{ "fuente": "ISO/IEC 27001:2022, Anexo A — numeración oficial con redacción propia de Nubics", "marco": "iso-27001", "nombre_marco": "ISO/IEC 27001", "version": "2022", "version_catalogo": "2026.10.29", "fecha_generacion": "2026-10-29", "idiomas": [ "es", "en" ], "alcance": "Subconjunto curado de controles del Anexo A de ISO/IEC 27001:2022 con relevancia para infraestructura en la nube.", "nota": "Títulos y numeración del Anexo A; descripcion_larga es redacción propia de Nubics. El texto de la norma tiene derechos reservados y no se reproduce: debe consultarse en la norma (url_oficial).", "url_oficial": "https://www.iso.org/standard/27001", "licencia_texto_oficial": "curated", "total_controles": 26, "resumen": { "por_tipo": { "documental": 11, "evidencia_generada": 1, "escaneable_directo": 14 }, "por_requisito": { "A.5": 8, "A.6": 1, "A.8": 17 }, "automatizables": 15, "con_mapeo_ucf": 25, "descripcion_por_revisar": [ "A.5.7", "A.5.18", "A.5.19", "A.5.24", "A.6.3", "A.8.2", "A.8.5", "A.8.7", "A.8.13", "A.8.15", "A.8.16", "A.8.20", "A.8.25", "A.8.32" ] }, "requisitos": { "A.5": { "titulo": "Controles organizacionales", "titulo_en": "Organizational controls" }, "A.6": { "titulo": "Controles de personas", "titulo_en": "People controls" }, "A.8": { "titulo": "Controles tecnológicos", "titulo_en": "Technological controls" } }, "notas_mapeo": [ "mapeo_ucf es la correspondencia curada con la lista unificada de Kyber (exportada de unified_requirements.json); cuando un control la trae, la API no deriva mapeos desde mapeo_frameworks.", "descripcion_derivada_de_ucf = true marca los controles cuya descripcion_larga se tomó del enunciado de su requisito unificado porque no tenían guía curada; hay que revisarla.", "mapeo_frameworks lista los códigos de otros marcos que cubren los mismos requisitos unificados, más los controles del SPEI que citan este control. Es orientativo, no un crosswalk oficial." ], "controles": [ { "id": 1, "numero_regla": "A.5.1", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Políticas de seguridad de la información", "descripcion_corta_en": "Policies for information security", "descripcion_larga": "Debe existir un cuerpo de políticas aprobado por la dirección, con fecha de revisión y dueño identificable.", "descripcion_larga_en": "An approved policy set must exist, with a review date and an identifiable owner.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "documentary", "automatable": false, "evidencia": "PDF de la política con evidencia de aprobación y fecha de la última revisión.", "evidencia_en": "Policy PDF with proof of approval and the date of the latest review." }, "mapeo_frameworks": { "pci_dss_v4": [ "12.1.1" ], "soc2_tsc": [ "CC1.1" ], "banxico_spei": [ "58a. I.A", "58a. I.A.b)" ] }, "mapeo_ucf": [ { "clave": "UCF-GOV-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 2, "numero_regla": "A.5.7", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Inteligencia de amenazas", "descripcion_corta_en": "Threat intelligence", "descripcion_larga": "Las vulnerabilidades técnicas de los activos se identifican de forma continua, se clasifican por riesgo y se asignan a un responsable.", "descripcion_larga_en": "Technical vulnerabilities in assets are identified continuously, risk-ranked and assigned to an owner.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Reporte de hallazgos abiertos por severidad y evidencia de asignación.", "evidencia_en": "Report of open findings by severity plus evidence of ownership assignment." }, "mapeo_frameworks": { "pci_dss_v4": [ "6.3.1" ], "soc2_tsc": [ "CC7.1" ] }, "mapeo_ucf": [ { "clave": "UCF-VUL-001", "relacion": "partial", "cobertura_pct": 40 } ] }, { "id": 3, "numero_regla": "A.5.15", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Control de acceso", "descripcion_corta_en": "Access control", "descripcion_larga": "El acceso a cada sistema se concede por rol y se revisa periódicamente; nadie conserva accesos que ya no necesita.", "descripcion_larga_en": "Access to each system is granted by role and reviewed periodically; nobody keeps access they no longer need.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "evidencia_generada", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "hybrid", "automatable": true, "evidencia": "Export del directorio de identidades y lista de cuentas de servicio con su dueño.", "evidencia_en": "Identity directory export plus the list of service accounts and their owners." }, "mapeo_frameworks": { "pci_dss_v4": [ "8.2.1" ], "soc2_tsc": [ "CC6.2" ], "banxico_spei": [ "58a. I.A.e)", "58a. I.A.e).1" ] }, "mapeo_ucf": [ { "clave": "UCF-IAM-001", "relacion": "partial", "cobertura_pct": 40 } ] }, { "id": 4, "numero_regla": "A.5.17", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Información de autenticación", "descripcion_corta_en": "Authentication information", "descripcion_larga": "Las credenciales se emiten, rotan y revocan por un proceso controlado; nunca se comparten entre personas.", "descripcion_larga_en": "Credentials are issued, rotated and revoked through a controlled process; never shared between people.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Política de contraseñas del IdP y evidencia de que los secretos viven en un gestor de secretos.", "evidencia_en": "IdP password policy and evidence that secrets live in a secrets manager." }, "mapeo_frameworks": { "pci_dss_v4": [ "8.3.1" ], "soc2_tsc": [ "CC6.1" ], "banxico_spei": [ "58a. I.A.e).2" ] }, "mapeo_ucf": [ { "clave": "UCF-IAM-005", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 5, "numero_regla": "A.5.18", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Derechos de acceso", "descripcion_corta_en": "Access rights", "descripcion_larga": "Los accesos se otorgan por mínimo privilegio y los accesos privilegiados están inventariados y revisados periódicamente. El acceso se revoca de inmediato al término de la relación laboral o contractual.", "descripcion_larga_en": "Access is granted on a least-privilege basis, and privileged access is inventoried and reviewed periodically. Access is revoked immediately when employment or a contract ends.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Matriz de roles vigente y acta de la última revisión de accesos privilegiados. Muestra de bajas del último trimestre con la marca de tiempo de la revocación.", "evidencia_en": "Current role matrix and minutes of the latest privileged-access review. Sample of terminations from the last quarter with revocation timestamps." }, "mapeo_frameworks": { "pci_dss_v4": [ "7.2.1", "8.2.5" ], "soc2_tsc": [ "CC6.1", "CC6.3" ], "banxico_spei": [ "58a. I.A.e).2", "58a. I.A.e).4" ] }, "mapeo_ucf": [ { "clave": "UCF-IAM-002", "relacion": "partial", "cobertura_pct": 60 }, { "clave": "UCF-IAM-003", "relacion": "partial", "cobertura_pct": 40 } ] }, { "id": 6, "numero_regla": "A.5.19", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Seguridad de la información en las relaciones con proveedores", "descripcion_corta_en": "Information security in supplier relationships", "descripcion_larga": "Los terceros críticos están inventariados, con obligaciones de seguridad contractuales y evaluación periódica.", "descripcion_larga_en": "Critical third parties are inventoried, carry contractual security obligations and are assessed periodically.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "documentary", "automatable": false, "evidencia": "Inventario de terceros, cláusulas de seguridad y última evaluación de cada uno.", "evidencia_en": "Third-party inventory, security clauses and the latest assessment of each." }, "mapeo_frameworks": { "pci_dss_v4": [ "12.8.1" ], "soc2_tsc": [ "CC9.2" ], "banxico_spei": [ "58a. I (pruebas de confianza)", "61a." ] }, "mapeo_ucf": [ { "clave": "UCF-TPR-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 7, "numero_regla": "A.5.24", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Planificación y preparación de la gestión de incidentes", "descripcion_corta_en": "Information security incident management planning and preparation", "descripcion_larga": "Existe un plan de respuesta a incidentes con roles definidos, probado al menos una vez al año.", "descripcion_larga_en": "An incident response plan exists with defined roles and is exercised at least annually.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Plan vigente, bitácora del último simulacro y registro de incidentes atendidos.", "evidencia_en": "Current plan, log of the latest exercise and the record of handled incidents." }, "mapeo_frameworks": { "pci_dss_v4": [ "12.10.1" ], "soc2_tsc": [ "CC7.4" ], "banxico_spei": [ "46a.", "58a. I.A.b).5", "58a. I.B.g)", "58a. II.c)" ] }, "mapeo_ucf": [ { "clave": "UCF-INC-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 8, "numero_regla": "A.5.29", "requisito": "A.5", "seccion": "A.5", "categoria": "Tema 5: Controles organizacionales", "categoria_en": "Theme 5: Organizational controls", "descripcion_corta": "Seguridad de la información durante la disrupción", "descripcion_corta_en": "Information security during disruption", "descripcion_larga": "La operación tiene que poder continuar durante una interrupción: planes probados, no documentos escritos una vez.", "descripcion_larga_en": "Operations must continue during a disruption: tested plans, not documents written once.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Configuración de respaldos y evidencia de la última prueba de restauración.", "evidencia_en": "Backup configuration and evidence of the latest restore test." }, "mapeo_frameworks": { "pci_dss_v4": [], "soc2_tsc": [ "A1.2" ], "banxico_spei": [ "58a. II.a).2", "58a. II.c)" ] }, "mapeo_ucf": [ { "clave": "UCF-BCP-001", "relacion": "partial", "cobertura_pct": 40 } ] }, { "id": 9, "numero_regla": "A.6.3", "requisito": "A.6", "seccion": "A.6", "categoria": "Tema 6: Controles de personas", "categoria_en": "Theme 6: People controls", "descripcion_corta": "Concientización, educación y capacitación", "descripcion_corta_en": "Information security awareness, education and training", "descripcion_larga": "El personal recibe capacitación en seguridad de la información al ingresar y al menos una vez al año.", "descripcion_larga_en": "Personnel receive information security training on hire and at least annually.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Listas de asistencia o registros de la plataforma de capacitación, con fechas.", "evidencia_en": "Attendance lists or training-platform records, with dates." }, "mapeo_frameworks": { "pci_dss_v4": [ "12.6.1" ], "soc2_tsc": [ "CC1.4" ] }, "mapeo_ucf": [ { "clave": "UCF-GOV-002", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 10, "numero_regla": "A.8.2", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Derechos de acceso privilegiado", "descripcion_corta_en": "Privileged access rights", "descripcion_larga": "Los accesos se otorgan por mínimo privilegio y los accesos privilegiados están inventariados y revisados periódicamente.", "descripcion_larga_en": "Access is granted on a least-privilege basis, and privileged access is inventoried and reviewed periodically.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Matriz de roles vigente y acta de la última revisión de accesos privilegiados.", "evidencia_en": "Current role matrix and minutes of the latest privileged-access review." }, "mapeo_frameworks": { "pci_dss_v4": [ "7.2.1" ], "soc2_tsc": [ "CC6.1" ], "banxico_spei": [ "58a. I.A.e).1", "58a. I.A.e).4", "58a. I.A.f).8", "59a. Bis" ] }, "mapeo_ucf": [ { "clave": "UCF-IAM-002", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 11, "numero_regla": "A.8.5", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Autenticación segura", "descripcion_corta_en": "Secure authentication", "descripcion_larga": "Todo acceso administrativo y todo acceso remoto exige autenticación multifactor.", "descripcion_larga_en": "All administrative access and all remote access require multi-factor authentication.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Configuración del IdP mostrando la política de MFA y la lista de excepciones vigentes.", "evidencia_en": "IdP configuration showing the MFA policy and the list of current exceptions." }, "mapeo_frameworks": { "pci_dss_v4": [ "8.4.1", "8.4.2" ], "soc2_tsc": [ "CC6.1" ], "banxico_spei": [ "58a. I.A.e).2", "58a. I.A.e).3", "58a. I.A.f).8", "58a. I.A.g).6", "58a. I.C.d)" ] }, "mapeo_ucf": [ { "clave": "UCF-IAM-004", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 12, "numero_regla": "A.8.7", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Protección contra código malicioso", "descripcion_corta_en": "Protection against malware", "descripcion_larga": "Los componentes susceptibles cuentan con protección contra código malicioso, actualizada y con registro de detecciones.", "descripcion_larga_en": "Susceptible components run anti-malware protection that is kept updated and logs detections.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Consola del antimalware con cobertura por host y últimas firmas aplicadas.", "evidencia_en": "Anti-malware console showing per-host coverage and the latest signatures applied." }, "mapeo_frameworks": { "pci_dss_v4": [ "5.2.1" ], "soc2_tsc": [ "CC6.8" ], "banxico_spei": [ "58a. I.A.b).2", "58a. I.A.b).4 bis", "58a. I.B.f)" ] }, "mapeo_ucf": [ { "clave": "UCF-MAL-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 13, "numero_regla": "A.8.8", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Gestión de vulnerabilidades técnicas", "descripcion_corta_en": "Management of technical vulnerabilities", "descripcion_larga": "Las vulnerabilidades técnicas se identifican, se priorizan por riesgo real y se corrigen dentro de un plazo definido.", "descripcion_larga_en": "Technical vulnerabilities are identified, prioritised by real risk and fixed within a defined deadline.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Reporte de hallazgos abiertos por severidad y evidencia de asignación. Reporte de cumplimiento de SLA de parcheo y lista de excepciones vigentes. Reportes de escaneo de los últimos cuatro trimestres.", "evidencia_en": "Report of open findings by severity plus evidence of ownership assignment. Patching SLA compliance report and the list of current exceptions. Scan reports from the last four quarters." }, "mapeo_frameworks": { "pci_dss_v4": [ "11.3.1", "11.3.2", "6.3.1", "6.3.3" ], "soc2_tsc": [ "CC7.1" ], "banxico_spei": [ "58a. I.A.b).3", "58a. I.A.b).6", "58a. I.A.c).3", "58a. I.A.g).4", "58a. I.B.b)", "58a. I.C.a)" ] }, "mapeo_ucf": [ { "clave": "UCF-VUL-001", "relacion": "equivalent", "cobertura_pct": 80 }, { "clave": "UCF-VUL-002", "relacion": "partial", "cobertura_pct": 20 }, { "clave": "UCF-VUL-003", "relacion": "partial", "cobertura_pct": 30 } ] }, { "id": 14, "numero_regla": "A.8.9", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Gestión de la configuración", "descripcion_corta_en": "Configuration management", "descripcion_larga": "Cada tipo de componente tiene una línea base de configuración segura y se verifica que se cumpla.", "descripcion_larga_en": "Each component type has a secure configuration baseline and compliance with it is verified.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Documento de líneas base y el resultado del último escaneo de configuración.", "evidencia_en": "Baseline document and the latest configuration scan result." }, "mapeo_frameworks": { "pci_dss_v4": [ "2.2.1" ], "soc2_tsc": [ "CC7.1" ], "banxico_spei": [ "58a. I.A.b)", "58a. I.A.b).2 bis", "58a. I.A.b).4", "58a. I.A.f).7" ] }, "mapeo_ucf": [ { "clave": "UCF-CFG-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 15, "numero_regla": "A.8.10", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Borrado de información", "descripcion_corta_en": "Information deletion", "descripcion_larga": "La información se borra cuando deja de ser necesaria, y el borrado se puede demostrar.", "descripcion_larga_en": "Information is deleted once no longer needed, and the deletion can be demonstrated.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false }, "mapeo_frameworks": { "pci_dss_v4": [], "soc2_tsc": [], "banxico_spei": [ "58a. I.A.d).1" ] }, "mapeo_ucf": [] }, { "id": 16, "numero_regla": "A.8.11", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Enmascaramiento de datos", "descripcion_corta_en": "Data masking", "descripcion_larga": "Los datos usados fuera de producción se enmascaran; un respaldo de producción en un ambiente de pruebas es una fuga.", "descripcion_larga_en": "Data used outside production is masked; a production backup in a test environment is a leak.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Configuración de cifrado de los volúmenes, buckets y bases de datos en alcance.", "evidencia_en": "Encryption configuration of in-scope volumes, buckets and databases." }, "mapeo_frameworks": { "pci_dss_v4": [ "3.5.1" ], "soc2_tsc": [ "CC6.1" ] }, "mapeo_ucf": [ { "clave": "UCF-CRY-001", "relacion": "partial", "cobertura_pct": 30, "nota_es": "El enmascaramiento es una alternativa al cifrado en algunos alcances.", "nota_en": "Masking is an alternative to encryption in some scopes." } ] }, { "id": 17, "numero_regla": "A.8.12", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Prevención de fuga de datos", "descripcion_corta_en": "Data leakage prevention", "descripcion_larga": "Existen controles que detectan o impiden la salida no autorizada de información sensible.", "descripcion_larga_en": "Controls exist that detect or prevent unauthorised exfiltration of sensitive information.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Registros TXT de SPF y `_dmarc` del dominio (los revisa el escaneo pasivo) y reportes agregados de DMARC.", "evidencia_en": "The domain's SPF and `_dmarc` TXT records (checked by the passive scan) and DMARC aggregate reports." }, "mapeo_frameworks": { "pci_dss_v4": [], "soc2_tsc": [ "CC6.6" ], "banxico_spei": [ "58a. I.A.d).2" ] }, "mapeo_ucf": [ { "clave": "UCF-NET-003", "relacion": "partial", "cobertura_pct": 30, "nota_es": "A.8.12 abarca toda la fuga de datos; SPF y DMARC solo cubren la suplantación del dominio en el correo.", "nota_en": "A.8.12 covers all data leakage; SPF and DMARC only cover domain spoofing over email." } ] }, { "id": 18, "numero_regla": "A.8.13", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Respaldo de la información", "descripcion_corta_en": "Information backup", "descripcion_larga": "Existen respaldos de la información crítica, protegidos y probados mediante restauraciones periódicas.", "descripcion_larga_en": "Backups of critical information exist, are protected and are tested through periodic restores.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Configuración de respaldos y evidencia de la última prueba de restauración.", "evidencia_en": "Backup configuration and evidence of the latest restore test." }, "mapeo_frameworks": { "pci_dss_v4": [], "soc2_tsc": [ "A1.2" ], "banxico_spei": [ "58a. I.A.f).7", "58a. I.A.g).5" ] }, "mapeo_ucf": [ { "clave": "UCF-BCP-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 19, "numero_regla": "A.8.15", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Registro de eventos", "descripcion_corta_en": "Logging", "descripcion_larga": "Los eventos de seguridad se registran en todos los componentes en alcance y los registros se conservan y protegen contra alteración.", "descripcion_larga_en": "Security events are logged on all in-scope components, and logs are retained and protected from tampering.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Configuración de la plataforma de logs, política de retención y control de acceso a los registros.", "evidencia_en": "Logging platform configuration, retention policy and access control over the logs." }, "mapeo_frameworks": { "pci_dss_v4": [ "10.2.1", "10.5" ], "soc2_tsc": [ "CC7.2" ], "banxico_spei": [ "58a. I.A.b).5 bis", "58a. I.A.c).5", "58a. I.A.c).6", "58a. I.A.d).3", "58a. I.A.e).5", "58a. I.A.f).5", "58a. I.A.f).8", "58a. I.B.d)", "58a. I.B.e)" ] }, "mapeo_ucf": [ { "clave": "UCF-LOG-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 20, "numero_regla": "A.8.16", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Actividades de monitoreo", "descripcion_corta_en": "Monitoring activities", "descripcion_larga": "Los registros se monitorean y existen alertas que disparan una revisión humana.", "descripcion_larga_en": "Logs are monitored and alerts exist that trigger human review.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Lista de alertas configuradas y muestra de alertas atendidas con su tiempo de respuesta.", "evidencia_en": "List of configured alerts plus a sample of handled alerts with response times." }, "mapeo_frameworks": { "pci_dss_v4": [ "10.4.1" ], "soc2_tsc": [ "CC7.2" ], "banxico_spei": [ "48a.", "58a. I.A.b).2 bis", "58a. I.A.b).5 bis", "58a. I.A.d).4", "58a. I.A.e).5", "58a. I.A.f).10", "89a." ] }, "mapeo_ucf": [ { "clave": "UCF-LOG-002", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 21, "numero_regla": "A.8.20", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Seguridad de redes", "descripcion_corta_en": "Networks security", "descripcion_larga": "La red está segmentada y los controles de seguridad de red tienen reglas documentadas y revisadas. Ningún servicio de administración ni base de datos está expuesto directamente a internet.", "descripcion_larga_en": "The network is segmented and network security controls have documented, reviewed rulesets. No management service or database is exposed directly to the internet.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Diagrama de red vigente y export de las reglas de los grupos de seguridad y firewalls. Inventario de recursos con exposición pública y justificación de cada uno.", "evidencia_en": "Current network diagram and an export of security group and firewall rules. Inventory of publicly exposed resources with a justification for each." }, "mapeo_frameworks": { "pci_dss_v4": [ "1.2.1" ], "soc2_tsc": [ "CC6.6" ], "banxico_spei": [ "58a. I.A.b).1", "58a. I.A.f)", "58a. I.A.f).1", "58a. I.A.f).4", "58a. I.A.f).6", "58a. I.A.g).6" ] }, "mapeo_ucf": [ { "clave": "UCF-NET-001", "relacion": "equivalent", "cobertura_pct": 90 }, { "clave": "UCF-NET-002", "relacion": "partial", "cobertura_pct": 40 } ] }, { "id": 22, "numero_regla": "A.8.24", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Uso de criptografía", "descripcion_corta_en": "Use of cryptography", "descripcion_larga": "El cifrado se aplica en reposo y en tránsito con algoritmos vigentes, y las llaves tienen un ciclo de vida gestionado.", "descripcion_larga_en": "Encryption applies at rest and in transit with current algorithms, and keys have a managed lifecycle.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Configuración de cifrado de los volúmenes, buckets y bases de datos en alcance. Políticas TLS de balanceadores y endpoints públicos, más el resultado de un escaneo de protocolos. Procedimiento de gestión de llaves y configuración del KMS o HSM en uso.", "evidencia_en": "Encryption configuration of in-scope volumes, buckets and databases. TLS policies of load balancers and public endpoints, plus a protocol scan result. Key-management procedure and configuration of the KMS or HSM in use." }, "mapeo_frameworks": { "pci_dss_v4": [ "3.5.1", "3.7.1", "4.2.1" ], "soc2_tsc": [ "CC6.1", "CC6.7" ], "banxico_spei": [ "58a. I.A.b).1", "58a. I.A.c).3", "58a. I.A.d).4", "58a. I.A.d).5", "58a. I.A.f).9", "58a. I.C.b)", "58a. I.C.c)" ] }, "mapeo_ucf": [ { "clave": "UCF-CRY-001", "relacion": "partial", "cobertura_pct": 50 }, { "clave": "UCF-CRY-002", "relacion": "partial", "cobertura_pct": 50 }, { "clave": "UCF-CRY-003", "relacion": "partial", "cobertura_pct": 40 } ] }, { "id": 23, "numero_regla": "A.8.25", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Ciclo de vida de desarrollo seguro", "descripcion_corta_en": "Secure development life cycle", "descripcion_larga": "El software propio se desarrolla siguiendo prácticas seguras, con revisión de código y pruebas de seguridad antes de liberar.", "descripcion_larga_en": "In-house software is developed following secure practices, with code review and security testing before release.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Política de desarrollo seguro y evidencia de revisiones y análisis en el pipeline.", "evidencia_en": "Secure development policy plus evidence of reviews and pipeline analysis." }, "mapeo_frameworks": { "pci_dss_v4": [ "6.2.1" ], "soc2_tsc": [ "CC8.1" ], "banxico_spei": [ "58a. I.A.c)", "58a. I.A.c).1", "58a. I.A.c).2", "58a. I.B", "58a. I.B.c)", "58a. I.C", "58a. I.C.e)" ] }, "mapeo_ucf": [ { "clave": "UCF-SDL-001", "relacion": "equivalent", "cobertura_pct": 100 } ] }, { "id": 24, "numero_regla": "A.8.26", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Requisitos de seguridad de las aplicaciones", "descripcion_corta_en": "Application security requirements", "descripcion_larga": "Los requisitos de seguridad de cada aplicación se definen antes de construirla o adquirirla, y se comprueban en lo que queda publicado.", "descripcion_larga_en": "Each application's security requirements are defined before it is built or acquired, and verified on what ends up published.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "technical", "automatable": true, "evidencia": "Cabeceras de respuesta del sitio (las revisa el escaneo pasivo) e inventario de los scripts de terceros autorizados.", "evidencia_en": "The site's response headers (checked by the passive scan) and an inventory of authorised third-party scripts." }, "mapeo_frameworks": { "pci_dss_v4": [ "6.4.3" ], "soc2_tsc": [], "banxico_spei": [ "58a. I.A.c).2", "58a. I.B", "58a. I.C", "58a. I.C.f)", "58a. I.C.h)" ] }, "mapeo_ucf": [ { "clave": "UCF-SDL-002", "relacion": "partial", "cobertura_pct": 60, "nota_es": "A.8.26 abarca todos los requisitos de seguridad de la aplicación, no solo lo que se aplica en el navegador.", "nota_en": "A.8.26 covers every application security requirement, not just what is enforced in the browser." } ] }, { "id": 25, "numero_regla": "A.8.28", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Codificación segura", "descripcion_corta_en": "Secure coding", "descripcion_larga": "El código se escribe contra criterios de seguridad verificables y se revisa antes de llegar a producción.", "descripcion_larga_en": "Code is written against verifiable security criteria and reviewed before reaching production.", "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Política de desarrollo seguro y evidencia de revisiones y análisis en el pipeline.", "evidencia_en": "Secure development policy plus evidence of reviews and pipeline analysis." }, "mapeo_frameworks": { "pci_dss_v4": [ "6.2.1" ], "soc2_tsc": [ "CC8.1" ], "banxico_spei": [ "58a. I.A.c).4" ] }, "mapeo_ucf": [ { "clave": "UCF-SDL-001", "relacion": "partial", "cobertura_pct": 60 } ] }, { "id": 26, "numero_regla": "A.8.32", "requisito": "A.8", "seccion": "A.8", "categoria": "Tema 8: Controles tecnológicos", "categoria_en": "Theme 8: Technological controls", "descripcion_corta": "Gestión de cambios", "descripcion_corta_en": "Change management", "descripcion_larga": "Los cambios a sistemas en producción se aprueban, prueban y registran antes de aplicarse.", "descripcion_larga_en": "Changes to production systems are approved, tested and recorded before being applied.", "descripcion_derivada_de_ucf": true, "aplica_a": "todas_las_entidades", "kyber_cobertura": { "tipo": "documental", "automatizacion": "n/a", "checks_aws": [], "checks_azure": [], "checks_gcp": [], "responsabilidad_compartida": "cliente", "control_type": "process", "automatable": false, "evidencia": "Muestra de tickets de cambio del último trimestre con aprobación y evidencia de prueba.", "evidencia_en": "Sample of change tickets from the last quarter with approval and test evidence." }, "mapeo_frameworks": { "pci_dss_v4": [ "6.5.1" ], "soc2_tsc": [ "CC8.1" ], "banxico_spei": [ "58a. I.A.c).1", "58a. I.B.c)" ] }, "mapeo_ucf": [ { "clave": "UCF-CFG-002", "relacion": "equivalent", "cobertura_pct": 100 } ] } ] }