Funciones y responsabilidades
Definir las funciones, responsabilidades y autoridades en ciberseguridad.
Funciones y responsabilidades se define por los resultados de NIST CSF 2.0 GV.RR-01 (Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving); GV.RR-02 (Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced); GV.RR-03 (Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, PCI DSS, 800-53, HIPAA y NIS2. Editorial Con correspondencia editorial en SOC 2, GDPR, DORA y CPS 234. Solo relación tangencial en CIS v8.1. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para CMMC, Essential Eight y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.RR-01GV.RR-02GV.RR-03 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving; Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced; Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Definición del tema | GV.RR-01 GV.RR-02 GV.RR-03 |
| ISO 27001 | A.5.2A.5.4 | Information security roles and responsibilities; Management responsibilities | Correspondencia | A.5.2: via GV.RR-02; NIST 800-53 map: PM-2, PM-29 A.5.4: via GV.RR-01 |
| CIS v8.1 | CIS 14.1CIS 14.9 | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (GV.RR-01, GV.RR-02, GV.RR-03) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| SOC 2 | CC1.3CC1.2CC1.5 | Structures, reporting lines, authorities and responsibilities; Board independence and oversight of internal control; Accountability for internal control responsibilities | Editorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.312.1.4 | Security roles and responsibilities defined; Executive responsibility for information security assigned | Correspondencia | 12.1.3: via GV.RR-01; GV.RR-02 12.1.4: via GV.RR-01; GV.RR-03 |
| CMMC | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CMMC está asignado a este tema en nuestros datos. |
| 800-53 | PM-2PS-9PM-29 | Information Security Program Leadership Role; Position Descriptions; Risk Management Program Leadership Roles | Correspondencia | PM-2: via GV.RR-01; GV.RR-02 PS-9: Position descriptions must state security and privacy roles and responsibilities; NIST links PS-9 only to GV.RR-04 (HR practices), but it is the 800-53 control that writes roles down. PM-29: via GV.RR-01; GV.RR-02 |
| HIPAA | §164.308(a)(2) | Assigned Security Responsibility | Correspondencia | §164.308(a)(2): via NIST HIPAA map: PM-2 |
| GDPR | Art.37(1)Art.39(1) | Designation of the data protection officer; Tasks of the data protection officer | Editorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.2 | Roles, responsibilities and authorities | Correspondencia | 1.2: via GV.RR-02; ENISA ISO map: A.5.2, A.5.4 |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | Art.5(2)(c)Art.6(4)Art.5(3) | Governance and organisation; ICT risk management framework; Governance and organisation | Editorial | Art.5(2)(c): The management body sets clear roles and responsibilities for all ICT-related functions. Art.6(4): An independent control function manages and oversees ICT risk, with segregated risk, control and audit functions. Art.5(3): A role, or a senior manager, monitors arrangements with ICT third-party service providers. |
| CPS 234 | Para 13Para 14 | Board ultimately responsible for information security; Define information security roles and responsibilities | Editorial | Para 13: The Board is ultimately responsible for information security. Para 14: Clearly define information security roles and responsibilities, from the Board to operations. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Funciones y responsabilidades
Unas funciones y responsabilidades de ciberseguridad claramente definidas garantizan la rendición de cuentas y evitan brechas en la cobertura de seguridad en toda la organización. Esto incluye designar a un CISO o responsable equivalente, definir las responsabilidades de seguridad de los propietarios de sistemas, constituir un comité de seguridad y documentar las vías de escalado para las decisiones de seguridad. La claridad de funciones es especialmente crítica durante los incidentes, ya que la ambigüedad sobre la autoridad puede retrasar los tiempos de respuesta y aumentar el alcance del daño.