículo 25), encargados del tratamiento (artículo 28), seguridad del tratamiento (artículo 32), notificación de brechas (artículos 33–34), evaluaciones de impacto (artículo 35) y delegados de protección de datos (artículos 37–39). ControlMapping solo relaciona esos artículos, y todas las correspondencias con el RGPD son editoriales, ya que no existe una correspondencia oficial.
Si se parte de ISO 27001 hacia los artículos de seguridad del RGPD, casi todo queda cubierto: un SGSI le proporciona medidas de seguridad basadas en riesgos, una gestión de incidentes que puede alimentar la notificación de brechas, controles sobre proveedores para los encargados del tratamiento y responsabilidades documentadas. La excepción es la posición del delegado de protección de datos (artículo 38), que ISO no aborda.
Si se parte del RGPD hacia ISO 27001, la mayor parte del Anexo A está relacionada o tangencialmente relacionada, pero el RGPD no exige un sistema de gestión, por lo que las cláusulas del SGSI, la seguridad física y algunos controles técnicos (dispositivos finales, capacidad y registro de eventos) aparecen como sin correspondencia. El RGPD también exige mucho que queda fuera del alcance de esta página, como la base jurídica, la transparencia y los derechos de los interesados; la norma ISO/IEC 27701 amplía un SGSI para cubrir la gestión de la privacidad.
Conclusiones clave
- ISO 27001 es una sólida evidencia para el artículo 32 del RGPD, pero no equivale al cumplimiento del RGPD.
- Añada procedimientos de notificación de brechas (72 horas a la autoridad de control) a su proceso de gestión de incidentes.
- Para la gestión de la privacidad, consulte ISO/IEC 27701 además del SGSI.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene ISO 27001 → necesita GDPR
13 req. 12 asignados · · 1 sin asignación Abrir en vista de brechas →De los 13 requisitos de GDPR, 12 se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos.
El RGPD es una ley de privacidad: aquí solo se correlacionan sus artículos relacionados con la seguridad, y todas las correspondencias son editoriales.
Probablemente trabajo nuevo: requisitos de GDPR sin correspondencia con ISO 27001 (1)
| GDPR | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| Requirements · 1 | ||||
| Art.38 | Position of the data protection officer | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
Correspondencia (12)
| GDPR | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| Requirements · 12 | ||||
| Art.5 | Principles relating to processing of personal data | Editorial | A.5.14A.8.10A.8.11+3 | Mismo tema: Protección de datos (selección editorial) |
| Art.24 | Responsibility of the controller | Editorial | Clause 6.1.1Clause 6.1.3A.5.37+1 | Mismo tema: Gestión de riesgos, Política de gobernanza (selección editorial) |
| Art.25 | Data protection by design and by default | Editorial | A.8.25A.8.26A.8.28+5 | Mismo tema: Desarrollo seguro (selección editorial) |
| Art.28 | Processor | Editorial | A.5.19A.5.20A.5.21+2 | Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores (selección editorial) |
| Art.29 | Processing under the authority of the controller or processor | Editorial | A.6.1A.6.4A.8.16 | Mismo tema: Amenaza interna (selección editorial) |
| Art.30 | Records of processing activities | Editorial | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos (selección editorial) |
| Art.32 | Security of processing | Editorial | A.8.24A.5.16A.5.18+6 | Mismo tema: Cifrado, Control de acceso (selección editorial) |
| Art.33 | Notification of a personal data breach to the supervisory authority | Editorial | A.5.5A.5.24A.5.25+2 | Mismo tema: Notificación, Respuesta a incidentes (selección editorial) |
| Art.34 | Communication of a personal data breach to the data subject | Editorial | A.5.5A.5.26A.6.8+2 | Mismo tema: Notificación, Comunicaciones y restauración (selección editorial) |
| Art.35 | Data protection impact assessment | Editorial | Clause 6.1.2Clause 6.1.3 | Mismo tema: Evaluación de riesgos (selección editorial) |
| Art.37 | Designation of the data protection officer | Editorial | A.5.2A.5.4 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| Art.39 | Tasks of the data protection officer | Editorial | A.5.2A.5.4A.6.3+1 | Mismo tema: Funciones y responsabilidades, Concienciación y formación (selección editorial) |
Tiene GDPR → necesita ISO 27001
123 req. 47 asignados · · 29 sin asignación Abrir en vista de brechas →De los 123 requisitos de ISO/IEC 27001:2022, 47 se corresponden con algo en GDPR, 47 solo guardan una relación tangencial y 29 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de ISO 27001 sin correspondencia con GDPR (29)
| ISO 27001 | Requisito | Coincidencia | GDPR | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 2 | ||||
| A.5.6 | Contact with special interest groups | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.5.35 | Independent review of information security | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7.2 | Physical entry | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7.3 | Securing offices, rooms and facilities | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7.5 | Protecting against physical and environmental threats | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7.6 | Working in secure areas | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7.8 | Equipment siting and protection | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7.11 | Supporting utilities | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.7.12 | Cabling security | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.8 Technological controls · 3 | ||||
| A.8.1 | User endpoint devices | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.8.6 | Capacity management | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| A.8.15 | Logging | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| ISMS clauses 4–10 · 16 | ||||
| Clause 4.1 | Understanding the organization and its context | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 4.3 | Determining the scope of the ISMS | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 4.4 | Information security management system | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 5.1 | Leadership and commitment | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 6.3 | Planning of changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 7.5.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 7.5.2 | Creating and updating | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 7.5.3 | Control of documented information | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 8.2 | Information security risk assessment | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 8.3 | Information security risk treatment | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 9.2.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 9.2.2 | Internal audit programme | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 10.1 | Continual improvement | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
| Clause 10.2 | Nonconformity and corrective action | Sin correspondencia en nuestros datos | — | Sin correspondencia con GDPR en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (47)
| ISO 27001 | Requisito | Coincidencia | GDPR | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 12 | ||||
| A.5.3 | Segregation of duties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.7 | Threat intelligence | Art.35(1)Art.35(7) | Solo comparte subcategorías de CSF ID.RA-03, ID.RA-05, ID.RA-06: relacionado, no es una correspondencia | |
| A.5.8 | Information security in project management | Art.30(1) | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| A.5.10 | Acceptable use of information and other associated assets | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.12 | Classification of information | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Solo comparte subcategorías de CSF PR.DS-01, ID.AM-08: relacionado, no es una correspondencia | |
| A.5.13 | Labelling of information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.17 | Authentication information | Art.25(2)Art.32(1)(b) | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| A.5.27 | Learning from information security incidents | Art.33(1)Art.33(5) | Solo comparte subcategorías de CSF ID.IM-04, RS.MA-01, RS.MA-02: relacionado, no es una correspondencia | |
| A.5.28 | Collection of evidence | Art.33(1)Art.33(5)Art.34(1) | Solo comparte subcategorías de CSF RS.MA-01, RS.MA-02, RC.CO-03: relacionado, no es una correspondencia | |
| A.5.32 | Intellectual property rights | Art.24(2) | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| A.5.33 | Protection of records | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.5.34 | Privacy and protection of PII | Art.24(2) | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.6.5 | Responsibilities after termination or change of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.6.6 | Confidentiality or non-disclosure agreements | Art.29Art.32(4)Art.37(1)+1 | Solo comparte subcategorías de CSF GV.RR-04, GV.RR-03: relacionado, no es una correspondencia | |
| A.6.7 | Remote working | Art.24(2)Art.25(2)Art.28(1)+3 | Solo comparte subcategorías de CSF GV.PO-01, PR.AA-05, PR.PS-01: relacionado, no es una correspondencia | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | Art.29Art.32(4) | Solo comparte subcategorías de CSF DE.CM-03: relacionado, no es una correspondencia | |
| A.7.7 | Clear desk and clear screen | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.7.9 | Security of assets off-premises | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.7.10 | Storage media | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Solo comparte subcategorías de CSF PR.DS-01, ID.AM-08: relacionado, no es una correspondencia | |
| A.7.13 | Equipment maintenance | Art.30(1) | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| A.8 Technological controls · 19 | ||||
| A.8.2 | Privileged access rights | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02…: relacionado, no es una correspondencia | |
| A.8.4 | Access to source code | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.8.5 | Secure authentication | Art.25(2)Art.32(1)(b) | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-05: relacionado, no es una correspondencia | |
| A.8.7 | Protection against malware | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.9 | Configuration management | Art.28(1) | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| A.8.12 | Data leakage prevention | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.17 | Clock synchronization | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03: relacionado, no es una correspondencia | |
| A.8.18 | Use of privileged utility programs | Art.25(2)Art.32(1)(b) | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| A.8.19 | Installation of software on operational systems | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.20 | Networks security | Art.5(1)(e)Art.5(1)(f)Art.28(1)+3 | Solo comparte subcategorías de CSF PR.DS-02, PR.IR-01: relacionado, no es una correspondencia | |
| A.8.21 | Security of network services | Art.28(1) | Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia | |
| A.8.22 | Segregation of networks | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.8.23 | Web filtering | Art.28(1) | Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia | |
| A.8.27 | Secure system architecture and engineering principles | Art.32(1)(b)Art.32(1)(c) | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| A.8.30 | Outsourced development | Art.5(2) | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| A.8.31 | Separation of development, test and production environments | Art.25(1) | Solo comparte subcategorías de CSF PR.PS-06: relacionado, no es una correspondencia | |
| A.8.32 | Change management | Art.5(2) | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| A.8.33 | Test information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.34 | Protection of information systems during audit testing | Art.5(2) | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| ISMS clauses 4–10 · 7 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Solo comparte subcategorías de CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, no es una correspondencia | |
| Clause 7.1 | Resources | Art.37(1)Art.39(1) | Solo comparte subcategorías de CSF GV.RR-03: relacionado, no es una correspondencia | |
| Clause 7.2 | Competence | Art.37(1)Art.39(1) | Solo comparte subcategorías de CSF GV.RR-01, GV.RR-02, GV.RR-03: relacionado, no es una correspondencia | |
| Clause 8.1 | Operational planning and control | Art.28(1)Art.32(1)(b) | Solo comparte subcategorías de CSF GV.SC-01, GV.SC-03, RC.RP-04: relacionado, no es una correspondencia | |
| Clause 9.3.1 | General | Art.28(1) | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.2 | Management review inputs | Art.28(1) | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.3 | Management review results | Art.28(1) | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
Correspondencia (47)
| ISO 27001 | Requisito | Coincidencia | GDPR | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 23 | ||||
| A.5.1 | Policies for information security | Editorial | Art.24(2) | Mismo tema: Política de gobernanza (selección editorial) |
| A.5.2 | Information security roles and responsibilities | Editorial | Art.37(1)Art.39(1) | Mismo tema: Funciones y responsabilidades (selección editorial) |
| A.5.4 | Management responsibilities | Editorial | Art.37(1)Art.39(1) | Mismo tema: Funciones y responsabilidades (selección editorial) |
| A.5.5 | Contact with authorities | Editorial | Art.33(1)Art.34(1) | Mismo tema: Notificación (selección editorial) |
| A.5.9 | Inventory of information and other associated assets | Editorial | Art.30(1) | Mismo tema: Gestión de activos (selección editorial) |
| A.5.11 | Return of assets | Editorial | Art.30(1) | Mismo tema: Gestión de activos (selección editorial) |
| A.5.14 | Information transfer | Editorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Mismo tema: Protección de datos (selección editorial) |
| A.5.15 | Access control | Editorial | Art.25(2)Art.32(1)(b) | Mismo tema: Control de acceso (selección editorial) |
| A.5.16 | Identity management | Editorial | Art.25(2)Art.32(1)(b) | Mismo tema: Control de acceso (selección editorial) |
| A.5.18 | Access rights | Editorial | Art.25(2)Art.32(1)(b) | Mismo tema: Control de acceso (selección editorial) |
| A.5.19 | Information security in supplier relationships | Editorial | Art.28(1)Art.28(3) | Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores (selección editorial) |
| A.5.20 | Addressing information security within supplier agreements | Editorial | Art.28(1)Art.28(3) | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| A.5.21 | Managing information security in the ICT supply chain | Editorial | Art.28(1) | Mismo tema: Riesgo de la cadena de suministro (selección editorial) |
| A.5.22 | Monitoring, review and change management of supplier services | Editorial | Art.28(1)Art.28(3) | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| A.5.23 | Information security for use of cloud services | Editorial | Art.28(1) | Mismo tema: Seguridad en la nube (selección editorial) |
| A.5.24 | Information security incident management planning and preparation | Editorial | Art.33(1)Art.33(5) | Mismo tema: Respuesta a incidentes (selección editorial) |
| A.5.25 | Assessment and decision on information security events | Editorial | Art.33(1)Art.33(5) | Mismo tema: Respuesta a incidentes (selección editorial) |
| A.5.26 | Response to information security incidents | Editorial | Art.33(1)Art.33(5)Art.34(1) | Mismo tema: Respuesta a incidentes, Comunicaciones y restauración (selección editorial) |
| A.5.29 | Information security during disruption | Editorial | Art.32(1)(b)Art.32(1)(c) | Mismo tema: Continuidad del negocio, Planificación de la recuperación (selección editorial) |
| A.5.30 | ICT readiness for business continuity | Editorial | Art.32(1)(b)Art.32(1)(c) | Mismo tema: Continuidad del negocio, Planificación de la recuperación, Recuperación ante desastres (selección editorial) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | Art.5(2) | Mismo tema: Cumplimiento (selección editorial) |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | Art.5(2) | Mismo tema: Cumplimiento (selección editorial) |
| A.5.37 | Documented operating procedures | Editorial | Art.24(2) | Mismo tema: Política de gobernanza (selección editorial) |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | Editorial | Art.29Art.32(4) | Mismo tema: Amenaza interna (selección editorial) |
| A.6.3 | Information security awareness, education and training | Editorial | Art.39(1)(b) | Mismo tema: Concienciación y formación (selección editorial) |
| A.6.4 | Disciplinary process | Editorial | Art.29Art.32(4) | Mismo tema: Amenaza interna (selección editorial) |
| A.6.8 | Information security event reporting | Editorial | Art.33(1)Art.34(1) | Mismo tema: Notificación (selección editorial) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Editorial | Art.30(1) | Mismo tema: Gestión de activos (selección editorial) |
| A.8 Technological controls · 12 | ||||
| A.8.3 | Information access restriction | Editorial | Art.25(2)Art.32(1)(b) | Mismo tema: Control de acceso (selección editorial) |
| A.8.8 | Management of technical vulnerabilities | Editorial | Art.32(1)(d) | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| A.8.10 | Information deletion | Editorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Mismo tema: Protección de datos (selección editorial) |
| A.8.11 | Data masking | Editorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Mismo tema: Protección de datos (selección editorial) |
| A.8.13 | Information backup | Editorial | Art.32(1)(c) | Mismo tema: Copias de seguridad y recuperación (selección editorial) |
| A.8.14 | Redundancy of information processing facilities | Editorial | Art.32(1)(b)Art.32(1)(c) | Mismo tema: Continuidad del negocio, Recuperación ante desastres (selección editorial) |
| A.8.16 | Monitoring activities | Editorial | Art.29Art.32(4) | Mismo tema: Amenaza interna (selección editorial) |
| A.8.24 | Use of cryptography | Editorial | Art.32(1)(a)Art.34(3)(a) | Mismo tema: Cifrado (selección editorial) |
| A.8.25 | Secure development life cycle | Editorial | Art.25(1) | Mismo tema: Desarrollo seguro (selección editorial) |
| A.8.26 | Application security requirements | Editorial | Art.25(1) | Mismo tema: Desarrollo seguro (selección editorial) |
| A.8.28 | Secure coding | Editorial | Art.25(1) | Mismo tema: Desarrollo seguro (selección editorial) |
| A.8.29 | Security testing in development and acceptance | Editorial | Art.25(1) | Mismo tema: Desarrollo seguro (selección editorial) |
| ISMS clauses 4–10 · 7 | ||||
| Clause 5.2 | Policy | Editorial | Art.24(2) | Mismo tema: Política de gobernanza (selección editorial) |
| Clause 6.1.1 | General | Editorial | Art.24(1)Art.32(2) | Mismo tema: Gestión de riesgos (selección editorial) |
| Clause 6.1.2 | Information security risk assessment | Editorial | Art.35(1)Art.35(7) | Mismo tema: Evaluación de riesgos (selección editorial) |
| Clause 6.1.3 | Information security risk treatment | Editorial | Art.24(1)Art.32(2)Art.35(1)+1 | Mismo tema: Gestión de riesgos, Evaluación de riesgos (selección editorial) |
| Clause 7.3 | Awareness | Editorial | Art.39(1)(b) | Mismo tema: Concienciación y formación (selección editorial) |
| Clause 7.4 | Communication | Editorial | Art.34(1) | Mismo tema: Comunicaciones y restauración (selección editorial) |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | Art.5(2) | Mismo tema: Cumplimiento (selección editorial) |
Por tema
Ambos cubren (23):
Política de gobernanzaConcienciación y formaciónGestión de riesgosRiesgo de la cadena de suministroFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosGestión de vulnerabilidadesControl de accesoCifradoProtección de datosCopias de seguridad y recuperaciónDesarrollo seguroSeguridad en la nubeRespuesta a incidentesNotificaciónPlanificación de la recuperaciónContinuidad del negocioComunicaciones y restauraciónRecuperación ante desastresAmenaza internaGestión de riesgos de proveedores
Solo ISO 27001 (27):
Entorno empresarialClasificación de datosInteligencia de amenazasAutenticación multifactorAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad móvilSeguridad DNSWAFDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCAnálisis forenseComunicaciónMitigaciónLecciones aprendidasSeguridad de APIsSeguridad física
Preguntas
¿Hace ISO 27001 que cumpla el RGPD?
No. Respalda las obligaciones de seguridad, en especial el artículo 32, pero el RGPD también abarca el tratamiento lícito, la transparencia, los derechos de los interesados y más.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.