Recursos
El que sabem, escrit
Normativa explicada per obligació concreta, metodologia d’auditoria i la documentació del producte. Sense formularis pel mig.
Filtrar per
Format
Tema
Perfil
En castellàEls documents d’aquesta biblioteca només estan disponibles en castellà.
Destacat
Qué es evidencia válida en una auditoría de seguridad
La diferencia entre una captura de pantalla y una evidencia que aguanta está en cuatro propiedades: origen, fecha, integridad y alcance. Ninguna es opcional. Llegir la guiaCómo preparar la primera auditoría de conformidad del ENS
Qué hacer en los meses previos a una auditoría de certificación del ENS, en qué orden, y cuáles son los tres documentos cuya fecha decide el resultado. Llegir la guiaEvaluar proveedores: lo declarado frente a lo observado
Un cuestionario de seguridad mide lo que el proveedor dice de sí mismo. Cómo montar la otra mitad de la evaluación, la que se puede comprobar sin pedirle permiso. Llegir la guiaUsar IA en auditoría sin perder la cadena de custodia
Dónde puede intervenir un modelo en un proceso de auditoría y dónde no, y qué hay que registrar para que su intervención no invalide la evidencia. Llegir la guiaNIS2 — Directiva (UE) 2022/2555
Qué obliga la NIS2 a una entidad esencial o importante: aprobación por el órgano de dirección, diez medidas mínimas de gestión de riesgos y un reloj de notificación de 24 horas, 72 horas y un mes. Veure obligacionsDORA — Reglamento (UE) 2022/2554
Las obligaciones de resiliencia operativa digital que aplican a una entidad financiera europea desde enero de 2025: marco de riesgo TIC revisado cada año, notificación de incidentes graves en cuatro horas y registro de proveedores TIC. Veure obligacionsENS — Real Decreto 311/2022
Qué exige el Esquema Nacional de Seguridad a un organismo público y a sus proveedores: categorización en cinco dimensiones, Declaración de Aplicabilidad firmada y auditoría al menos cada dos años. Veure obligacionsCRA — Reglamento (UE) 2024/2847
El Reglamento de Ciberresiliencia obliga a quien pone software o hardware conectado en el mercado europeo: SBOM, periodo de soporte declarado, notificación de vulnerabilidades explotadas en 24 horas y marcado CE. Veure obligacionsAcuerdo de nivel de servicio
Compromiso contractual sobre parámetros medibles del servicio, con método de medición definido y consecuencias declaradas si no se alcanzan. Veure definicióAnálisis de brechas
Comparación estructurada entre lo que una norma exige y lo que la organización tiene realmente implantado, requisito por requisito. Veure definicióApetito de riesgo
Nivel de riesgo que la dirección declara estar dispuesta a asumir para alcanzar sus objetivos, expresado de forma que permita decidir casos concretos. Veure definicióAtestación
Declaración formal emitida por una parte identificable que afirma, bajo su responsabilidad, que algo se ha comprobado y con qué alcance. Veure definicióCadena de custodia
Traza continua que permite demostrar que una evidencia procede de donde se afirma y no ha sido alterada en ningún punto del camino. Veure definicióCriticidad de proveedor
Clasificación que determina cuánta profundidad de evaluación y vigilancia merece un tercero, en función del daño que causaría su fallo. Veure definicióCVSS
Estándar para describir y puntuar las características intrínsecas de una vulnerabilidad, del 0 al 10, con independencia de dónde esté instalada. Veure definicióDeclaración de aplicabilidad
Documento firmado que recoge, control a control, cuáles aplican al sistema, cuáles no y con qué justificación. Veure definicióDeduplicación de hallazgos
Proceso de reconocer que varios resultados procedentes de distintas fuentes o campañas describen el mismo problema y tratarlos como una sola entidad. Veure definicióEPSS
Modelo estadístico que estima la probabilidad de que una vulnerabilidad concreta sea explotada en la práctica durante los próximos treinta días. Veure definicióEvidencia
Artefacto que permite a un tercero que no estuvo presente verificar que un control se ejecutó, cuándo, sobre qué alcance y sin alteraciones posteriores. Veure definicióExcepción de control
Autorización formal, temporal y documentada para operar sin cumplir un control concreto, con motivo, responsable y fecha de caducidad. Veure definicióFalso positivo
Hallazgo reportado por una herramienta o un analista que, comprobado contra el sistema real, no se corresponde con una vulnerabilidad explotable. Veure definicióMulti-tenant
Arquitectura en la que una misma instancia de software sirve a varios clientes, cuyos datos se mantienen lógicamente separados. Veure definicióNotificación de incidente
Comunicación formal de un incidente a la autoridad competente dentro de un plazo tasado, contado desde el momento en que la entidad tuvo conocimiento. Veure definicióPentest
Prueba de seguridad en la que un equipo intenta explotar activamente un sistema, dentro de un alcance y una ventana acordados, para demostrar impacto real. Veure definicióPlan de remediación
Documento que asigna a cada hallazgo abierto un responsable, una acción concreta y una fecha comprometida, y registra su cierre verificado. Veure definicióPostura de seguridad
Estado medible de los controles de una organización en un momento dado, en contraste con lo que sus políticas declaran. Veure definicióRetest
Reprueba de un hallazgo concreto tras su corrección, ejecutando los mismos pasos originales para verificar si sigue siendo explotable. Veure definicióSuperficie de ataque externa
Conjunto de activos y servicios de una organización que resultan alcanzables desde internet sin credenciales previas. Veure definicióNo hi ha resultats per a aquesta combinació.
Prova a treure algun filtre o a cercar un altre terme.
Col·leccions
Normativa Què t’obliga, exactament No un resum de la directiva: l’obligació concreta, a qui s’aplica, en quin termini i quina evidència la sosté. Explorar Glossari Els termes, sense fum Definicions curtes i honestes del que s’utilitza cada dia en auditoria, compliment i resposta a incidents. Explorar