Gestión de parches
Mantenga los sistemas y el software actualizados con parches de seguridad.
Gestión de parches se define por el resultado de NIST CSF 2.0 PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 y NIS2. Editorial Con correspondencia editorial en SOC 2, Essential Eight, DORA y Cyber Essentials. Solo relación tangencial en HIPAA. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para GDPR y CPS 234.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Definición del tema | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | Correspondencia | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | Correspondencia | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | Correspondencia | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | Correspondencia | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | Correspondencia | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.PS-02) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| GDPR | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de GDPR está asignado a este tema en nuestros datos. |
| NIS2 | 6.6 | Security patch management | Correspondencia | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | Editorial | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | CE 3 | Security Update Management | Editorial | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Gestión de parches
La gestión de parches es el proceso sistemático de identificar, probar e implementar actualizaciones de seguridad en sistemas operativos, aplicaciones, firmware y software de terceros para remediar vulnerabilidades conocidas. Los plazos varían según el marco: PCI DSS exige aplicar los parches de seguridad de severidad crítica y alta en un plazo de un mes desde su publicación (6.3.3), Essential Eight fija plazos concretos según el nivel de madurez, y la mayoría de los demás marcos le piden definir plazos basados en el riesgo y probar los parches antes de pasarlos a producción. Las herramientas automatizadas de gestión de parches, combinadas con inventarios de activos precisos, ayudan a garantizar una cobertura completa y a reducir el periodo de exposición a explotaciones conocidas.