Preguntas frecuentes
Cómo usar ControlMapping
¿Qué es ControlMapping?
Una referencia gratuita que muestra qué requisitos de seguridad se trasladan entre los marcos 14: NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, RGPD (GDPR), NIST SP 800-53, CIS Controls y Essential Eight. Abarca 1421 requisitos, agrupados en 50 temas de seguridad, y cada enlace muestra su origen.
¿Cómo realizo un análisis de brechas?
Abra el análisis de brechas y elija el marco que tiene y el que necesita. Cada requisito del marco que necesita aparece como correspondencia (según una correspondencia publicada o nuestro criterio editorial), como relación tangencial o como sin correspondencia en nuestros datos. Las filas sin correspondencia son, probablemente, el trabajo nuevo que deberá afrontar. Exporte el resultado como CSV con las columnas de propietario, estado y evidencias en blanco para usarlo como herramienta de seguimiento.
¿Qué significan los símbolos?
Correspondencia (cuadrado relleno): una correspondencia publicada (de NIST, ENISA, CIS o PCI SSC) establece el vínculo. Editorial (cuadrado con contorno): nuestro criterio donde no existe una correspondencia; el motivo siempre se muestra. Relación tangencial (anillo ámbar): ambos solo comparten un resultado de NIST CSF 2.0, así que compruébelo antes de confiar en él. Sin correspondencia en nuestros datos (guion): normalmente es trabajo nuevo, aunque la cobertura es parcial para algunos marcos. Un rombo marca los resultados de CSF que definen un tema. Consulte la metodología.
¿Qué es un tema?
Un asunto de seguridad como Cifrado, Autenticación multifactor o Respuesta a incidentes. Cada tema se define mediante resultados de NIST CSF 2.0 y enumera el requisito de cada marco que lo aborda. Las páginas de tema son la forma más rápida de ver un mismo asunto en todos los marcos.
¿Puedo descargar los datos?
Sí. La página de descargas ofrece la correspondencia completa en CSV, Excel y JSON bajo CC BY 4.0, y en cada archivo se indican las licencias del material de terceros.
¿ControlMapping es gratuito?
Sí: no requiere cuenta ni muro de pago. Los datos pueden reutilizarse libremente bajo CC BY 4.0.
Precisión y fuentes
¿Qué precisión tiene la correspondencia?
Cada identificador de requisito se comprueba con el catálogo oficial del marco al compilar el sitio, y los identificadores retirados hacen fallar la compilación. Los enlaces etiquetados como correspondencia proceden de correspondencias publicadas; los etiquetados como editoriales son nuestro criterio, y cada uno incluye un motivo. Las correspondencias muestran que los requisitos abordan resultados relacionados, no que cumplir uno satisfaga el otro, así que utilice el sitio para planificar y confirme con el texto original antes de basarse en él para una auditoría.
¿De dónde proceden las correspondencias?
NIST (referencias informativas de CSF 2.0, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 Apéndice D), ENISA (NIS2 → ISO 27001 y CSF 2.0), CIS (CIS Controls → CSF 2.0) y PCI SSC (PCI DSS → CSF 2.0). SOC 2, RGPD y Essential Eight no tienen una correspondencia con licencia abierta, por lo que esos enlaces son editoriales. La metodología indica cada fuente y su versión.
¿Por qué no puedo ver el texto completo de los requisitos de ISO, PCI o SOC 2?
Ese texto tiene copyright de ISO, PCI SSC y AICPA. Mostramos los identificadores, los títulos de ISO y nuestros propios resúmenes breves de PCI DSS y SOC 2. Se muestra el texto de NIST, HIPAA, NIS2 y Essential Eight cuando lo permite su licencia.
Encontré un error. ¿Cómo lo notifico?
Use el enlace para notificar errores que aparece en cualquier página de requisito, o consulte la página de información.
Marcos
¿Cuál es la diferencia entre SOC 2 e ISO 27001?
ISO 27001 culmina en un certificado para un sistema de gestión de seguridad de la información, emitido por un organismo de certificación acreditado y válido durante tres años. SOC 2 culmina en un informe: un dictamen de una firma de CPA sobre sus controles, normalmente sobre un periodo de 3 a 12 meses (Tipo II). Sus controles de seguridad se solapan en gran medida; ISO añade el sistema de gestión, y SOC 2 añade los criterios opcionales de disponibilidad, confidencialidad, integridad del procesamiento y privacidad. Consulte ISO 27001 vs SOC 2.
¿Necesito SOC 2 Tipo I o Tipo II?
La mayoría de los clientes piden Tipo II, que comprueba si los controles funcionaron durante un periodo. Tipo I solo cubre el diseño en un momento concreto; es útil como primer paso mientras transcurre el periodo de Tipo II. Consulte la guía de SOC 2.
¿La certificación ISO 27001 cumple con NIS2?
No por sí sola. ENISA asigna cada medida técnica del Reglamento de Ejecución de NIS2 a ISO 27001, por lo que las organizaciones certificadas tienen gran parte del trabajo hecho, pero NIS2 añade plazos de notificación de incidentes (24 horas, 72 horas, un mes), formación y responsabilidad de la dirección, y registro ante la autoridad nacional. Consulte la guía de NIS2.
¿Cuál es la diferencia entre NIST CSF y NIST SP 800-53?
CSF 2.0 describe resultados (106 subcategorías) y es voluntario para la mayoría de las organizaciones. SP 800-53 es un catálogo de controles que permiten alcanzar esos resultados, obligatorio para los sistemas federales de EE. UU. y la base de FedRAMP. NIST publica la correspondencia oficial entre ambos, que este sitio utiliza.
¿Quién necesita CMMC Nivel 2?
Los contratistas y subcontratistas del Departamento de Defensa de EE. UU. que manejan información no clasificada controlada (CUI). El Nivel 2 comprende los 110 requisitos de NIST SP 800-171 Rev 2, evaluados mediante autoevaluación o, para la mayoría de los contratos CUI, por un evaluador externo acreditado (C3PAO).
¿Existe certificación para NIST CSF, HIPAA o Essential Eight?
No hay ninguna oficial. NIST CSF y Essential Eight se evalúan, no se certifican; HIPAA lo hace cumplir la Oficina de Derechos Civiles del HHS. Existen atestaciones de terceros para los tres, pero ninguna es un certificado oficial.