Enciclopedia de TI y GRC
Qué significa cada concepto, método, documento y norma, cómo funciona y cómo aplicarlo, con las fuentes oficiales de cada respuesta.
Guías completas
- Guía completa de la ISO 27001Lea estos artículos en orden y seguirá la secuencia de un proyecto de certificación real, desde entender la norma hasta comprobar su propio sistema.
- Guía completa de NIS2Este recorrido empieza por la pregunta que la mayoría de las empresas se hace primero, si NIS2 les afecta, y luego repasa sus obligaciones en el orden en que las abordaría.
- Guía completa de la gestión de riesgosEstos artículos se apoyan unos en otros. Al final sabrá poner en marcha un proceso de riesgos que un equipo pequeño pueda mantener de verdad.
- Guía completa de la continuidad de negocioLa planificación de la continuidad sale mal cuando empieza por el plan. Este recorrido empieza por lo que el negocio necesita de verdad y termina con los medios para recuperarlo.
Gestión de riesgos
- ¿Qué es un registro de riesgos?Un registro de riesgos es la lista actualizada de lo que podría dañar a una empresa: quién responde de cada riesgo, qué gravedad tiene, qué se está haciendo al respecto y hasta dónde ha llegado ese trabajo.
- La matriz de riesgos explicadaUna matriz de riesgos es una cuadrícula que cruza la probabilidad con el impacto. Permite a una empresa comparar riesgos muy distintos en una misma escala y decidir cuáles atender primero.
- Metodología de evaluación de riesgosUna metodología de evaluación de riesgos es la forma fija en que una empresa identifica, analiza y valora sus riesgos, para que dos personas que evalúan lo mismo lleguen a resultados comparables.
- Plan de tratamiento de riesgosUn plan de tratamiento de riesgos indica qué ocurrirá con cada riesgo que la empresa no quiere dejar como está: qué opción, qué acciones, quién las realiza, para cuándo y qué resultado se espera.
- La propiedad del riesgoEl propietario de un riesgo es la persona que responde de él, con autoridad para decidir su tratamiento, pagarlo y aceptar lo que quede.
- Evaluación de riesgos ISO 27001La ISO/IEC 27001 exige un proceso definido para evaluar los riesgos de seguridad de la información (apartado 6.1.2), realizado a intervalos planificados (apartado 8.2), que identifica los riesgos y sus propietarios, los analiza y los valora frente a criterios establecidos.
- Inventario de activosEl inventario de activos es la lista actualizada de la información, los sistemas, los equipos y los servicios de los que depende una empresa, cada uno con un responsable. No se puede proteger lo que no se sabe que se tiene.
Cumplimiento
- Análisis de riesgos del RGPDUn análisis de riesgos del RGPD examina los riesgos que una actividad de tratamiento crea para los derechos y libertades de las personas. Cuando es probable que ese riesgo sea alto, el artículo 35 exige una evaluación de impacto relativa a la protección de datos, o EIPD.
- ¿Qué es la gestión del cumplimiento?La gestión del cumplimiento es el trabajo continuo de saber qué obligaciones se aplican a una empresa, cumplirlas, demostrarlo y corregir lo que falle.
- Guía del cuestionario de cumplimientoUn cuestionario de cumplimiento es un conjunto estructurado de preguntas que muestra dónde está una empresa frente a una ley, una norma o un contrato, y en qué se queda corta.
- El control interno explicadoUn control interno es una medida que da una seguridad razonable de que una empresa alcanzará sus objetivos pese a sus riesgos: una aprobación obligatoria, una segregación de funciones, una revisión, una restricción técnica.
- ¿Qué es la ISO 27001?La ISO/IEC 27001 es la norma internacional del sistema de gestión de la seguridad de la información: la forma en que una empresa gobierna, evalúa y mejora la seguridad de su información.
- Declaración de aplicabilidadLa declaración de aplicabilidad es el documento obligatorio de la ISO/IEC 27001 que indica qué controles necesita una empresa, por qué, si están implantados y por qué se deja fuera algún control del anexo A.
- ¿Qué es NIS2?NIS2 es la directiva europea (2022/2555) que impone obligaciones de ciberseguridad a las entidades medianas y grandes de sectores críticos: medidas de gestión de riesgos, notificación de incidentes y responsabilidad de la dirección.
- Lista de verificación NIS2Una lista de verificación NIS2 sigue la estructura de la directiva: el ámbito, los deberes del órgano de dirección (artículo 20), las diez medidas del artículo 21.2 y los plazos de notificación (artículo 23).
- ¿Qué es el RGPD?El Reglamento General de Protección de Datos (UE) 2016/679 fija las reglas para utilizar datos personales en la Unión Europea. Se aplica desde el 25 de mayo de 2018.
- Supervisión del cumplimientoLa supervisión del cumplimiento es la comprobación periódica, por parte de los responsables, de que las obligaciones se siguen cumpliendo y los controles siguen funcionando, para que los problemas afloren antes que la auditoría.
Continuidad del negocio
- ¿Qué es la continuidad de negocio?La continuidad de negocio es la capacidad de una empresa para seguir prestando sus productos y servicios más importantes a un nivel aceptable durante una interrupción, sea cual sea su causa.
- ¿Qué es la recuperación ante desastres?La recuperación ante desastres es el conjunto de planes y medios técnicos que devuelven los sistemas informáticos y los datos tras una interrupción grave, dentro de los plazos acordados con el negocio.
- Continuidad de negocio o recuperación ante desastresLa continuidad de negocio mantiene la empresa en funcionamiento durante una interrupción, y la recuperación ante desastres restaura la informática de la que depende. La recuperación es una parte de la continuidad.
- Análisis de impacto en el negocioEl análisis de impacto en el negocio, o BIA, determina qué ocurre con el tiempo si cada actividad se detiene, y lo usa para fijar su prioridad y sus objetivos de recuperación.
- El RTO explicadoEl tiempo objetivo de recuperación, o RTO, es el plazo en que una actividad o un sistema debe volver tras una interrupción, antes de que las consecuencias sean inaceptables.
- El RPO explicadoEl punto objetivo de recuperación, o RPO, son los datos más recientes que una empresa puede permitirse perder, expresados como un intervalo de tiempo antes del incidente.
Auditoría
- Guía de auditoría internaUna auditoría interna es una comprobación independiente, planificada y documentada de si las prácticas de una empresa cumplen sus requisitos y funcionan como se pretende.
- Lista de verificación de auditoríaLa lista de verificación de auditoría es el documento de trabajo del auditor. Para cada criterio indica qué mirar, a quién preguntar y qué muestrear, y registra lo encontrado.
- Hallazgos de auditoríaUn hallazgo de auditoría compara una evidencia con un criterio. Dice lo que debería ocurrir, lo que se vio, por qué importa y por qué ocurrió.
- Lista de verificación de auditoría de redUna lista de verificación de auditoría de red comprueba que una red es conocida, está segmentada, actualizada, vigilada y solo es accesible para quien debe acceder, con una evidencia por línea.
Riesgo de terceros
- Evaluación de riesgos de proveedoresUna evaluación de riesgos de proveedores determina qué podría salir mal a través de un proveedor concreto, lo preparado que está y si el riesgo restante es aceptable.
- Gestión de riesgos de tercerosLa gestión de riesgos de terceros es el programa que controla los riesgos de depender de proveedores y socios, desde su selección hasta el final de la relación.
- Cuestionarios de seguridadUn cuestionario de seguridad es la lista de preguntas que un comprador envía a un proveedor para comprobar sus prácticas de seguridad. Responderlo bien forma ya parte de la venta.
Guías prácticas
- ¿Qué es GRC? Gobernanza, riesgo y cumplimiento explicadosGRC significa gobernanza, riesgo y cumplimiento: cómo una empresa fija sus reglas, gestiona lo que podría salir mal y demuestra que cumple sus obligaciones.
- Cómo definir el alcance de un SGSIEl alcance indica qué parte de la empresa cubre el SGSI. La cláusula 4.3 de la ISO/IEC 27001 pide determinar sus límites y su aplicabilidad, y conservarlo como información documentada.
- Cómo hacer un análisis de brechas de cumplimientoUn análisis de brechas compara su práctica actual con los requisitos de un marco, para mostrar qué falta y qué hacer primero. Suele ser el primer paso de un proyecto de cumplimiento.
- Requisitos de DORA: los cinco pilares explicadosEl Reglamento de Resiliencia Operativa Digital, Reglamento (UE) 2022/2554, se aplica desde el 17 de enero de 2025 a las entidades financieras de la UE y fija un único conjunto de normas sobre la resiliencia de las TIC.
- HIPAA Security Rule: salvaguardas y qué documentarLa HIPAA Security Rule (45 CFR Part 164, Subpart C) fija normas estadounidenses para proteger la información sanitaria electrónica que tienen las entidades cubiertas y sus socios comerciales.
- Los 12 requisitos de PCI DSS explicadosPCI DSS es la norma de seguridad del sector de tarjetas para cualquier empresa que almacene, procese o transmita datos de titulares de tarjeta. Esta guía sigue la versión 4.0.1, publicada en junio de 2024: consulte la biblioteca de documentos del PCI SSC para la última versión.
- Brecha de datos RGPD: qué hacer en 72 horasSegún el artículo 33 del RGPD, una brecha de datos personales debe notificarse a la autoridad de control en las 72 horas siguientes a tener conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas.
- SOC 2 o ISO 27001: diferencias y cuál elegirLa ISO/IEC 27001 certifica un sistema de gestión; un informe SOC 2 da la opinión de un auditor sobre sus controles. Se solapan mucho, y la elección correcta depende sobre todo de lo que pidan sus clientes.
- Política, procedimiento, estándar, guía: ¿en qué se diferencian?Estos cuatro tipos de documento responden a preguntas distintas. Mantenerlos separados hace que cada uno sea más corto, más fácil de aprobar y más fácil de mantener al día.
- Revisiones de accesos: cómo hacerlasUna revisión de accesos comprueba que las personas siguen necesitando los accesos que tienen. Es uno de los controles que más se prueban, y sus fallos aparecen a menudo en los hallazgos de auditoría.
- Cómo redactar un plan de respuesta a incidentesUn plan de respuesta a incidentes dice quién hace qué cuando algo sale mal. Escrito de antemano, ahorra las horas en que las decisiones importan más.