AnlinaConsultoría
EN
Segmento · Cumplimiento

Requisitos regulatorios y de mercado

Requisitos que la organización está obligada a cumplir, sustentados requisito por requisito y con evidencia. No con una declaración de intenciones.

Conversar con Anlina
Marcos que cubrimos

Tres obligaciones con orígenes distintos: una la imponen las marcas de pago, otra la pide el mercado como señal de madurez, y la tercera nació como ley europea y se está volviendo el vocabulario común de la resiliencia operacional.

Exigencia de las marcas de pago

PCI DSS v4.0.1

La norma de seguridad para quien almacena, procesa o transmite datos de tarjeta. Versión vigente v4.0.1, con los requisitos que fueron buena práctica hasta el 31 de marzo de 2025 ya exigibles en su totalidad.

Certificación internacional

ISO/IEC 27001:2022

El estándar de sistemas de gestión de seguridad de la información. 93 controles en el Anexo A repartidos en cuatro temas, más la Enmienda 1:2024 sobre cambio climático.

Marco de referencia: DORA, Reglamento (UE) 2022/2554

Resiliencia operacional digital

El marco más desarrollado que existe sobre resiliencia operacional, en vigor en Europa desde el 17 de enero de 2025. Ordena el trabajo en cinco pilares y se está volviendo el lenguaje con el que se hacen las preguntas.

Sobre otras normas

Fuera de estas tres no declaramos cobertura. Si su obligación es otra, la conversamos y le decimos con franqueza si tenemos algo que aportar o si le conviene buscar a alguien más.

Saber que hay que cumplir no es lo mismo que poder demostrarlo

En casi todas las organizaciones existe la convicción de que se cumple. Lo que falta cuando llega el auditor, el adquirente o el supervisor es lo otro: poder mostrar, requisito por requisito, con qué se sustenta esa convicción.

Esa distancia entre el cumplimiento que se asume y el que se puede evidenciar es lo que este servicio mide y cierra.

Una metodología, tres marcos

El trabajo se ejecuta igual en las tres normas. Lo que cambia es contra qué se mide y qué artefactos exige cada una.

  1. 01

    Alcance

    Qué entra, qué queda fuera y con qué criterio se trazó la línea. En PCI es el entorno de datos de titular de tarjeta, en ISO el alcance del sistema de gestión, en resiliencia las funciones críticas. La pregunta es la misma y equivocarse cuesta lo mismo: invalida todo lo que viene después.

  2. 02

    Levantamiento de evidencia

    Entrevistas por familia de requisitos, revisión de configuración, diagramas de red y de flujo de datos, y la documentación que ya existe. Nada entra al informe sin algo que lo respalde.

  3. 03

    Evaluación requisito por requisito

    Cada requisito queda en un estado explícito: cumple, cumple parcialmente o no cumple. Cuando es parcial, el informe dice exactamente qué falta y qué haría falta para cerrarlo.

  4. 04

    Análisis de riesgo y priorización

    Las brechas se ordenan por exposición y esfuerzo. PCI trae su propio orden con los seis hitos del Prioritized Approach; en ISO lo da el análisis de riesgo; en resiliencia, la criticidad de la función afectada.

  5. 05

    Hoja de ruta y ejecución

    El diagnóstico cierra con un plan secuenciado, con responsables y dependencias. Desde ahí hay dos caminos: su equipo lo ejecuta, o Anlina acompaña la implementación.

Dos formas de contratarlo

Modalidad A

Análisis GAP

Compromiso acotado con fecha de cierre. Termina con la posición actual documentada y la hoja de ruta para cerrarla.

Modalidad B

Implementación y acompañamiento

Ejecución del plan junto al equipo del cliente: redacción de políticas, diseño de controles, preparación de evidencia y acompañamiento hasta la auditoría o la revisión del supervisor.

Qué cambia en cada norma

Mismo método, tres conjuntos distintos de artefactos, y tres límites que conviene dejar claros desde el principio.

PCI DSS v4.0.1

Quién la exige

Las marcas de pago, normalmente a través del adquirente.

Lo particular
  • El alcance del entorno de datos de titular de tarjeta, que la norma obliga a confirmar al menos cada 12 meses y ante cambio significativo (12.5.2).
  • El portafolio de análisis de riesgo dirigido que exige el requisito 12.3.1, que es un entregable en sí mismo.
  • La matriz de responsabilidad por requisito para cada proveedor de servicio en alcance (12.8).
  • La priorización sobre los seis hitos del Prioritized Approach publicado por el PCI SSC.
Hito 1135%
Hito 210442%
Hito 3146%
Hito 44317%
Hito 53213%
Hito 64317%
Sub requisitos de PCI DSS v4.0.1 asignados a cada hito. Conteo propio sobre el documento Prioritized Approach for PCI DSS v4.0.1 publicado por el PCI Security Standards Council, 249 sub requisitos mapeados.

ISO/IEC 27001:2022

Quién la exige

El mercado, como señal de madurez, y cada vez más los clientes por contrato.

Lo particular
  • Los 93 controles del Anexo A repartidos en cuatro temas: organizacional, personas, físico y tecnológico.
  • La Declaración de Aplicabilidad, donde se justifica qué control aplica, cuál no y por qué.
  • El análisis y tratamiento de riesgo, que es lo que decide la selección de controles.
  • Los requisitos de la parte principal de la norma: contexto, liderazgo, auditoría interna y revisión por la dirección.

Resiliencia operacional digital

Quién la exige

DORA, en la Unión Europea, desde el 17 de enero de 2025. En la región el vocabulario ya se está adoptando aunque el marco local todavía se esté formando.

Lo particular
  • Gestión del riesgo TIC como marco formal, no como práctica dispersa.
  • Clasificación y reporte de incidentes con criterios definidos y plazos.
  • Pruebas de resiliencia digital sobre las funciones que no pueden caer.
  • Riesgo de proveedores TIC, incluido el registro de acuerdos contractuales.
  • Intercambio de información sobre amenazas con el resto del sector.

Lo que queda en sus manos al cierre

Los cuatro primeros salen de cualquiera de las tres normas. Los dos últimos aparecen cuando la norma los exige.

  • 01

    Definición de alcance

    Formal, documentada y defendible frente a un evaluador.

  • 02

    Matriz de brechas

    Requisito por requisito, con el estado y la evidencia que lo sustenta.

  • 03

    Hoja de ruta priorizada

    Secuenciada por exposición y esfuerzo, con responsables y dependencias.

  • 04

    Presentación ejecutiva

    Para comité o directorio, con la decisión concreta que se necesita de ellos.

  • 05

    Portafolio de análisis de riesgo

    Los análisis dirigidos de PCI DSS, o el tratamiento de riesgo y la Declaración de Aplicabilidad en ISO 27001.

  • 06

    Matriz de terceros

    Responsabilidad por requisito para cada proveedor en alcance, y el registro de acuerdos cuando aplica.

Otros segmentos

Seguridad OT

Evaluación de madurez y consultoría sobre el entorno de control industrial.

PKI

Diseño detallado e implementación de ecosistemas de clave pública.

PCI DSS, PCI Security Standards Council, Qualified Security Assessor y Approved Scanning Vendor son marcas de sus respectivos titulares. ISO e IEC son marcas de sus respectivas organizaciones. Anlina no está afiliada al PCI Security Standards Council, no es QSA y no es organismo de certificación acreditado: la emisión de un ROC, un AoC o un certificado corresponde a las entidades habilitadas para ello.

Una conversación de alcance, sin costo

Para entender contra qué norma necesita medirse, delimitar el alcance y estimar el esfuerzo sobre una base realista.

Conversar con Anlina