Concienciación y formación
Garantizar que el personal esté formado y conozca las políticas de ciberseguridad.
Concienciación y formación se define por los resultados de NIST CSF 2.0 PR.AT-01 (Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind); PR.AT-02 (Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53, HIPAA y NIS2. Editorial Con correspondencia editorial en SOC 2, GDPR y DORA. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para Essential Eight, CPS 234 y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AT-01PR.AT-02 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind; Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Definición del tema | PR.AT-01 PR.AT-02 |
| ISO 27001 | A.6.3Clause 7.3 | Information security awareness, education and training; Awareness | Correspondencia | A.6.3: via PR.AT-01; PR.AT-02; NIST 800-53 map: AT-2, AT-3 Clause 7.3: via PR.AT-01; PR.AT-02; NIST 800-53 map: AT-2 |
| CIS v8.1 | CIS 14.1CIS 14.9CIS 14.2CIS 14.3CIS 14.4CIS 14.5CIS 14.6CIS 14.7CIS 14.8 | Establish and Maintain a Security Awareness Program; Conduct Role-Specific Security Awareness and Skills Training; Train Workforce Members to Recognize Social Engineering Attacks… | Correspondencia | CIS 14.1: via PR.AT-01 CIS 14.9: via PR.AT-02 CIS 14.2: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to recognise social engineering. CIS 14.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on authentication. CIS 14.4: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on data handling. CIS 14.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on causes of unintentional data exposure. CIS 14.6: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to recognise and report incidents. CIS 14.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training to report missing security updates. CIS 14.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): training on the dangers of insecure networks. |
| SOC 2 | CC1.4CC2.2 | Commitment to attracting, developing and retaining competent people; Internal communication of objectives and responsibilities | Editorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.6.112.6.3 | Formal security awareness programme; Awareness training on hire and at least annually | Correspondencia | 12.6.1: via PR.AT-01 12.6.3: via PR.AT-01 |
| CMMC | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Role-Based Risk Awareness; Role-Based Training; Insider Threat Awareness | Correspondencia | AT.L2-3.2.1: via 800-171r3 03.02.01 → AT-2; 800-171r2 Appendix D → AT-2, AT-3 AT.L2-3.2.2: via 800-171r3 03.02.02 ↔ PR.AT-01, PR.AT-02 → AT-3; 800-171r2 Appendix D → AT-2, AT-3 AT.L2-3.2.3: via 800-171r3 03.02.01 → AT-2; 800-171r2 Appendix D → AT-2 |
| 800-53 | AT-2AT-3 | Literacy Training and Awareness; Role-based Training | Correspondencia | AT-2: via PR.AT-01 AT-3: via PR.AT-01; PR.AT-02 |
| HIPAA | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Security Awareness and Training; Security Reminders | Correspondencia | §164.308(a)(5): via NIST HIPAA map: AT-2, AT-3 §164.308(a)(5)(ii)(A): via NIST HIPAA map: AT-2, AT-3 |
| GDPR | Art.39(1)(b) | Tasks of the data protection officer | Editorial | Art.39(1)(b): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 8.18.2 | Awareness raising and basic cyber hygiene practices; Security training | Correspondencia | 8.1: via PR.AT-01; PR.AT-02; ENISA ISO map: Clause 7.3, A.6.3 8.2: via PR.AT-01; ENISA ISO map: A.6.3 |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | Art.13(6)Art.5(4) | Learning and evolving; Governance and organisation | Editorial | Art.13(6): Compulsory ICT security awareness programmes and digital operational resilience training for all staff and senior management. Art.5(4): Management body members keep their knowledge of ICT risk up to date, including through regular training. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Concienciación y formación
La formación en concienciación sobre seguridad es una defensa crítica en la capa humana que reduce el riesgo de ingeniería social, phishing y exposición accidental de datos. Los programas deben abarcar la identificación de intentos de phishing, prácticas seguras de navegación, higiene de contraseñas, procedimientos de notificación de incidentes y responsabilidades de seguridad específicas de cada puesto. PCI DSS exige formación en concienciación en el momento de la contratación y al menos una vez al año, incluido el phishing y la ingeniería social (12.6.3); la mayoría de los demás marcos dejan la frecuencia a criterio de la organización. Las simulaciones de phishing son una forma habitual de medir si la formación funciona.