Recursos
Lo que sabemos, escrito
Normativa explicada por obligación concreta, metodología de auditoría y la documentación del producto. Sin formularios de por medio.
Filtrar por
Formato
Tema
Perfil
Qué es evidencia válida en una auditoría de seguridad
La diferencia entre una captura de pantalla y una evidencia que aguanta está en cuatro propiedades: origen, fecha, integridad y alcance. Ninguna es opcional. Leer la guíaCómo preparar la primera auditoría de conformidad del ENS
Qué hacer en los meses previos a una auditoría de certificación del ENS, en qué orden, y cuáles son los tres documentos cuya fecha decide el resultado. Leer la guíaEvaluar proveedores: lo declarado frente a lo observado
Un cuestionario de seguridad mide lo que el proveedor dice de sí mismo. Cómo montar la otra mitad de la evaluación, la que se puede comprobar sin pedirle permiso. Leer la guíaUsar IA en auditoría sin perder la cadena de custodia
Dónde puede intervenir un modelo en un proceso de auditoría y dónde no, y qué hay que registrar para que su intervención no invalide la evidencia. Leer la guíaNIS2 — Directiva (UE) 2022/2555
Qué obliga la NIS2 a una entidad esencial o importante: aprobación por el órgano de dirección, diez medidas mínimas de gestión de riesgos y un reloj de notificación de 24 horas, 72 horas y un mes. Ver obligacionesDORA — Reglamento (UE) 2022/2554
Las obligaciones de resiliencia operativa digital que aplican a una entidad financiera europea desde enero de 2025: marco de riesgo TIC revisado cada año, notificación de incidentes graves en cuatro horas y registro de proveedores TIC. Ver obligacionesENS — Real Decreto 311/2022
Qué exige el Esquema Nacional de Seguridad a un organismo público y a sus proveedores: categorización en cinco dimensiones, Declaración de Aplicabilidad firmada y auditoría al menos cada dos años. Ver obligacionesCRA — Reglamento (UE) 2024/2847
El Reglamento de Ciberresiliencia obliga a quien pone software o hardware conectado en el mercado europeo: SBOM, periodo de soporte declarado, notificación de vulnerabilidades explotadas en 24 horas y marcado CE. Ver obligacionesAcuerdo de nivel de servicio
Compromiso contractual sobre parámetros medibles del servicio, con método de medición definido y consecuencias declaradas si no se alcanzan. Ver definiciónAnálisis de brechas
Comparación estructurada entre lo que una norma exige y lo que la organización tiene realmente implantado, requisito por requisito. Ver definiciónApetito de riesgo
Nivel de riesgo que la dirección declara estar dispuesta a asumir para alcanzar sus objetivos, expresado de forma que permita decidir casos concretos. Ver definiciónAtestación
Declaración formal emitida por una parte identificable que afirma, bajo su responsabilidad, que algo se ha comprobado y con qué alcance. Ver definiciónCadena de custodia
Traza continua que permite demostrar que una evidencia procede de donde se afirma y no ha sido alterada en ningún punto del camino. Ver definiciónCriticidad de proveedor
Clasificación que determina cuánta profundidad de evaluación y vigilancia merece un tercero, en función del daño que causaría su fallo. Ver definiciónCVSS
Estándar para describir y puntuar las características intrínsecas de una vulnerabilidad, del 0 al 10, con independencia de dónde esté instalada. Ver definiciónDeclaración de aplicabilidad
Documento firmado que recoge, control a control, cuáles aplican al sistema, cuáles no y con qué justificación. Ver definiciónDeduplicación de hallazgos
Proceso de reconocer que varios resultados procedentes de distintas fuentes o campañas describen el mismo problema y tratarlos como una sola entidad. Ver definiciónEPSS
Modelo estadístico que estima la probabilidad de que una vulnerabilidad concreta sea explotada en la práctica durante los próximos treinta días. Ver definiciónEvidencia
Artefacto que permite a un tercero que no estuvo presente verificar que un control se ejecutó, cuándo, sobre qué alcance y sin alteraciones posteriores. Ver definiciónExcepción de control
Autorización formal, temporal y documentada para operar sin cumplir un control concreto, con motivo, responsable y fecha de caducidad. Ver definiciónFalso positivo
Hallazgo reportado por una herramienta o un analista que, comprobado contra el sistema real, no se corresponde con una vulnerabilidad explotable. Ver definiciónMulti-tenant
Arquitectura en la que una misma instancia de software sirve a varios clientes, cuyos datos se mantienen lógicamente separados. Ver definiciónNotificación de incidente
Comunicación formal de un incidente a la autoridad competente dentro de un plazo tasado, contado desde el momento en que la entidad tuvo conocimiento. Ver definiciónPentest
Prueba de seguridad en la que un equipo intenta explotar activamente un sistema, dentro de un alcance y una ventana acordados, para demostrar impacto real. Ver definiciónPlan de remediación
Documento que asigna a cada hallazgo abierto un responsable, una acción concreta y una fecha comprometida, y registra su cierre verificado. Ver definiciónPostura de seguridad
Estado medible de los controles de una organización en un momento dado, en contraste con lo que sus políticas declaran. Ver definiciónRetest
Reprueba de un hallazgo concreto tras su corrección, ejecutando los mismos pasos originales para verificar si sigue siendo explotable. Ver definiciónSuperficie de ataque externa
Conjunto de activos y servicios de una organización que resultan alcanzables desde internet sin credenciales previas. Ver definiciónNo hay resultados para esta combinación.
Prueba a quitar algún filtro o a buscar otro término.
Colecciones
Normativa Qué te obliga, exactamente No un resumen de la directiva: la obligación concreta, a quién aplica, en qué plazo y qué evidencia la sostiene. Explorar Glosario Los términos, sin humo Definiciones cortas y honestas de lo que se usa a diario en auditoría, cumplimiento y respuesta a incidentes. Explorar