Glosario
A · C · D · E · F · G · I · M · N · O · P · Q · R · S · T · V · W
- Acreditación
- Reconocimiento formal de que un organismo de certificación es competente para certificar frente a una norma. Para ISO 27001, busque un organismo de certificación acreditado por un organismo nacional de acreditación que pertenezca al Foro Internacional de Acreditación (IAF).
- Análisis de brechas
- Comparación entre lo que ya se hace, o el marco que ya se cumple, y los requisitos de otro marco, para identificar el trabajo pendiente. El análisis de brechas de ControlMapping lo hace requisito por requisito entre cualquier par de marcos.
- Atestación
- Opinión de un profesional independiente sobre una materia, como la opinión de una firma CPA sobre los controles de una empresa en un informe SOC 2. Una atestación no es una certificación: no existe certificado ni nota de aprobación.
- Autenticación
- Proceso de verificación de la identidad de un usuario, dispositivo o sistema. Entre los métodos habituales se encuentran las contraseñas, la autenticación multifactor (MFA), la biometría y los certificados digitales.
- Autorización
- Proceso que determina si un usuario autenticado tiene permiso para acceder a un recurso específico o realizar una acción concreta. Normalmente se implementa mediante control de acceso basado en roles (RBAC) o control de acceso basado en atributos (ABAC).
- C3PAO
- CMMC Third-Party Assessment Organization: organización autorizada para llevar a cabo evaluaciones de certificación CMMC Nivel 2 de contratistas de defensa.
- Cifrado
- Proceso de convertir los datos en una forma codificada (texto cifrado) para impedir el acceso no autorizado. Los datos deben cifrarse en reposo (almacenados), en tránsito (en movimiento por las redes) y, cada vez más, en uso.
- Clasificación de datos
- Proceso de organizar los datos en categorías según su nivel de sensibilidad y el impacto de una divulgación no autorizada. Los niveles habituales incluyen Público, Interno, Confidencial y Restringido.
- Confianza cero
- Modelo de seguridad basado en el principio «nunca confiar, verificar siempre». La confianza cero exige verificación continua de la identidad y la autorización en cada solicitud de acceso, con independencia de la ubicación en la red. Su implementación incluye microsegmentación, proxies con reconocimiento de identidad y comprobaciones del estado del dispositivo.
- Continuidad de negocio
- Capacidad de una organización para seguir prestando sus productos o servicios en niveles predefinidos aceptables tras un incidente disruptivo. La planificación de la continuidad de negocio (BCP) identifica las amenazas y establece procedimientos para garantizar la resiliencia.
- Control
- Salvaguarda o contramedida diseñada para proteger la confidencialidad, la integridad y la disponibilidad de los sistemas de información y los datos. Los controles pueden ser técnicos (cortafuegos, cifrado), administrativos (políticas, formación) o físicos (cerraduras, tarjetas de identificación).
- Control compensatorio
- Medida de seguridad alternativa que se aplica cuando no es posible implementar un control principal. Los controles compensatorios deben cumplir la finalidad del requisito original, ofrecer un nivel de defensa similar y estar documentados.
- Control de acceso
- Medidas de seguridad que regulan quién o qué puede ver o utilizar los recursos de un entorno informático. Los controles de acceso incluyen la autenticación (verificación de la identidad), la autorización (concesión de permisos) y la contabilidad (registro de los accesos).
- Controles complementarios de entidades usuarias (CUEC)
- Controles que un informe SOC 2 indica que los clientes de la organización de servicios deben operar por sí mismos para que los controles descritos funcionen, como la gestión de sus propias cuentas de usuario.
- Correspondencia
- Correspondencia publicada entre los requisitos de dos marcos, como la correspondencia de NIST entre SP 800-53 e ISO 27001. Una correspondencia indica que los requisitos abordan resultados relacionados, no que cumplir uno satisfaga el otro. En este sitio, los enlaces procedentes de correspondencias se etiquetan como correspondencia y se muestran con un cuadrado sólido.
- Correspondencia editorial
- Enlace que ControlMapping establece cuando no existe una correspondencia publicada, siempre con un motivo breve. Se muestra con un cuadrado con contorno. Todos los enlaces de SOC 2, RGPD [GDPR] y Essential Eight de este sitio son editoriales.
- Criterios de los Servicios de Confianza
- Los criterios del AICPA utilizados en los informes SOC 2, en cinco categorías: Seguridad (siempre incluida), Disponibilidad, Confidencialidad, Integridad del procesamiento y Privacidad.
- CUI
- Información no clasificada controlada: información generada o propiedad del gobierno que requiere salvaguardas, pero que no está clasificada. Los requisitos de protección de la CUI se definen en NIST SP 800-171 y se aplican mediante CMMC.
- Datos personales
- En el marco del RGPD [GDPR], cualquier información relativa a una persona física identificada o identificable. Incluye nombres, direcciones de correo electrónico, direcciones IP, datos de localización e identificadores en línea.
- Declaración de aplicabilidad (SoA)
- Documento de ISO 27001 que enumera cada control del Anexo A, indicando si se aplica y por qué: el vínculo entre el tratamiento de riesgos y los controles implantados. Los auditores lo revisan con detenimiento.
- Defensa en profundidad
- Estrategia de seguridad que emplea múltiples capas de controles en todo el sistema de TI. Si una capa falla, las capas adicionales siguen ofreciendo protección. También se conoce como seguridad por capas.
- DLP
- Data Loss Prevention: tecnologías y políticas que detectan y evitan la transmisión no autorizada de datos sensibles fuera de la organización. Las soluciones DLP supervisan el correo electrónico, la web, los endpoints y los servicios en la nube.
- EDR
- Endpoint Detection and Response: soluciones de seguridad desplegadas en los endpoints que supervisan de forma continua las ciberamenazas y responden a ellas. EDR aporta análisis de comportamiento, búsqueda de amenazas y capacidades forenses que van más allá del antivirus tradicional.
- Encargado del tratamiento
- En el marco del RGPD [GDPR], entidad que trata datos personales por cuenta de un responsable del tratamiento. Los encargados deben seguir las instrucciones del responsable e implementar medidas de seguridad adecuadas.
- Entidad cubierta
- En el marco de HIPAA, organización que debe cumplir las Reglas de Privacidad y de Seguridad: planes de salud, cámaras de compensación de servicios sanitarios y prestadores de servicios sanitarios que transmiten información de salud por vía electrónica.
- Entidades esenciales e importantes
- Las dos categorías de NIS2. Ambas deben cumplir las mismas obligaciones de gestión de riesgos y de notificación; las entidades esenciales están sujetas a supervisión proactiva y a multas máximas más elevadas, mientras que las entidades importantes son supervisadas a posteriori.
- ePHI
- Electronic Protected Health Information: información de salud identificable de forma individual que se crea, almacena, transmite o recibe por vía electrónica. La Regla de Seguridad de HIPAA aborda específicamente la protección de la ePHI.
- Especificación de implementación flexible
- Especificación de la Regla de Seguridad de HIPAA que una organización debe evaluar e implementar si resulta razonable y adecuada, o documentar por qué no y adoptar una medida equivalente. No significa que sea opcional. Las especificaciones marcadas como «Required» deben implementarse.
- Evaluación de impacto relativa a la protección de datos (EIPD)
- Proceso exigido por el artículo 35 del RGPD [GDPR] para identificar y minimizar los riesgos para la protección de datos de un proyecto o sistema que probablemente entrañe un alto riesgo para los derechos y libertades de las personas.
- Evaluación de riesgos
- Proceso sistemático de identificación de amenazas y vulnerabilidades, análisis de su probabilidad e impacto potencial, y determinación de las mitigaciones adecuadas. Las evaluaciones de riesgos deben realizarse periódicamente y cada vez que se produzcan cambios significativos.
- FedRAMP
- Federal Risk and Authorization Management Program: programa del gobierno de EE. UU. que ofrece evaluación y autorización de seguridad estandarizadas para los productos y servicios en la nube utilizados por las agencias federales. Se basa en los controles de NIST SP 800-53.
- FISMA
- Federal Information Security Modernization Act: legislación de EE. UU. que exige a las agencias federales desarrollar, documentar e implementar programas de seguridad de la información. El cumplimiento de FISMA se mide frente a los controles de NIST SP 800-53.
- Gestión de parches
- Proceso de identificar, probar y desplegar actualizaciones de software para corregir vulnerabilidades de seguridad. Una gestión de parches eficaz requiere inventarios de activos precisos, priorización basada en riesgos y ANS definidos para los plazos de remediación.
- Gobernanza
- Sistema de políticas, procesos y estructuras organizativas que garantiza que las actividades de ciberseguridad se alineen con los objetivos de negocio y los requisitos normativos. La gobernanza establece la rendición de cuentas, define las funciones y marca la dirección estratégica.
- IDS/IPS
- Intrusion Detection System / Intrusion Prevention System: herramientas de seguridad de red que supervisan el tráfico en busca de actividad sospechosa. El IDS detecta y alerta; el IPS detecta y bloquea. Pueden ser basadas en red (NIDS/NIPS) o basadas en host (HIDS/HIPS).
- Information Security Manual (ISM)
- Marco de ciberseguridad de la Dirección de Señales de Australia (ASD), compuesto por controles y publicado bajo CC BY 4.0. Los requisitos de Essential Eight son controles del ISM etiquetados con niveles de madurez.
- Inteligencia sobre amenazas
- Información sobre ciberamenazas actuales y emergentes recopilada de múltiples fuentes (ISAC, fuentes gubernamentales, plataformas comerciales, OSINT). La inteligencia sobre amenazas orienta las reglas de detección, la priorización de vulnerabilidades y la respuesta a incidentes.
- Marco
- Conjunto estructurado de requisitos u objetivos de seguridad. Algunos son de obligado cumplimiento legal (HIPAA, RGPD [GDPR], NIS2), algunos son contractuales (PCI DSS a través de los acuerdos con las marcas de tarjetas, CMMC a través de contratos de defensa), algunos son voluntarios (NIST CSF, CIS Controls) y algunos pueden certificarse (ISO 27001).
- MFA
- Multi-Factor Authentication: exigir dos o más factores de verificación (algo que se sabe, se tiene o se es) para obtener acceso. Se prefieren los métodos de MFA resistentes al phishing, como FIDO2 y las passkeys, frente a los códigos por SMS.
- Mínimo privilegio
- Principio según el cual los usuarios, sistemas y procesos solo deben recibir los permisos de acceso mínimos necesarios para realizar sus funciones autorizadas. Reduce la superficie de ataque y limita el alcance del daño de las cuentas comprometidas.
- MITRE ATT&CK
- Base de conocimiento de acceso público a nivel mundial sobre tácticas, técnicas y procedimientos (TTP) de adversarios, basada en observaciones del mundo real. Los equipos de seguridad la utilizan para mejorar la detección, la búsqueda de amenazas y los ejercicios de equipo rojo.
- Nivel de madurez
- En Essential Eight de ASD, uno de los tres niveles (del Uno al Tres) de protección creciente frente a adversarios cada vez más capaces. Una estrategia solo alcanza un nivel cuando se cumplen todos los requisitos de ese nivel y de los inferiores.
- OLIR
- Programa Online Informative References de NIST: catálogo de correspondencias entre marcos de NIST y otras normas, presentadas por NIST o por terceros. NIST verifica el formato de las presentaciones de terceros, no su corrección.
- Organismo de certificación
- Organización que audita sistemas de gestión frente a una norma como ISO 27001 y emite certificados. Los clientes suelen esperar que esté acreditada.
- Organización subcontratada de servicios
- Proveedor cuyos controles son relevantes para un informe SOC 2, como el proveedor de nube que aloja el servicio. Con el método de exclusión (carve-out), el informe excluye sus controles y se basa en sus propios informes de aseguramiento.
- Periodo de observación
- Periodo que abarca un informe SOC 2 de Tipo II, normalmente de 3 a 12 meses, durante el cual el auditor comprueba si los controles funcionaron de forma eficaz.
- Plan de acción e hitos (POA&M)
- Registro de deficiencias de seguridad con las acciones y plazos para corregirlas, utilizado en las evaluaciones de NIST SP 800-53, SP 800-171 y CMMC.
- Plan de seguridad del sistema (SSP)
- Documento que describe el perímetro y el entorno de un sistema, y cómo se implementa cada requisito de seguridad. Lo exige NIST SP 800-171 (práctica CA.L2-3.12.4 de CMMC Nivel 2) y el Marco de Gestión de Riesgos de NIST.
- Pruebas de penetración
- Ataque simulado y autorizado contra un sistema para evaluar su seguridad. Las pruebas de penetración identifican vulnerabilidades que los atacantes podrían explotar y validan que los controles existentes son eficaces.
- QSA, ROC, SAQ y AOC
- Términos de evaluación de PCI DSS. Un Qualified Security Assessor (QSA) redacta un Informe de Cumplimiento (ROC); los comercios más pequeños pueden completar en su lugar un Cuestionario de Autoevaluación (SAQ). Ambos concluyen con una Atestación de Cumplimiento (AOC).
- Registro de auditoría
- Registro cronológico de las actividades del sistema que proporciona evidencia documental de la secuencia de eventos. Los registros de auditoría se utilizan para detectar infracciones de seguridad, problemas de rendimiento y fallos en las aplicaciones.
- Registro de riesgos
- Inventario documentado de los riesgos identificados, con su probabilidad, impacto, controles actuales, responsable del riesgo y plan de tratamiento. El registro de riesgos es un documento vivo que respalda la gestión continua de riesgos.
- Reglamento de Ejecución (UE) 2024/2690
- Reglamento de la Comisión Europea que desarrolla en detalle las medidas de gestión de riesgos del artículo 21 de la NIS2 para proveedores DNS, de nube, de centros de datos, de servicios gestionados y otros proveedores digitales. Los requisitos NIS2 de ControlMapping son los puntos de su Anexo.
- Responsable del tratamiento
- En el marco del RGPD [GDPR], entidad que determina los fines y medios del tratamiento de datos personales. El responsable del tratamiento asume la responsabilidad principal del cumplimiento de los principios de protección de datos.
- Respuesta a incidentes
- Enfoque organizado para detectar, contener, erradicar y recuperarse de los incidentes de ciberseguridad. Un plan de respuesta a incidentes define funciones, procedimientos, protocolos de comunicación y rutas de escalado.
- Riesgo de la cadena de suministro
- Riesgo de que la seguridad de una organización se vea comprometida a través de vulnerabilidades de sus proveedores, suministradores o prestadores de servicios. Los ataques a la cadena de suministro explotan relaciones de confianza para eludir las defensas directas.
- SGSI
- Information Security Management System: enfoque sistemático para gestionar la información sensible de forma que se mantenga segura. La certificación ISO 27001 exige implementar y mantener un SGSI.
- SIEM
- Security Information and Event Management: plataforma que agrega y correlaciona datos de registro de todo el entorno de TI para ofrecer visibilidad centralizada, detección de amenazas e informes de cumplimiento.
- SOC (Centro de Operaciones de Seguridad)
- Equipo, a menudo con instalaciones propias, que supervisa, detecta y responde a incidentes de seguridad. No debe confundirse con SOC 2, que es un informe de auditoría.
- SOC 2 Tipo I y Tipo II
- Un informe de Tipo I abarca si los controles estaban adecuadamente diseñados e implantados en una fecha determinada. Un informe de Tipo II también abarca si funcionaron de forma eficaz durante un periodo, y es lo que solicita la mayoría de los clientes.
- Socio comercial
- En el marco de HIPAA, persona u organización que crea, recibe, mantiene o transmite información de salud protegida en nombre de una entidad cubierta, como un proveedor de nube o de facturación. Los socios comerciales deben cumplir la Regla de Seguridad y firmar un acuerdo de socio comercial.
- Subcategoría del CSF
- El nivel más específico del Marco de Ciberseguridad de NIST: un resultado como PR.AA-03 (los usuarios, servicios y hardware están autenticados). El CSF 2.0 tiene 106 subcategorías activas en 22 categorías y seis funciones. ControlMapping las utiliza como eje al que se vinculan todos los marcos.
- Tríada CIA
- Los tres principios fundamentales de la seguridad de la información: confidencialidad (impedir la divulgación no autorizada), integridad (impedir la modificación no autorizada) y disponibilidad (garantizar el acceso autorizado cuando sea necesario).
- Violación de datos
- Incidente en el que una parte no autorizada accede, divulga o roba datos sensibles, protegidos o confidenciales. Los requisitos de notificación varían según la normativa (el RGPD [GDPR] exige notificar en 72 horas y HIPAA exige notificar en 60 días).
- Vulnerabilidad
- Debilidad de un sistema, aplicación o proceso que podría ser explotada por un actor de amenazas para obtener acceso no autorizado o causar daños. Las vulnerabilidades se puntúan con CVSS (Common Vulnerability Scoring System).
- WAF
- Web Application Firewall: solución de seguridad que inspecciona el tráfico HTTP/HTTPS hacia y desde las aplicaciones web, bloqueando ataques comunes como la inyección SQL, XSS y la inclusión remota de archivos.