Seguridad web
Proteger las aplicaciones y los servicios web frente a ataques.
Seguridad web se define por los resultados de NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, CMMC y 800-53. Editorial Con correspondencia editorial en CIS v8.1, SOC 2 y PCI DSS. Solo relación tangencial en HIPAA y NIS2. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para GDPR, Essential Eight, DORA, CPS 234 y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Networks and environments are protected from unauthorized logical access and usage | Definición del tema | PR.PS-06 PR.IR-01 |
| ISO 27001 | A.8.26 | Application security requirements | Correspondencia | A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 13.10CIS 16.10CIS 9.3 | Perform Application Layer Filtering; Apply Secure Design Principles in Application Architectures; Maintain and Enforce Network-Based URL Filters | Editorial | CIS 13.10: Application-layer filtering proxies or gateways in front of web traffic (IG3), the CIS equivalent of a WAF-style control. CIS 16.10: Secure design principles in application architectures, applied to web applications. CIS 9.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): network-based URL filters. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Editorial | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.16.4.3 | Public web applications protected against attacks; Payment page scripts authorised and integrity-checked | Editorial | 6.4.1: Public-facing web applications protected against attacks; omitted from NIST's PCI references. 6.4.3: Payment-page scripts managed and authorized; NIST links it to DE.CM-09 rather than these subcategories. |
| CMMC | SC.L2-3.13.1 | Boundary Protection | Correspondencia | SC.L2-3.13.1: via 800-171r3 03.13.01 ↔ PR.IR-01 → SC-7; 800-171r2 Appendix D → SC-7 |
| 800-53 | SC-7SI-10 | Boundary Protection; Information Input Validation | Correspondencia | SC-7: via PR.IR-01 SI-10: Input validation is the core web-application defence; not linked to these subcategories in NIST's references. |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.PS-06, PR.IR-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| GDPR | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de GDPR está asignado a este tema en nuestros datos. |
| NIS2 | 6.26.76.8 | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.PS-06, PR.IR-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de DORA está asignado a este tema en nuestros datos. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Seguridad web
La seguridad web protege las aplicaciones y los servicios expuestos a internet frente a vectores de ataque habituales, como el cross-site scripting (XSS), la inyección SQL, la falsificación de petición en sitios cruzados (CSRF) y los ataques de denegación de servicio distribuida (DDoS). Su implementación implica desplegar cortafuegos de aplicaciones web (WAF), aplicar políticas de seguridad de contenido (CSP), exigir HTTPS en todas las propiedades web y realizar pruebas de penetración periódicas de las aplicaciones web. Las organizaciones también deben implementar cabeceras de seguridad, gestionar de forma proactiva los certificados TLS y mantener un inventario de todas las aplicaciones web y API de acceso público.