Política de gobernanza
Establecer y mantener políticas y procedimientos de gobernanza de ciberseguridad.
Política de gobernanza se define por los resultados de NIST CSF 2.0 GV.PO-01 (Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced); GV.PO-02 (Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, PCI DSS, 800-53, HIPAA y NIS2. Editorial Con correspondencia editorial en SOC 2, GDPR, DORA y CPS 234. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para CIS v8.1, CMMC, Essential Eight y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.PO-01GV.PO-02 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced; Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Definición del tema | GV.PO-01 GV.PO-02 |
| ISO 27001 | A.5.1A.5.37Clause 5.2 | Policies for information security; Documented operating procedures; Policy | Correspondencia | A.5.1: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 A.5.37: via GV.PO-01; NIST 800-53 map: PL-1 Clause 5.2: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 |
| CIS v8.1 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CIS v8.1 está asignado a este tema en nuestros datos. |
| SOC 2 | CC5.3CC1.1 | Control activities deployed through policies and procedures; Commitment to integrity and ethical values | Editorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.112.1.2 | Information security policy established and published; Security policy reviewed at least annually | Correspondencia | 12.1.1: via GV.PO-01 12.1.2: via GV.PO-01; GV.PO-02 |
| CMMC | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CMMC está asignado a este tema en nuestros datos. |
| 800-53 | PM-1PL-1 | Information Security Program Plan; Policy and Procedures | Correspondencia | PM-1: via GV.PO-01; GV.PO-02 PL-1: via GV.PO-01; GV.PO-02 |
| HIPAA | §164.316(a)§164.316(b)(2)(iii) | Policies and Procedures; Updates | Correspondencia | §164.316(a): via NIST HIPAA map: PL-1 §164.316(b)(2)(iii): via NIST HIPAA map: PL-1, PM-1 |
| GDPR | Art.24(2) | Responsibility of the controller | Editorial | Art.24(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.1 | Policy on the security of network and information systems | Correspondencia | 1.1: via GV.PO-01; GV.PO-02; ENISA ISO map: Clause 5.2, A.5.1 |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | Art.5(2)(b)Art.9(4)(a)Art.6(5) | Governance and organisation; Protection and prevention; ICT risk management framework | Editorial | Art.5(2)(b): The management body puts in place policies for the availability, authenticity, integrity and confidentiality of data. Art.9(4)(a): Develop and document an information security policy. Art.6(5): The ICT risk management framework is documented and reviewed at least once a year. |
| CPS 234 | Para 18Para 19 | Maintain an information security policy framework; Policies direct everyone with security obligations | Editorial | Para 18: Maintain an information security policy framework commensurate with exposures to vulnerabilities and threats. Para 19: The policy framework directs everyone with an obligation to maintain information security. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Política de gobernanza
Las políticas de gobernanza de ciberseguridad constituyen la base del programa de seguridad de una organización, al definir las reglas, los estándares y las expectativas sobre la gestión de los riesgos de ciberseguridad. Una gobernanza eficaz incluye establecer una propiedad clara, definir políticas de uso aceptable y crear un marco para la toma de decisiones que alinee los objetivos de seguridad con los objetivos de negocio. Los marcos esperan que las políticas se revisen periódicamente y después de cambios significativos; PCI DSS, por ejemplo, exige una revisión anual de la política de seguridad (12.1.2).