Comparación

ISO 27001 frente a PCI DSS: un sistema de gestión frente a reglas prescriptivas sobre datos de tarjetas

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · datos 2026-10-27

Por Paul Gillet · Actualizado 2026-10-17

PCI DSS v4.0.1 es un requisito contractual de las marcas de tarjetas de pago para cualquiera que almacene, procese o transmita datos de titulares de tarjetas. Es prescriptivo: incluye unos 250 requisitos definidos con procedimientos de prueba, y su validación la realiza un Asesor de Seguridad Cualificado (QSA) o un Cuestionario de Autoevaluación, según su nivel. ISO/IEC 27001 está basada en el riesgo: usted elige y justifica los controles para un alcance que define.

Un SGSI conforme a ISO 27001 ofrece una base sólida para el trabajo de PCI. La gobernanza, la evaluación de riesgos, las políticas, el control de acceso, el registro de eventos y la gestión de incidentes se trasladan directamente, y el proceso de riesgos de ISO ayuda con los análisis de riesgo específicos de PCI DSS v4.

Al pasar de ISO a PCI DSS, cabe esperar muchos requisitos sin correspondencia y otros solo tangencialmente relacionados. No es porque ISO sea más débil, sino porque PCI especifica exactamente qué hacer y con qué frecuencia: reglas de control de seguridad de red para el entorno de datos de titulares de tarjetas, protección de los datos de cuentas almacenados y de los PAN, requisitos específicos de autenticación y MFA, análisis trimestrales de vulnerabilidades y pruebas de penetración anuales, supervisión de la integridad de archivos y controles de scripts en la página de pago. Parte de esto también responde a una limitación de los datos: la correspondencia de NIST con PCI cubre solo una parte de la norma, por lo que algunos requisitos de PCI no tienen ningún vínculo publicado con nada.

Al pasar de PCI DSS a ISO, la cobertura del Anexo A es buena, y la brecha está en el sistema de gestión: alcance del SGSI, objetivos, información documentada, auditoría interna y revisión por la dirección.

De un vistazo

	ISO 27001	PCI DSS
Qué protege	Toda la información dentro del alcance del SGSI	Los datos de cuentas de pago y los sistemas que los rodean
Grado de prescripción	Basado en riesgos: usted elige los controles	Prescriptivo: requisitos específicos, muchos con frecuencias establecidas
Quién lo exige	Clientes y licitaciones	Las marcas de tarjetas, a través de los contratos con los adquirentes
Evaluación	Organismo de certificación	Informe de Cumplimiento (ROC) de un QSA, o Cuestionario de Autoevaluación
Frecuencia	Vigilancia anual, recertificación cada tres años	Anual, con análisis externos trimestrales

Uso de ISO 27001 para PCI DSS

Un SGSI que incluye el entorno de datos de titulares de tarjetas en su alcance cubre gran parte del trabajo de políticas, riesgos y gobernanza de PCI DSS, y muchas áreas técnicas coinciden. El trabajo nuevo suele ser la configuración específica y las frecuencias de PCI: análisis externos trimestrales realizados por un Proveedor Aprobado de Escaneo (ASV), MFA para todos los accesos al entorno de datos de titulares de tarjetas, controles de scripts en la página de pago, cadencias de revisión de registros y detalles de gestión de claves. La lista de «sin correspondencia» que aparece más abajo indica dónde mirar.

Quién necesita cada cosa

PCI DSS se aplica a cualquier organización que almacene, procese o transmita datos de tarjetas de pago, o que pueda afectar a su seguridad, porque las marcas de tarjetas lo exigen a través de los contratos con los adquirentes. La forma de validarlo depende de su nivel: los comercios y proveedores de servicios más grandes necesitan un Informe de Cumplimiento anual elaborado por un Asesor de Seguridad Cualificado; la mayoría de los demás completan un Cuestionario de Autoevaluación. ISO 27001 es voluntaria y más amplia: abarca toda la seguridad de la información de una organización, no solo los datos de tarjetas, y culmina en un certificado que los clientes reconocen.

Reducir el alcance de PCI antes de implantar controles

El requisito de PCI DSS más barato es aquel que no le aplica. Antes de correlacionar los controles de ISO con PCI, reduzca el entorno de datos de titulares de tarjetas:

Externalice la página de pago. Un sitio de comercio electrónico que redirige a la página de un proveedor de pagos conforme a PCI, o la incrusta, mantiene los datos de tarjetas fuera de sus propios servidores y puede acogerse al cuestionario más corto, SAQ A.
Tokenice. Sustituya los números de tarjeta almacenados por tokens de su proveedor de pagos, de modo que nunca conserve números de cuenta primarios (PAN).
Segmente. Aísle los sistemas que deben tratar datos de tarjetas del resto y pruebe la segmentación.

Cada sistema que queda fuera del alcance elimina de una vez decenas de requisitos.

Coste y esfuerzo

Para una organización certificada en ISO, el coste de PCI DSS depende casi por completo del alcance. Con una página de pago totalmente externalizada, el trabajo puede reducirse a un cuestionario breve y unos pocos controles. Si los datos de tarjetas están en sus propios sistemas, cabe esperar un trabajo considerable en los requisitos 3 (datos almacenados), 8 (autenticación), 10 (registro de eventos) y 11 (pruebas), además de análisis externos trimestrales realizados por un Proveedor Aprobado de Escaneo (ASV) y, en los niveles superiores, una evaluación por un QSA. El trabajo de gobernanza es ligero, porque el SGSI ya cubre gran parte del requisito 12.

Calendario

Planifique primero la reducción del alcance; puede cambiar el calendario por completo. Para un entorno dentro del alcance, una organización certificada en ISO suele necesitar entre tres y nueve meses para cerrar las brechas técnicas específicas de PCI antes de su primera evaluación, y los análisis trimestrales deben estar en marcha antes de la fecha de evaluación. Encaje las frecuencias fijas de PCI (análisis trimestrales, revisiones semestrales, pruebas anuales) en el calendario del SGSI para que la auditoría interna las verifique junto con el resto.

Ejemplo práctico: un minorista en línea

Un minorista en línea de tamaño mediano está certificado en ISO 27001 para su plataforma de comercio electrónico y procesa los pagos con tarjeta en sus propios servidores. Su adquirente solicita la validación de PCI DSS. El análisis de brechas muestra un fuerte solapamiento en gobernanza, respuesta a incidentes y gestión de proveedores, pero brechas importantes en el requisito 3 (datos de cuentas almacenados), 6.4 (seguridad de la página de pago) y 11 (análisis ASV y pruebas de penetración).

El minorista rediseña primero el proceso de compra para usar una página de pago incrustada de su proveedor de pagos y tokeniza las tarjetas almacenadas. Sus propios sistemas ya no tratan números de tarjeta, la mayor parte de la brecha desaparece y valida con un cuestionario de autoevaluación breve. Sus controles de ISO cubren lo que queda, y las frecuencias de PCI se incorporan a los procedimientos existentes.

Errores habituales

Correlacionar antes de definir el alcance. Implantar controles para un entorno de datos de titulares de tarjetas que la tokenización o una página de pago externalizada podrían haber eliminado.
Usar las frecuencias de ISO. Una revisión anual de accesos cumple ISO; PCI DSS exige cada seis meses. Diséñelo según la cadencia de PCI.
Olvidar el ASV. Los análisis externos deben realizarlos un Proveedor Aprobado de Escaneo, con periodicidad trimestral y con resultados superados.
Tratar el certificado ISO como evidencia de PCI. Los evaluadores necesitan evidencia específica de PCI para cada requisito.
Pasar por alto la página de pago. La gestión de scripts y la detección de manipulaciones en las páginas de pago están entre los requisitos de la v4.0.1 que más se omiten.

Conclusiones clave

En PCI, el alcance lo es todo: segmentar el entorno de datos de titulares de tarjetas puede reducir drásticamente el trabajo.
ISO → PCI: correlacione explícitamente los controles de ISO con cada requisito de PCI, y prevea añadir especificaciones de frecuencia y técnicas.
Los requisitos con fecha de entrada en vigor posterior de PCI DSS v4.0 pasaron a ser obligatorios el 31 de marzo de 2025; compruebe que está evaluando frente a la v4.0.1.

Descargar esta comparación (CSV) Abrir en análisis de brechas →

Tiene ISO 27001 → necesita PCI DSS

260 req.

77 asignados · · 107 sin asignación Abrir en vista de brechas →

De los 260 requisitos de PCI DSS v4.0.1, 77 se corresponden con algo en ISO 27001, 76 solo guardan una relación tangencial y 107 no tienen correspondencia en nuestros datos.

Probablemente trabajo nuevo: requisitos de PCI DSS sin correspondencia con ISO 27001 (107)

PCI DSS	Requisito	Coincidencia	ISO 27001	Evidencia
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.2.5	Allowed services, protocols and ports approved	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.2.6	Security features defined for insecure services	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.2.7	Network security control rules reviewed every six months	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.2.8	Network security control configuration files secured	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.3.2	Outbound traffic from the CDE restricted	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.3.3	Network controls between wireless networks and the CDE	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.4.2	Inbound traffic from untrusted networks restricted	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.4.3	Anti-spoofing measures in place	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.4.4	Stored cardholder data not reachable from untrusted networks	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.4.5	Internal IP addresses and routing not disclosed	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
2.2.4	Only necessary services and functions enabled	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
2.2.5	Insecure services justified and secured	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
2.2.6	System security parameters set to prevent misuse	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
2.2.7	Non-console administrative access encrypted	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
2.3.2	Wireless keys changed when key holders leave	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.3.1.2	Card verification code not kept after authorisation	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.3.1.3	PIN and PIN block not kept after authorisation	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.3.2	Sensitive authentication data encrypted before authorisation	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.3.3	Issuer storage of sensitive authentication data limited and protected	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.5.1.2	Disk-level encryption used only where it suffices	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.7.2	Key management: secure key distribution	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.7.3	Key management: secure key storage	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.7.5	Key management: retiring weakened or compromised keys	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.7.6	Key management: split knowledge and dual control	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.7.7	Key management: preventing unauthorised key substitution	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.7.8	Key custodians formally acknowledge their responsibilities	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
3.7.9	Service providers give customers key-handling guidance	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
4.2.2	PAN secured when sent by end-user messaging	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
5.3.3	Removable media scanned or analysed	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
5.3.4	Anti-malware audit logs enabled and retained	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
5.3.5	Users cannot disable or alter anti-malware	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
6.5.2	PCI DSS requirements re-confirmed after significant changes	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
6.5.3	Pre-production environments separated from production	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
6.5.4	Duties separated between production and pre-production	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
6.5.5	Live PANs not used in pre-production	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
6.5.6	Test data and accounts removed before go-live	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
7.2.5	System and application accounts least privilege	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
7.2.6	Access to cardholder data repositories restricted	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
7.3.1	Access control system restricts access by need	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
7.3.2	Access control system enforces assigned permissions	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
7.3.3	Access control system set to deny by default	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
8.2.4	User ID changes authorised and controlled	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
8.2.7	Third-party remote access accounts enabled only when needed	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
8.3.2	Authentication factors unreadable in transit and storage	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
8.3.3	Identity verified before changing authentication factors	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
8.3.4	Account lockout after repeated failed attempts	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
8.3.11	Tokens, smart cards and certificates assigned to individuals	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
8.6.1	Interactive use of system accounts managed	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.3.3	Visitor badges returned or deactivated	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.3.4	Visitor log maintained and retained	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.4.1	Media with cardholder data physically secured	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.4.3	Media sent off site tracked and secured	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.4.4	Management approves media moved off site	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.4.5	Inventory logs of electronic media kept	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.4.5.1	Electronic media inventories at least annually	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.5.1	Card-reading (POI) devices protected from tampering	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
9.5.1.3	Staff trained to spot POI tampering	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.2.1.2	Logs capture administrative actions	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.2.1.3	Logs capture access to audit logs	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.2.1.4	Logs capture invalid access attempts	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.2.1.5	Logs capture credential and privilege changes	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.2.1.6	Logs capture starting, stopping or pausing logging	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.2.1.7	Logs capture system-level object changes	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.4.2	Other logs reviewed periodically	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.4.3	Exceptions and anomalies addressed	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.6.2	Time configuration correct and consistent	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
10.7.3	Security control failures responded to promptly	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.3.1.2	Internal scans use authenticated scanning	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.3.1.3	Internal scans after significant changes	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.3.2.1	External scans after significant changes	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.4.1	Penetration testing methodology defined	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.4.2	Internal penetration test at least annually	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.4.3	External penetration test at least annually	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.4.5	Segmentation controls tested at least annually	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.4.6	Service providers test segmentation every six months	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.4.7	Multi-tenant providers support customer penetration tests	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.5.1.1	Service providers detect covert malware communication	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
11.5.2	Change-detection on critical files	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
12.5.2.1	Service providers confirm scope every six months	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
12.6.2	Awareness programme reviewed annually	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
12.6.3.1	Training covers phishing and social engineering	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
12.6.3.2	Training covers acceptable use of technology	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A1.1.2	Multi-tenant providers: customers confined to their own environment	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A1.1.3	Multi-tenant providers: customers reach only their own data	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A1.1.4	Multi-tenant providers: separation tested every six months	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A1.2.1	Multi-tenant providers: audit logging for each customer	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A1.2.2	Multi-tenant providers: support customer forensic investigations	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A2.1.1	POI terminals using SSL or early TLS not exploitable	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A2.1.2	Service providers: migration plan off SSL and early TLS	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.
A2.1.3	Service providers offer a secure connection option	Sin correspondencia en nuestros datos	—	Sin correspondencia con ISO 27001 en nuestros datos.

Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (76)

PCI DSS	Requisito	Coincidencia	ISO 27001	Evidencia
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
1.1.2	Roles for network security controls assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
1.2.4	Accurate account-data flow diagram maintained	Relación tangencial	A.5.19 A.5.20 A.5.22+5	Solo comparte subcategorías de CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: relacionado, no es una correspondencia
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
2.1.2	Roles for secure configuration assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
2.3.1	Wireless vendor defaults changed	Relación tangencial	A.5.15 A.5.3 A.5.10+5	Solo comparte subcategorías de CSF PR.AA-03, PR.DS-02: relacionado, no es una correspondencia
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
3.1.2	Roles for protecting stored account data assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
3.5.1.3	Disk encryption access managed separately from OS access	Relación tangencial	A.5.15 A.5.1 A.5.3+5	Solo comparte subcategorías de CSF PR.AA-03, PR.DS-01: relacionado, no es una correspondencia
3.6.1.1	Service providers document their cryptographic architecture	Relación tangencial	A.5.15 A.5.16 A.8.2+5	Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, no es una correspondencia
3.6.1.2	Secret and private keys stored in approved forms	Relación tangencial	A.5.15 A.5.16 A.8.2+5	Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, no es una correspondencia
3.6.1.3	Cleartext key components accessible to fewest custodians	Relación tangencial	A.5.15 A.5.16 A.8.2+5	Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, no es una correspondencia
3.6.1.4	Keys stored in the fewest possible locations	Relación tangencial	A.5.15 A.5.16 A.8.2+5	Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, no es una correspondencia
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
4.1.2	Roles for protecting data in transit assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
5.1.2	Roles for malware protection assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
5.2.3	Systems without anti-malware periodically re-evaluated	Relación tangencial	A.8.20 A.8.21 A.8.22+1	Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	Relación tangencial	A.5.1 A.8.20 A.8.21+4	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, PR.IR-01: relacionado, no es una correspondencia
5.3.2.1	Scan frequency set by targeted risk analysis	Relación tangencial	A.5.1 Clause 6.1.2 Clause 6.1.3	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
6.1.2	Roles for secure systems and software assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
6.2.3.1	Manual code reviews approved by someone else	Relación tangencial	A.5.8 A.5.9 A.5.11+5	Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	Relación tangencial	A.5.1 A.5.3 A.5.14+5	Solo comparte subcategorías de CSF GV.PO-02, PR.AA-05: relacionado, no es una correspondencia
7.1.2	Roles for access restriction assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
7.2.5.1	System and application account access periodically reviewed	Relación tangencial	A.5.1 A.5.3 A.5.14+5	Solo comparte subcategorías de CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05: relacionado, no es una correspondencia
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	Relación tangencial	A.5.1 A.5.3 A.5.14+5	Solo comparte subcategorías de CSF GV.PO-02, PR.AA-05: relacionado, no es una correspondencia
8.1.2	Roles for identification and authentication assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
8.2.2	Shared or generic accounts only by documented exception	Relación tangencial	A.7.4 A.8.2 A.8.3+3	Solo comparte subcategorías de CSF DE.CM-03, PR.AA-02: relacionado, no es una correspondencia
8.2.5	Access revoked immediately on termination	Relación tangencial	A.5.19 A.5.20 A.5.21+5	Solo comparte subcategorías de CSF GV.SC-10: relacionado, no es una correspondencia
8.2.6	Inactive user accounts disabled within 90 days	Relación tangencial	A.5.1 A.5.3 A.5.14+5	Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia
8.2.8	Re-authentication after 15 minutes idle	Relación tangencial	A.5.15 A.5.3 A.5.10+5	Solo comparte subcategorías de CSF PR.AA-03, PR.DS-10: relacionado, no es una correspondencia
8.3.5	First-use and reset passwords unique and changed	Relación tangencial	A.8.2 A.8.3 A.8.5	Solo comparte subcategorías de CSF PR.AA-02: relacionado, no es una correspondencia
8.3.6	Minimum password length and complexity	Relación tangencial	A.5.15 A.5.16 A.5.17+2	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
8.3.7	Recent passwords cannot be reused	Relación tangencial	A.5.15 A.5.16 A.5.17+2	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
8.3.8	Authentication guidance communicated to users	Relación tangencial	A.5.15 A.5.16 A.5.17+2	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
8.3.9	Password-only access: change every 90 days or analyse risk	Relación tangencial	A.5.15 A.5.16 A.5.17+2	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
8.3.10	Service providers give customers password guidance	Relación tangencial	A.5.15 A.5.16 A.5.17+2	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
8.3.10.1	Service provider customer passwords: rotation or analysis	Relación tangencial	A.5.15 A.5.16 A.5.17+2	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
8.6.2	No hard-coded passwords for system accounts	Relación tangencial	A.5.15 A.5.16 A.5.18+2	Solo comparte subcategorías de CSF PR.AA-01: relacionado, no es una correspondencia
8.6.3	System account passwords protected and changed	Relación tangencial	A.5.1 Clause 6.1.3 A.5.15+5	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01: relacionado, no es una correspondencia
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	Relación tangencial	A.5.1 A.5.31 A.5.32+5	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
9.1.2	Roles for physical security assigned	Relación tangencial	A.5.2 A.5.3 A.7.5+5	Solo comparte subcategorías de CSF GV.RR-02, PR.IR-02: relacionado, no es una correspondencia
9.2.4	Consoles in sensitive areas locked when unattended	Relación tangencial	A.5.15 A.5.16 A.5.17+5	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
9.4.1.2	Security of offline backup location reviewed annually	Relación tangencial	A.8.13 A.7.4	Solo comparte subcategorías de CSF PR.DS-11, RC.RP-03, DE.CM-02: relacionado, no es una correspondencia
9.4.6	Hard-copy media destroyed when no longer needed	Relación tangencial	A.5.20 Clause 4.2 A.5.1+5	Solo comparte subcategorías de CSF GV.OC-03, GV.SC-10, PR.DS-01: relacionado, no es una correspondencia
9.4.7	Electronic media destroyed or made unrecoverable	Relación tangencial	A.5.20 A.8.13 Clause 4.2+5	Solo comparte subcategorías de CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11: relacionado, no es una correspondencia
9.5.1.1	Inventory of POI devices kept	Relación tangencial	A.5.9 A.5.19 A.5.20+5	Solo comparte subcategorías de CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09: relacionado, no es una correspondencia
9.5.1.2	POI devices inspected for tampering	Relación tangencial	A.7.4 A.5.9 A.5.19+5	Solo comparte subcategorías de CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: relacionado, no es una correspondencia
9.5.1.2.1	Inspection frequency set by targeted risk analysis	Relación tangencial	A.5.1 Clause 6.1.2 Clause 6.1.3+5	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07: relacionado, no es una correspondencia
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
10.1.2	Roles for logging and monitoring assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
10.2.2	Log entries record who, what, when, where and outcome	Relación tangencial	A.5.25 A.5.27 A.5.28	Solo comparte subcategorías de CSF RS.AN-03, RS.AN-07: relacionado, no es una correspondencia
10.3.1	Read access to logs limited to need	Relación tangencial	A.5.26 A.5.28 A.8.15+1	Solo comparte subcategorías de CSF DE.AE-06, RS.AN-06, PR.PS-04: relacionado, no es una correspondencia
10.3.3	Logs promptly backed up to a central server	Relación tangencial	A.5.28 A.8.15 A.5.24+4	Solo comparte subcategorías de CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…: relacionado, no es una correspondencia
10.3.4	File-integrity monitoring on logs	Relación tangencial	A.5.24 A.5.25 A.5.28+5	Solo comparte subcategorías de CSF DE.AE-02, RS.AN-06: relacionado, no es una correspondencia
10.4.2.1	Review frequency set by targeted risk analysis	Relación tangencial	A.5.1 Clause 6.1.3 A.5.9+5	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05: relacionado, no es una correspondencia
10.6.3	Time settings protected from change	Relación tangencial	A.8.15 A.8.17	Solo comparte subcategorías de CSF PR.PS-04: relacionado, no es una correspondencia
10.7.1	Service providers detect security control failures	Relación tangencial	A.5.1 A.5.19 Clause 9.1+5	Solo comparte subcategorías de CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03: relacionado, no es una correspondencia
10.7.2	Critical security control failures detected and reported	Relación tangencial	A.5.1 A.5.19 Clause 9.1+5	Solo comparte subcategorías de CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…: relacionado, no es una correspondencia
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	Relación tangencial	A.5.1 A.5.31 A.5.32+2	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
11.1.2	Roles for security testing assigned	Relación tangencial	A.5.2 A.5.3 Clause 7.2	Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia
11.2.1	Wireless access points detected and unauthorised ones handled	Relación tangencial	A.8.15 A.8.16 A.8.20+3	Solo comparte subcategorías de CSF DE.CM-01, PR.IR-01: relacionado, no es una correspondencia
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	Relación tangencial	A.5.1 Clause 6.1.2 Clause 6.1.3+2	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, ID.RA-05: relacionado, no es una correspondencia
11.4.4	Penetration test findings corrected and retested	Relación tangencial	A.5.19 A.5.1 A.5.35+5	Solo comparte subcategorías de CSF GV.OV-02, GV.OV-03, ID.IM-02: relacionado, no es una correspondencia
11.6.1	Payment page changes and tampering detected	Relación tangencial	A.5.19 A.5.1 A.5.20+5	Solo comparte subcategorías de CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: relacionado, no es una correspondencia
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	Relación tangencial	A.5.1 A.8.32 Clause 6.1.2+1	Solo comparte subcategorías de CSF GV.RM-06, ID.RA-07: relacionado, no es una correspondencia
12.3.3	Cipher suites and protocols reviewed annually	Relación tangencial	A.5.1 A.5.3 A.5.10+5	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, PR.DS-02: relacionado, no es una correspondencia
12.3.4	Hardware and software technologies reviewed annually	Relación tangencial	A.5.19 A.5.1 A.5.20+5	Solo comparte subcategorías de CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…: relacionado, no es una correspondencia
12.4.2.1	Service providers: quarterly review results documented	Relación tangencial	A.5.1 A.5.19 A.5.35+5	Solo comparte subcategorías de CSF GV.OV-01, GV.OV-02, ID.IM-01: relacionado, no es una correspondencia
12.5.3	Service providers review scope after organisational change	Relación tangencial	A.5.1 A.5.19 Clause 6.1.3+5	Solo comparte subcategorías de CSF GV.OV-02, GV.RM-03, GV.RM-05: relacionado, no es una correspondencia
12.9.1	Service providers acknowledge responsibilities to customers	Relación tangencial	A.5.19 A.5.20 A.5.31+5	Solo comparte subcategorías de CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: relacionado, no es una correspondencia
12.9.2	Service providers support customer compliance requests	Relación tangencial	A.5.19 A.5.20 A.5.31+5	Solo comparte subcategorías de CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: relacionado, no es una correspondencia
12.10.4.1	Training frequency set by targeted risk analysis	Relación tangencial	A.5.1 A.5.2 A.6.3+3	Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, PR.AT-02: relacionado, no es una correspondencia
12.10.5	Plan covers alerts from security monitoring	Relación tangencial	A.5.26	Solo comparte subcategorías de CSF GV.SC-08: relacionado, no es una correspondencia
12.10.7	Procedures for PAN found where it shouldn't be	Relación tangencial	A.5.9	Solo comparte subcategorías de CSF ID.AM-07: relacionado, no es una correspondencia

Correspondencia (77)

PCI DSS	Requisito	Coincidencia	ISO 27001	Evidencia
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	Editorial	A.8.20 A.8.21 A.8.22	Mismo tema: Cortafuegos / Segmentación de red (selección editorial)
1.2.3	Accurate network diagram maintained	Correspondencia	A.8.20 A.8.21 A.8.22	Mismo tema: Cortafuegos / Segmentación de red
1.3.1	Inbound traffic to the CDE restricted	Editorial	A.8.20 A.8.21 A.8.22	Mismo tema: Cortafuegos / Segmentación de red (selección editorial)
1.4.1	Network controls between trusted and untrusted networks	Editorial	A.8.20 A.8.21 A.8.22	Mismo tema: Cortafuegos / Segmentación de red (selección editorial)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	Correspondencia	A.8.9	Mismo tema: Configuración segura
2.2.2	Vendor default accounts managed or removed	Correspondencia	A.8.9	Mismo tema: Configuración segura
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	Correspondencia	A.5.14 A.8.10 A.8.11	Mismo tema: Protección de datos
3.3.1	Sensitive authentication data not kept after authorisation	Correspondencia	A.5.14 A.8.10 A.8.11	Mismo tema: Protección de datos
3.4.1	PAN masked when displayed	Correspondencia	A.5.14 A.8.10 A.8.11	Mismo tema: Protección de datos
3.4.2	PAN copying prevented over remote-access technologies	Editorial	A.8.12	Mismo tema: DLP (selección editorial)
3.5.1	PAN rendered unreadable wherever stored	Correspondencia	A.8.24	Mismo tema: Cifrado
3.6.1	Procedures protect keys that secure stored account data	Correspondencia	A.8.24	Mismo tema: Cifrado
3.7.1	Key management: strong key generation	Editorial	A.8.24	Mismo tema: Cifrado (selección editorial)
3.7.4	Key management: key changes at end of cryptoperiod	Editorial	A.8.24	Mismo tema: Cifrado (selección editorial)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	Correspondencia	A.8.24	Mismo tema: Cifrado
4.2.1.1	Inventory of trusted keys and certificates kept	Editorial	A.8.24	Mismo tema: Cifrado (selección editorial)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	Correspondencia	A.8.19 A.8.1 A.8.7	Mismo tema: Protección de endpoints
5.2.2	Anti-malware detects, removes or contains known malware	Correspondencia	A.8.19 A.8.1 A.8.7	Mismo tema: Protección de endpoints
5.3.2	Periodic scans or continuous behavioural analysis	Correspondencia	A.8.19 A.8.1 A.8.7	Mismo tema: Protección de endpoints
5.4.1	Mechanisms to detect and protect against phishing	Editorial	A.5.14	Mismo tema: Seguridad del correo electrónico (selección editorial)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	Editorial	A.8.25 A.8.26 A.8.28+1	Mismo tema: Desarrollo seguro (selección editorial)
6.2.2	Developers trained in secure software development	Correspondencia	A.8.25 A.8.26 A.8.28+1	Mismo tema: Desarrollo seguro
6.2.3	Custom code reviewed before release	Correspondencia	A.8.5 A.8.25 A.8.26+2	Mismo tema: Seguridad de APIs, Desarrollo seguro
6.2.4	Coding techniques prevent common software attacks	Editorial	A.8.5 A.8.26	Mismo tema: Seguridad de APIs (selección editorial)
6.3.1	Vulnerabilities identified and risk-ranked	Correspondencia	A.5.7 A.8.8	Mismo tema: Inteligencia de amenazas, Gestión de vulnerabilidades, Gestión de parches
6.3.2	Inventory of custom software and its components	Correspondencia	A.5.9 A.5.11 A.5.19+2	Mismo tema: Gestión de activos, Riesgo de la cadena de suministro
6.3.3	Security patches installed promptly	Correspondencia	A.8.8	Mismo tema: Gestión de parches
6.4.1	Public web applications protected against attacks	Editorial	A.8.26	Mismo tema: Seguridad web (selección editorial)
6.4.2	Automated solution blocks attacks on public web apps	Editorial	A.8.20	Mismo tema: WAF (selección editorial)
6.4.3	Payment page scripts authorised and integrity-checked	Editorial	A.8.26	Mismo tema: Seguridad web (selección editorial)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	Correspondencia	A.5.15 A.5.16 A.5.18+3	Mismo tema: Control de acceso, Confianza cero
7.2.2	Access assigned by job function and least privilege	Correspondencia	A.5.15 A.5.16 A.5.18+3	Mismo tema: Control de acceso
7.2.4	User accounts and privileges reviewed every six months	Correspondencia	A.5.15 A.5.16 A.5.18+1	Mismo tema: Control de acceso
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	Correspondencia	A.5.15 A.5.16 A.5.18+1	Mismo tema: Control de acceso
8.3.1	User and admin access requires an authentication factor	Correspondencia	A.5.15 A.8.5 A.8.22	Mismo tema: Confianza cero
8.4.1	MFA for non-console administrative access to the CDE	Editorial	A.8.5	Mismo tema: Autenticación multifactor (selección editorial)
8.4.2	MFA for all access into the CDE	Editorial	A.8.5	Mismo tema: Autenticación multifactor (selección editorial)
8.4.3	MFA for remote network access	Editorial	A.8.5	Mismo tema: Autenticación multifactor (selección editorial)
8.5.1	MFA systems configured to resist misuse	Editorial	A.8.5	Mismo tema: Autenticación multifactor (selección editorial)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	Editorial	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física (selección editorial)
9.2.1.1	Access to sensitive areas monitored by camera or access control	Editorial	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física (selección editorial)
9.2.3	Physical access to network hardware restricted	Correspondencia	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física
9.3.1	Personnel physical access authorised and managed	Editorial	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física (selección editorial)
9.3.1.1	Sensitive-area access authorised and revoked promptly	Correspondencia	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física
9.3.2	Visitor access authorised, escorted and identifiable	Editorial	A.7.1 A.7.2 A.7.3+6	Mismo tema: Seguridad física (selección editorial)
9.4.1.1	Offline backup media stored securely	Correspondencia	A.8.13	Mismo tema: Copias de seguridad y recuperación
9.4.2	Media classified by data sensitivity	Editorial	A.5.12 A.5.13	Mismo tema: Clasificación de datos (selección editorial)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	Correspondencia	A.6.1 A.6.4 A.8.15+2	Mismo tema: Amenaza interna, Registro y auditoría
10.3.2	Logs protected from modification	Correspondencia	A.5.28 A.8.15 A.8.17	Mismo tema: Análisis forense, Registro y auditoría
10.4.1	Security event and critical logs reviewed daily	Correspondencia	A.5.25 A.8.16	Mismo tema: SIEM / SOC, Monitoreo cont.
10.4.1.1	Automated mechanisms for log review	Editorial	A.8.16	Mismo tema: Detección de anomalías (selección editorial)
10.5.1	Audit logs retained 12 months, three immediately available	Editorial	A.8.15 A.8.17	Mismo tema: Registro y auditoría (selección editorial)
10.6.1	System clocks synchronised	Correspondencia	A.8.15 A.8.17	Mismo tema: Registro y auditoría
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	Correspondencia	A.8.8	Mismo tema: Gestión de vulnerabilidades
11.3.2	External ASV scans every three months	Correspondencia	A.8.8	Mismo tema: Gestión de vulnerabilidades
11.5.1	Intrusion detection or prevention on network traffic	Editorial	A.8.16	Mismo tema: Detección de intrusiones (selección editorial)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	Correspondencia	A.5.1 A.5.37 Clause 5.2	Mismo tema: Política de gobernanza
12.1.2	Security policy reviewed at least annually	Correspondencia	A.5.1 A.5.37 Clause 5.2	Mismo tema: Política de gobernanza
12.1.3	Security roles and responsibilities defined	Correspondencia	A.5.2 A.5.4	Mismo tema: Funciones y responsabilidades
12.1.4	Executive responsibility for information security assigned	Correspondencia	A.5.2 A.5.4	Mismo tema: Funciones y responsabilidades
12.3.1	Targeted risk analysis for flexible-frequency requirements	Correspondencia	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	Mismo tema: Gestión de riesgos, Evaluación de riesgos
12.4.2	Service providers: quarterly reviews of operational tasks	Correspondencia	A.5.31 Clause 9.1 A.5.36	Mismo tema: Cumplimiento
12.5.1	Inventory of in-scope system components	Correspondencia	A.5.9 A.5.11 A.7.14	Mismo tema: Gestión de activos
12.5.2	PCI DSS scope confirmed annually and on change	Correspondencia	Clause 4.1 Clause 4.2	Mismo tema: Entorno empresarial
12.6.1	Formal security awareness programme	Correspondencia	A.6.3 Clause 7.3	Mismo tema: Concienciación y formación
12.6.3	Awareness training on hire and at least annually	Correspondencia	A.6.3 Clause 7.3	Mismo tema: Concienciación y formación
12.7.1	Personnel screened before hire	Correspondencia	A.6.1 A.6.4 A.8.16	Mismo tema: Amenaza interna
12.8.1	List of third-party service providers kept	Correspondencia	A.5.19 A.5.20 A.5.21+2	Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores
12.8.2	Written agreements with service providers	Correspondencia	A.5.19 A.5.20 A.5.22	Mismo tema: Gestión de riesgos de proveedores
12.8.3	Due diligence before engaging service providers	Correspondencia	A.5.19 A.5.20 A.5.22	Mismo tema: Gestión de riesgos de proveedores
12.8.4	Service provider compliance monitored annually	Correspondencia	A.5.19 A.5.20 A.5.22	Mismo tema: Gestión de riesgos de proveedores
12.8.5	Responsibilities split with each provider documented	Correspondencia	A.5.19 A.5.20 A.5.22+1	Mismo tema: Gestión de riesgos de proveedores
12.10.1	Incident response plan ready to activate	Correspondencia	A.5.5 A.5.24 A.5.25+5	Mismo tema: Notificación, Respuesta a incidentes
12.10.2	Incident response plan reviewed and tested annually	Correspondencia	A.5.24 A.5.25 A.5.26	Mismo tema: Respuesta a incidentes
12.10.3	Incident response staff available around the clock	Correspondencia	A.5.24 A.5.25 A.5.26	Mismo tema: Respuesta a incidentes
12.10.4	Incident response staff trained	Correspondencia	A.5.24 A.5.25 A.5.26	Mismo tema: Respuesta a incidentes
12.10.6	Plan updated from lessons learned and industry changes	Correspondencia	A.5.27 Clause 10.1	Mismo tema: Lecciones aprendidas

Tiene PCI DSS → necesita ISO 27001

123 req.

76 asignados · · 10 sin asignación Abrir en vista de brechas →

De los 123 requisitos de ISO/IEC 27001:2022, 76 se corresponden con algo en PCI DSS, 37 solo guardan una relación tangencial y 10 no tienen correspondencia en nuestros datos.

Probablemente trabajo nuevo: requisitos de ISO 27001 sin correspondencia con PCI DSS (10)

ISO 27001	Requisito	Coincidencia	PCI DSS	Evidencia
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 5.1	Leadership and commitment	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 6.2	Information security objectives and planning to achieve them	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 6.3	Planning of changes	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 7.5.1	General	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 7.5.2	Creating and updating	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 7.5.3	Control of documented information	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 9.2.1	General	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 9.2.2	Internal audit programme	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.
Clause 10.2	Nonconformity and corrective action	Sin correspondencia en nuestros datos	—	Sin correspondencia con PCI DSS en nuestros datos.

Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (37)

ISO 27001	Requisito	Coincidencia	PCI DSS	Evidencia
A.5 Organizational controls · 9
A.5.3	Segregation of duties	Relación tangencial	7.2.2 12.1.3 1.1.2+5	Solo comparte subcategorías de CSF PR.AA-05, PR.DS-10, GV.RR-02: relacionado, no es una correspondencia
A.5.6	Contact with special interest groups	Relación tangencial	12.10.6 10.7.1 10.7.2+5	Solo comparte subcategorías de CSF GV.OV-01, RS.CO-03: relacionado, no es una correspondencia
A.5.8	Information security in project management	Relación tangencial	1.2.3 1.2.4 6.2.1+5	Solo comparte subcategorías de CSF GV.OC-05, ID.AM-08: relacionado, no es una correspondencia
A.5.10	Acceptable use of information and other associated assets	Relación tangencial	2.3.1 3.2.1 3.3.1+5	Solo comparte subcategorías de CSF PR.DS-02, PR.DS-10, PR.DS-01: relacionado, no es una correspondencia
A.5.17	Authentication information	Relación tangencial	2.2.2 2.3.1 3.5.1.3+5	Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia
A.5.32	Intellectual property rights	Relación tangencial	1.1.1 2.1.1 3.1.1+5	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
A.5.33	Protection of records	Relación tangencial	3.3.1 3.5.1 3.5.1.3+5	Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia
A.5.34	Privacy and protection of PII	Relación tangencial	1.1.1 2.1.1 3.1.1+5	Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia
A.5.35	Independent review of information security	Relación tangencial	11.4.4 12.3.4 12.4.2+5	Solo comparte subcategorías de CSF GV.OV-02, ID.IM-02, ID.IM-01: relacionado, no es una correspondencia
A.6 People controls · 4
A.6.2	Terms and conditions of employment	Relación tangencial	7.2.2 2.3.1 3.2.1+5	Solo comparte subcategorías de CSF GV.RR-04, PR.DS-10, PR.DS-02: relacionado, no es una correspondencia
A.6.5	Responsibilities after termination or change of employment	Relación tangencial	7.2.2 2.3.1 3.2.1+5	Solo comparte subcategorías de CSF GV.RR-04, PR.DS-10, PR.DS-02: relacionado, no es una correspondencia
A.6.6	Confidentiality or non-disclosure agreements	Relación tangencial	7.2.2 8.2.5 9.3.1.1+4	Solo comparte subcategorías de CSF GV.RR-04: relacionado, no es una correspondencia
A.6.7	Remote working	Relación tangencial	7.2.2 12.1.3 8.2.5+5	Solo comparte subcategorías de CSF GV.RR-04, PR.AA-05, GV.PO-01: relacionado, no es una correspondencia
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	Relación tangencial	3.3.1 3.5.1 3.5.1.3+5	Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia
A.7.9	Security of assets off-premises	Relación tangencial	3.3.1 3.5.1 3.5.1.3+5	Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia
A.7.10	Storage media	Relación tangencial	3.3.1 3.5.1 3.5.1.3+5	Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia
A.7.13	Equipment maintenance	Relación tangencial	6.2.1 6.2.2 6.2.3+5	Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia
A.8 Technological controls · 9
A.8.4	Access to source code	Relación tangencial	7.2.2 2.3.1 3.2.1+5	Solo comparte subcategorías de CSF PR.AA-05, PR.DS-10, PR.DS-02: relacionado, no es una correspondencia
A.8.6	Capacity management	Relación tangencial	5.2.1 5.2.2 5.3.2+5	Solo comparte subcategorías de CSF DE.CM-09: relacionado, no es una correspondencia
A.8.23	Web filtering	Relación tangencial	1.2.3 1.2.4 5.2.1+5	Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia
A.8.27	Secure system architecture and engineering principles	Relación tangencial	12.10.1 12.10.2 12.10.6	Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia
A.8.30	Outsourced development	Relación tangencial	7.2.5.1 10.7.2 11.3.1+5	Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia
A.8.31	Separation of development, test and production environments	Relación tangencial	6.2.2 6.2.3 6.3.2+5	Solo comparte subcategorías de CSF PR.PS-06: relacionado, no es una correspondencia
A.8.32	Change management	Relación tangencial	12.3.1 7.2.5.1 8.6.3+5	Solo comparte subcategorías de CSF GV.OV-03, ID.RA-07: relacionado, no es una correspondencia
A.8.33	Test information	Relación tangencial	3.3.1 3.5.1 3.5.1.3+5	Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia
A.8.34	Protection of information systems during audit testing	Relación tangencial	7.2.5.1 10.7.2 11.3.1+5	Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	Relación tangencial	12.1.4 12.8.1 12.8.5+2	Solo comparte subcategorías de CSF GV.OC-02: relacionado, no es una correspondencia
Clause 5.3	Organizational roles, responsibilities and authorities	Relación tangencial	12.1.4 12.8.3 12.8.4+1	Solo comparte subcategorías de CSF GV.SC-02: relacionado, no es una correspondencia
Clause 7.1	Resources	Relación tangencial	12.1.4 12.10.3	Solo comparte subcategorías de CSF GV.RR-03: relacionado, no es una correspondencia
Clause 7.2	Competence	Relación tangencial	12.1.3 12.1.4 1.1.2+5	Solo comparte subcategorías de CSF GV.RR-01, GV.RR-02, GV.RR-03: relacionado, no es una correspondencia
Clause 7.4	Communication	Relación tangencial	12.10.1 12.8.2 12.10.3+3	Solo comparte subcategorías de CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: relacionado, no es una correspondencia
Clause 8.1	Operational planning and control	Relación tangencial	1.2.3 1.2.4 6.3.1+5	Solo comparte subcategorías de CSF GV.SC-01, RC.RP-04, GV.SC-03: relacionado, no es una correspondencia
Clause 8.2	Information security risk assessment	Relación tangencial	12.1.1 12.1.4 12.8.1+3	Solo comparte subcategorías de CSF GV.OC-01, GV.OC-02: relacionado, no es una correspondencia
Clause 8.3	Information security risk treatment	Relación tangencial	12.1.1 12.1.4 12.8.1+3	Solo comparte subcategorías de CSF GV.OC-01, GV.OC-02: relacionado, no es una correspondencia
Clause 9.3.1	General	Relación tangencial	2.2.1 2.2.2	Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia
Clause 9.3.2	Management review inputs	Relación tangencial	2.2.1 2.2.2	Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia
Clause 9.3.3	Management review results	Relación tangencial	2.2.1 2.2.2	Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia

Correspondencia (76)

ISO 27001	Requisito	Coincidencia	PCI DSS	Evidencia
A.5 Organizational controls · 28
A.5.1	Policies for information security	Correspondencia	12.1.1 12.1.2	Mismo tema: Política de gobernanza
A.5.2	Information security roles and responsibilities	Correspondencia	12.1.3 12.1.4	Mismo tema: Funciones y responsabilidades
A.5.4	Management responsibilities	Correspondencia	12.1.3 12.1.4	Mismo tema: Funciones y responsabilidades
A.5.5	Contact with authorities	Correspondencia	12.10.1	Mismo tema: Notificación
A.5.7	Threat intelligence	Correspondencia	6.3.1	Mismo tema: Inteligencia de amenazas
A.5.9	Inventory of information and other associated assets	Correspondencia	6.3.2 12.5.1	Mismo tema: Gestión de activos
A.5.11	Return of assets	Correspondencia	6.3.2 12.5.1	Mismo tema: Gestión de activos
A.5.12	Classification of information	Editorial	9.4.2	Mismo tema: Clasificación de datos (selección editorial)
A.5.13	Labelling of information	Editorial	9.4.2	Mismo tema: Clasificación de datos (selección editorial)
A.5.14	Information transfer	Correspondencia	3.2.1 3.3.1 3.4.1+1	Mismo tema: Protección de datos
A.5.15	Access control	Correspondencia	7.2.1 7.2.2 7.2.4+2	Mismo tema: Control de acceso, Confianza cero
A.5.16	Identity management	Correspondencia	7.2.1 7.2.2 7.2.4+1	Mismo tema: Control de acceso
A.5.18	Access rights	Correspondencia	7.2.1 7.2.2 7.2.4+1	Mismo tema: Control de acceso
A.5.19	Information security in supplier relationships	Correspondencia	6.3.2 12.8.1 12.8.2+3	Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores
A.5.20	Addressing information security within supplier agreements	Correspondencia	12.8.1 12.8.2 12.8.3+2	Mismo tema: Gestión de riesgos de proveedores
A.5.21	Managing information security in the ICT supply chain	Correspondencia	6.3.2 12.8.1	Mismo tema: Riesgo de la cadena de suministro
A.5.22	Monitoring, review and change management of supplier services	Correspondencia	12.8.1 12.8.2 12.8.3+2	Mismo tema: Gestión de riesgos de proveedores
A.5.23	Information security for use of cloud services	Correspondencia	12.8.1 12.8.5	Mismo tema: Seguridad en la nube
A.5.24	Information security incident management planning and preparation	Correspondencia	12.10.1 12.10.2 12.10.3+1	Mismo tema: Respuesta a incidentes
A.5.25	Assessment and decision on information security events	Correspondencia	10.4.1 12.10.1 12.10.2+2	Mismo tema: SIEM / SOC, Respuesta a incidentes
A.5.26	Response to information security incidents	Correspondencia	12.10.1 12.10.2 12.10.3+1	Mismo tema: Respuesta a incidentes, Mitigación
A.5.27	Learning from information security incidents	Correspondencia	12.10.6	Mismo tema: Lecciones aprendidas
A.5.28	Collection of evidence	Correspondencia	10.3.2	Mismo tema: Análisis forense
A.5.29	Information security during disruption	Correspondencia	12.10.1	Mismo tema: Planificación de la recuperación, Continuidad del negocio
A.5.30	ICT readiness for business continuity	Correspondencia	12.10.1	Mismo tema: Planificación de la recuperación, Continuidad del negocio, Recuperación ante desastres
A.5.31	Legal, statutory, regulatory and contractual requirements	Correspondencia	12.4.2	Mismo tema: Cumplimiento
A.5.36	Compliance with policies, rules and standards for information security	Editorial	12.4.2	Mismo tema: Cumplimiento (selección editorial)
A.5.37	Documented operating procedures	Correspondencia	12.1.1 12.1.2	Mismo tema: Política de gobernanza
A.6 People controls · 4
A.6.1	Screening	Correspondencia	10.2.1 12.7.1	Mismo tema: Amenaza interna
A.6.3	Information security awareness, education and training	Correspondencia	12.6.1 12.6.3	Mismo tema: Concienciación y formación
A.6.4	Disciplinary process	Correspondencia	10.2.1 12.7.1	Mismo tema: Amenaza interna
A.6.8	Information security event reporting	Correspondencia	12.10.1	Mismo tema: Notificación
A.7 Physical controls · 10
A.7.1	Physical security perimeters	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.2	Physical entry	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.3	Securing offices, rooms and facilities	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.4	Physical security monitoring	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.5	Protecting against physical and environmental threats	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.6	Working in secure areas	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.8	Equipment siting and protection	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.11	Supporting utilities	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.12	Cabling security	Correspondencia	9.2.3 9.3.1.1 9.2.1+3	Mismo tema: Seguridad física
A.7.14	Secure disposal or re-use of equipment	Correspondencia	6.3.2 12.5.1	Mismo tema: Gestión de activos
A.8 Technological controls · 25
A.8.1	User endpoint devices	Editorial	5.2.1 5.2.2 5.3.2	Mismo tema: Protección de endpoints (selección editorial)
A.8.2	Privileged access rights	Correspondencia	7.2.2	Mismo tema: Acceso privilegiado
A.8.3	Information access restriction	Correspondencia	7.2.1 7.2.2 7.2.4+1	Mismo tema: Control de acceso
A.8.5	Secure authentication	Correspondencia	6.2.3 7.2.1 8.3.1+5	Mismo tema: Seguridad de APIs, Confianza cero
A.8.7	Protection against malware	Editorial	5.2.1 5.2.2 5.3.2	Mismo tema: Protección de endpoints (selección editorial)
A.8.8	Management of technical vulnerabilities	Correspondencia	6.3.1 6.3.3 11.3.1+1	Mismo tema: Gestión de vulnerabilidades, Gestión de parches
A.8.9	Configuration management	Correspondencia	2.2.1 2.2.2	Mismo tema: Configuración segura
A.8.10	Information deletion	Correspondencia	3.2.1 3.3.1 3.4.1	Mismo tema: Protección de datos
A.8.11	Data masking	Correspondencia	3.2.1 3.3.1 3.4.1	Mismo tema: Protección de datos
A.8.12	Data leakage prevention	Editorial	3.4.2	Mismo tema: DLP (selección editorial)
A.8.13	Information backup	Correspondencia	9.4.1.1	Mismo tema: Copias de seguridad y recuperación
A.8.14	Redundancy of information processing facilities	Correspondencia	12.10.1	Mismo tema: Continuidad del negocio, Recuperación ante desastres
A.8.15	Logging	Correspondencia	10.2.1 10.3.2 10.6.1+1	Mismo tema: Registro y auditoría
A.8.16	Monitoring activities	Correspondencia	10.2.1 10.4.1 12.7.1+2	Mismo tema: Amenaza interna, Monitoreo cont., SIEM / SOC
A.8.17	Clock synchronization	Correspondencia	10.2.1 10.3.2 10.6.1+1	Mismo tema: Registro y auditoría
A.8.18	Use of privileged utility programs	Correspondencia	7.2.2	Mismo tema: Acceso privilegiado
A.8.19	Installation of software on operational systems	Correspondencia	5.2.1 5.2.2 5.3.2	Mismo tema: Protección de endpoints
A.8.20	Networks security	Correspondencia	1.2.3 1.2.1 1.3.1+2	Mismo tema: Cortafuegos / Segmentación de red
A.8.21	Security of network services	Correspondencia	1.2.3 1.2.1 1.3.1+1	Mismo tema: Cortafuegos / Segmentación de red
A.8.22	Segregation of networks	Correspondencia	1.2.3 7.2.1 8.3.1+3	Mismo tema: Cortafuegos / Segmentación de red, Confianza cero
A.8.24	Use of cryptography	Correspondencia	3.5.1 3.6.1 4.2.1+3	Mismo tema: Cifrado
A.8.25	Secure development life cycle	Correspondencia	6.2.2 6.2.3 6.2.1	Mismo tema: Desarrollo seguro
A.8.26	Application security requirements	Correspondencia	6.2.2 6.2.3 6.2.1+3	Mismo tema: Desarrollo seguro, Seguridad de APIs
A.8.28	Secure coding	Correspondencia	6.2.2 6.2.3 6.2.1	Mismo tema: Desarrollo seguro
A.8.29	Security testing in development and acceptance	Correspondencia	6.2.2 6.2.3 6.2.1	Mismo tema: Desarrollo seguro
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	Correspondencia	12.5.2	Mismo tema: Entorno empresarial
Clause 4.2	Understanding the needs and expectations of interested parties	Correspondencia	12.5.2	Mismo tema: Entorno empresarial
Clause 5.2	Policy	Correspondencia	12.1.1 12.1.2	Mismo tema: Política de gobernanza
Clause 6.1.1	General	Correspondencia	12.3.1	Mismo tema: Gestión de riesgos
Clause 6.1.2	Information security risk assessment	Correspondencia	12.3.1	Mismo tema: Evaluación de riesgos
Clause 6.1.3	Information security risk treatment	Correspondencia	12.3.1	Mismo tema: Gestión de riesgos, Evaluación de riesgos
Clause 7.3	Awareness	Correspondencia	12.6.1 12.6.3	Mismo tema: Concienciación y formación
Clause 9.1	Monitoring, measurement, analysis and evaluation	Correspondencia	12.4.2	Mismo tema: Cumplimiento
Clause 10.1	Continual improvement	Editorial	12.10.6	Mismo tema: Lecciones aprendidas (selección editorial)

Por tema

Ambos cubren (46):

Política de gobernanza Concienciación y formación Gestión de riesgos Riesgo de la cadena de suministro Funciones y responsabilidades Cumplimiento Gestión de activos Evaluación de riesgos Entorno empresarial Clasificación de datos Gestión de vulnerabilidades Inteligencia de amenazas Control de acceso Autenticación multifactor Cifrado Protección de datos Copias de seguridad y recuperación Acceso privilegiado Cortafuegos / Segmentación de red Protección de endpoints Gestión de parches Configuración segura Desarrollo seguro Seguridad del correo electrónico Seguridad web Confianza cero Seguridad en la nube WAF DLP Monitoreo cont.Registro y auditoría Detección de intrusiones Detección de anomalías SIEM / SOC Respuesta a incidentes Análisis forense Mitigación Notificación Planificación de la recuperación Continuidad del negocio Lecciones aprendidas Recuperación ante desastres Seguridad de APIs Amenaza interna Gestión de riesgos de proveedores Seguridad física

Solo ISO 27001 (4):

Seguridad móvil Seguridad DNS Comunicación Comunicaciones y restauración

Preguntas

¿ISO 27001 sustituye a PCI DSS?

No. Las marcas de tarjetas exigen la validación de PCI DSS independientemente de la certificación ISO. ISO le ayuda a gestionar el programa del que depende el cumplimiento de PCI.

¿PCI DSS es una ley?

No. Es una norma exigible mediante contratos con las marcas de tarjetas y los adquirentes. Algunas jurisdicciones la mencionan en su normativa, pero su autoridad procede de los acuerdos de las redes de pago.

¿Puede un mismo control satisfacer ISO 27001 y PCI DSS?

A menudo, sí, siempre que se implante según los requisitos más específicos de PCI DSS. ISO 27001 acepta cualquier implantación bien justificada, por lo que diseñar según las frecuencias y configuraciones de PCI normalmente satisface ambas.

¿Cuál es más difícil, ISO 27001 o PCI DSS?

PCI DSS es más prescriptiva y técnica dentro de su alcance; ISO 27001 es más amplia y exige un sistema de gestión. Con un entorno de datos de titulares de tarjetas reducido, PCI DSS puede ser la más ligera de las dos.

¿Qué es el nivel de comerciante de PCI DSS?

Las marcas de tarjetas clasifican a los comercios y proveedores de servicios según su volumen anual de transacciones. El nivel determina cómo se valida el cumplimiento: un Informe de Cumplimiento de un QSA para los más grandes, y un Cuestionario de Autoevaluación para la mayoría de los demás.

¿ISO 27001 ayuda en las evaluaciones de PCI DSS?

Sí, especialmente en políticas, evaluación de riesgos, roles, gestión de proveedores y respuesta a incidentes. No sustituye a la evidencia específica de PCI.

¿PCI DSS v4.0.1 exige una evaluación de riesgos como ISO 27001?

No una evaluación de toda la organización con la misma forma. PCI DSS v4.0 introdujo análisis de riesgo específicos para los requisitos cuya frecuencia usted puede establecer, y espera una revisión anual de la criptografía y de las tecnologías, pero la evaluación de riesgos de ISO 27001 es más amplia.

Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.

Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · Relación tangencial solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.