Spreadsheet: 16a9ab76-86c2-4ee9-b5e2-a2e2cddfa0e9
Sheet: CSA CCM V3.0

 |  | CLOUD CONTROLS MATRIX VERSION 3.0
Dominio del Control | CCM V3.0 Control ID | [NAME] | Architectural Relevance |  |  |  |  |  | Corp Gov Relevance | Cloud Service Delivery Model Applicability |  |  | Supplier Relationship |  | Scope Applicability
 |  |  | Phys | Network | Compute | Storage | App | Data |  | SaaS | PaaS | IaaS | Service Provider | Tenant / Consumer | AICPA  TS Map | AICPA  Trust Service Criteria (SOC 2SM Report) | BITS Shared Assessments AUP v5.0 | BITS Shared Assessments SIG v6.0 | BSI Germany | CCM V1.X | RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD | Esquema Nacional de Seguridad (ENS) (RD 3/2010) | COBIT 4.1 | CSA Enterprise Architecture / Trust Cloud Initiative | [NAME] V3.0 | ENISA IAF | FedRAMP Security Controls (Final Release, Jan 2012) --LOW IMPACT LEVEL-- | FedRAMP Security Controls (Final Release, Jan 2012) --MODERATE IMPACT LEVEL-- | [NAME] (Aug 2009) | HIPAA / HITECH Act | ISO/IEC 27001-2005 | Jericho Forum | NERC CIP | NIST SP800-53 R3 | NZISM | PCI DSS v2.0
Seguridad de Aplicaciones e Interfaces. [NAME] | AIS-01 | Las aplicaciones y las interfaces (APIs) deberán estar diseñadas, desarrolladas y desplegadas [NAME] con los estándares aceptados por la industria (por ejemplo, OWASP para aplicaciones web) y adherirse a las obligaciones de cumplimiento legal, estatutarias o reglamentarias aplicables. |  | X | X | X | X | X |  | X | X | X | X |  | S3.10.0      S3.10.0 | (S3.10.0) Design, acquisition, implementation, configuration, modification, and management of infrastructure and software are consistent with defined system security policies to enable authorized access and to prevent unauthorized access.  (S3.10.0) Design, acquisition, implementation, configuration, modification, and management of infrastructure and software are consistent with defined processing integrity and related security policies. | I.4 | G.16.3, I.3 |  | SA-04 | 94.4 | Anexo II  [mp.sw.1] - Nivel medio | AI2.4 |  | Domain 10 | 6.03.01. (c) | NIST SP 800-53 R3 SC-5 NIST SP 800-53 R3 SC-6 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-12 NIST SP 800-53 R3 SC-13 NIST SP 800-53 R3 SC-14 | NIST SP 800-53 R3 SA-8 NIST SP 800-53 R3 SC-2 NIST SP 800-53 R3 SC-4 NIST SP 800-53 R3 SC-5 NIST SP 800-53 R3 SC-6 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-7 (1) NIST SP 800-53 R3 SC-7 (2) NIST SP 800-53 R3 SC-7 (3) NIST SP 800-53 R3 SC-7 (4) NIST SP 800-53 R3 SC-7 (5) NIST SP 800-53 R3 SC-7 (7) NIST SP 800-53 R3 SC-7 (8) NIST SP 800-53 R3 SC-7 (12) NIST SP 800-53 R3 SC-7 (13) NIST SP 800-53 R3 SC-7 (18) NIST SP 800-53 R3 SC-8 NIST SP 800-53 R3 SC-8 (1) NIST SP 800-53 R3 SC-9 NIST SP 800-53 R3 SC-9 (1) NIST SP 800-53 R3 SC-10 NIST SP 800-53 R3 SC-11 NIST SP 800-53 R3 SC-12 NIST SP 800-53 R3 SC-12 (2) NIST SP 800-53 R3 SC-12 (5) NIST SP 800-53 R3 SC-13 NIST SP 800-53 R3 SC-13 (1) NIST SP 800-53 R3 SC-14 NIST SP 800-53 R3 SC-17 NIST SP 800-53 R3 SC-18 | 1.2.6 | 45 CFR 164.312(e)(2)(i) | A.11.5.6 A.11.6.1 A.12.2.1 A.12.2.2 A.12.2.3 A.12.2.4 A.12.5.2 A.12.5.4 A.12.5.5 A.12.6.1 A.15.2.1 | Commandment #1 Commandment #2 Commandment #4 Commandment #5 Commandment #11 | CIP-007-3 - R5.1 | SC-2 SC-3 SC-4 SC-5 SC-6 SC-7 SC-8 SC-9 SC-10 SC-11 SC-12 SC-13 SC-14 SC-17 SC-18 SC-20 SC-21 SC-22 SC-23 |  | 6.5
Seguridad de Aplicaciones e Interfaces. [NAME] | AIS-02 | Antes de conceder a los clientes el acceso a los datos, activos y [NAME], todos los requisitos identificados de seguridad, contractuales y reglamentarios sobre el acceso de los clientes deberán ser considerados y corregidos. | X | X | X | X | X | X | X | X | X | X | X | X | S3.2.a | (S3.2.a) a. Logical access security measures to restrict access to information resources not deemed to be public. |  | C.2.1, C.2.3, C.2.4, C.2.6.1, H.1 | 10 (B) 11 (A+) | SA-01 | 91 93 98 | -- |  |  | Domain 10 |  | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 CA-5 NIST SP 800-53 R3 CA-6 | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 CA-5 NIST SP 800-53 R3 CA-6 | 1.2.2 1.2.6 6.2.1 6.2.2 |  | [NAME] | Commandment #6 Commandment #7 Commandment #8 |  | CA-1 CA-2 CA-5 CA-6
Seguridad de Aplicaciones e Interfaces. Integridad de datos | AIS-03 | Se deberán implantar rutinas de integridad de entrada y salida de datos (por ejemplo, en las rutinas de reconciliación o en las comprobaciones de edición) [NAME] aplicaciones y las bases de datos para evitar errores manuales o [NAME], corrupción de datos o uso indebido. |  | X | X | X | X | X |  | X | X | X | X | X | I3.2.0    I3.3.0     I3.4.0    I3.5.0 | (I3.2.0) The procedures related to completeness, accuracy, timeliness, and authorization of inputs are consistent with the documented system processing integrity policies.   (I3.3.0) The procedures related to completeness, accuracy, timeliness, and authorization of system processing, including error correction and database management, are consistent with documented system processing integrity policies.   (I3.4.0) The procedures related to completeness, accuracy, timeliness, and authorization of outputs are consistent with the documented system processing integrity policies.  (I3.5.0) There are procedures to enable tracing of information inputs from their source to their final disposition and vice versa. | I.4 | G.16.3, I.3 |  | SA-05 |  | Anexo II: [op.pl.2] - Todos los niveles [mp.info.5] - Nivel alto |  |  | Domain 10 |  | NIST SP 800-53 R3 SI-2 NIST SP 800-53 R3 SI-3 | NIST SP 800-53 R3 SI-2 NIST SP 800-53 R3 SI-2 (2) NIST SP 800-53 R3 SI-3 NIST SP 800-53 R3 SI-3 (1) NIST SP 800-53 R3 SI-3 (2) NIST SP 800-53 R3 SI-3 (3) NIST SP 800-53 R3 SI-4 NIST SP 800-53 R3 SI-4 (2) NIST SP 800-53 R3 SI-4 (4) NIST SP 800-53 R3 SI-4 (5) NIST SP 800-53 R3 SI-4 (6) NIST SP 800-53 R3 SI-6 NIST SP 800-53 R3 SI-7 NIST SP 800-53 R3 SI-7 (1) NIST SP 800-53 R3 SI-9 NIST SP 800-53 R3 SI-10 NIST SP 800-53 R3 SI-11 | 1.2.6 | 45 CFR 164.312 (c)(1) 45 CFR 164.312 (c)(2) 45 CFR 164.312(e)(2)(i) | A.10.9.2 A.10.9.3 A.12.2.1 A.12.2.2 A.12.2.3 A.12.2.4 A.12.6.1 A.15.2.1 | Commandment #1 Commandment #9 Commandment #11 | CIP-003-3 - R4.2 | SI-10 SI-11 SI-2 SI-3 SI-4 SI-6 SI-7 SI-9 |  | 6.3.1 6.3.2
Seguridad de Aplicaciones e Interfaces. Seguridad / Integridad de datos | AIS-04 | Las políticas y los procedimientos de apoyo a los procesos de negocio deberán [NAME], y [NAME] técnicas implementadas, para garantizar la protección de la confidencialidad, integridad y [NAME] intercambiados entre uno o más interfaces de sistemas, jurisdicciones o relaciones externas del negocio para evitar la divulgación indebida, alteración o destrucción. Estas políticas, procedimientos, procesos y medidas deberán estar en conformidad con las obligaciones legales, estatutarias y reglamentarias. |  | X | X | X | X | X | X | X | X | X | X |  | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. | B.1 | G.8.2.0.2, G.8.2.0.3, G.12.1, G.12.4, G.12.9, G.12.10, [NAME], G.19.2.1, G.19.3.2, G.9.4, G.17.2, G.17.3, G.17.4, G.20.1 | 6 (B) 26 (A+) | SA-03 | 89 91 92.2 93 98 | Anexo II: [op.pl.2] - Todos los niveles | DS5.11 |  | Domain 10 | 6.02. (b) 6.04.03. (a) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SC-13 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-4 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SC-8 | 1.1.0 1.2.2 1.2.6 4.2.3 5.2.1 7.1.2 7.2.1 7.2.2 7.2.3 7.2.4 8.2.1 8.2.2 8.2.3 8.2.5 9.2.1 |  | A.10.8.1 A.10.8.2 A.11.1.1 A.11.6.1 A.11.4.6 A.12.3.1 A.12.5.4 A.15.1.4 | All |  | AC-1 AC-4 SC-1 SC-16 |  | 2.3 3.4.1 4.1 4.1.1 6.1 6.3.2a 6.5c 8.3 10.5.5 11.5
Cumplimiento y aseguramiento [NAME]. [NAME] | AAC-01 | Los planes de auditoría, las actividades y las operaciones centradas en la duplicación de datos, las limitaciones y el acceso a los datos deberán estar diseñados [NAME]. Las actividades de auditoría deben planificarse y acordarse de antemano por los interesados. | X | X | X | X | X | X | X | X | X | X | X |  | S4.1.0   S4.2.0 | (S4.1.0) The entity’s system security is periodically reviewed and compared with the defined system security policies.  (S4.2.0) There is a process to identify and address potential impairments to the entity’s ongoing ability to achieve its objectives in accordance with its defined system security policies. |  | L.1, L.2, L.7, [NAME], L.11 | 58 (B) | CO-01 | 96 | -- | ME 2.1 ME 2.2 PO 9.5 PO 9.6 |  | Domain 2, 4 | 6.01. (d) | NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 CA-7 | NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 CA-7 NIST SP 800-53 R3 CA-7 (2) NIST SP 800-53 R3 PL-6 | 10.2.5 | 45 CFR 164.312(b) | Clause 4.2.3 e) Clause 4.2.3b Clause 5.1 g Clause 6 A.15.3.1 | Commandment #1 Commandment #2 Commandment #3 |  | CA-2  CA-7 PL-6 |  | 2.1.2.b
Cumplimiento y aseguramiento [NAME]. [NAME] | AAC-02 | Las revisiones independientes y las evaluaciones se llevarán a cabo al menos anualmente, o en intervalos planificados, [NAME] organización resuelve cualquier no [NAME] establecidas, los procedimientos y el cumplimiento de las obligaciones contractuales, estatutarias o reguladoras. | X | X | X | X | X | X | X | X | X | X | X | X | S4.1.0   S4.2.0 | (S4.1.0) The entity’s system security is periodically reviewed and compared with the defined system security policies.  (S4.2.0) There is a process to identify and address potential impairments to the entity’s ongoing ability to achieve its objectives in accordance with its defined system security policies. |  | L.2, L.4, L.7, [NAME], L.11 | 58 (B) 59 (B) 61 (C+, A+) 76 (B) 77 (B) | CO-02 | 96 | Art. 34 [NAME] los niveles. | DS5.5 ME2.5 ME 3.1 PO 9.6 |  | [NAME], 4 | 6.03. (e) 6.07.01. (m) 6.07.01. (n) | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 RA-5 | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 RA-5 NIST SP 800-53 R3 RA-5 (1) NIST SP 800-53 R3 RA-5 (2) NIST SP 800-53 R3 RA-5 (3) NIST SP 800-53 R3 RA-5 (6) NIST SP 800-53 R3 RA-5 (9) | 1.2.5 1.2.7 4.2.1 8.2.7 10.2.3 10.2.5 | 45 CFR 164.308 (a)(8) 45 CFR 164.308(a)(1)(ii)(D) | Clause 4.2.3e Clause 5.1 g Clause 5.2.1 d) Clause 6 A.6.1.8 | Commandment #1 Commandment #2 Commandment #3 | CIP-003-3 - R1.3 - R4.3 CIP-004-3 R4 - R4.2 CIP-005-3a - R1 - R1.1 - R1.2 | CA-1 CA-2 CA-6  RA-5 |  | 11.2 11.3 6.6 12.1.2.b
Cumplimiento y aseguramiento [NAME]. [NAME] | AAC-03 | Se deberá mantener un inventario de las obligaciones externas legales, estatutarias y reglamentarias [NAME] organización asociado (y mapeado) con cualquier alcance y [NAME], y que considere datos relevantes o información [NAME] por [NAME] (física o virtual) y los componentes de los sistemas, actualizado periódicamente según [NAME] necesidades del negocio (por ejemplo, un cambio en el alcance y/o un cambio en las obligaciones). | X | X | X | X | X | X | X | X | X | X | X | X | S3.1.0     x3.1.0 | (S3.1.0) Procedures exist to (1) identify potential threats of disruption to systems operation that would impair system security commitments and (2) assess the risks associated with the identified threats.  (x3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operations that would impair system [availability, processing integrity, confidentiality] commitments and (2) assess the risks associated with the identified threats. |  | L.1, L.2, L.4, L.7, L.9 | 76 (B) 77 (B) 78 (B) 83 (B) 84 (B) 85 (B) | CO-05 | 88 | Art. 27 Art. 30 Art. 37 Art. 40 Anexo II:  [org.1] - Todos los niveles | ME 3.1 |  | Domain 2, 4 | 6.10. (a) 6.10. (b) 6.10. (c) 6.10. (d) 6.10. (e) 6.10. (f) 6.10. (g) 6.10. (h) 6.10. (i) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-7 NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SA-6 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SC-13 NIST SP 800-53 R3 SI-1 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-7 NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SA-6 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SC-13 NIST SP 800-53 R3 SC-13 (1) NIST SP 800-53 R3 SC-30 NIST SP 800-53 R3 SI-1 | 1.2.2 1.2.4 1.2.6 1.2.11 3.2.4 5.2.1 |  | ISO/IEC 27001:2005  Clause 4.2.1 b) 2) Clause 4.2.1 c) 1) Clause 4.2.1 g) Clause 4.2.3 d) 6) Clause 4.3.3 Clause 5.2.1 a - f Clause 7.3 c) 4) A.7.2.1 A.15.1.1 A.15.1.3 A.15.1.4 A.15.1.6 | Commandment #1 Commandment #2 Commandment #3 |  | AC-1 AT-1 AU-1 CA-1 CM-1 CP-1 IA-1 IA-7 IR-1 MA-1 MP-1 PE-1 PL-1 PM-1 PS-1 RA-1 RA-2 SA-1 SA-6 SC-1 SC-13 SI-1 |  | 3.1.1 3.1
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Planificación de la Continuidad de Negocio | BCR-01 | Debe establecerse un marco unificado y consistente [NAME] continuidad de negocio y debe desarrollarse un plan, [NAME], [NAME] todos los planes de continuidad del negocio son consistentes en el tratamiento de las prioridades, las pruebas, el mantenimiento y los requisitos de seguridad de la información. Los requisitos para los planes de continuidad del negocio deben incluir los siguientes:   • Un propósito y alcance definidos y en línea con las dependencias pertinentes   • Accesible y comprensible para los que van a utilizarlos   • Identificación de una(s) persona(s) nombrada(s) que es(son) responsable(s) de su revisión, actualización y aprobación   • Las líneas de comunicación específicas, los roles y las responsabilidades deberán estar definidos   • Los procedimientos de recuperación, los manuales de trabajo y [NAME] detallados.   • Hay un método para la invocación del plan | X | X | X | X | X | X | X | X | X | X | X | X | A3.1.0     A3.3.0     A3.4.0 | (A3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system availability commitments and (2) assess the risks associated with the identified threats.  (A3.3.0) Procedures exist to provide for backup, offsite storage, restoration, and disaster recovery consistent with the entity’s defined system availability and related security policies.  (A3.4.0) Procedures exist to provide for the integrity of backup data and systems maintained to support the entity’s defined system availability and related security policies. |  | K.1.2.3. [NAME], K.1.2.5, K.1.2.6, K.1.2.7, [NAME], [NAME], K.1.2.15 |  | RS-03 | 90 94 100 102 | Art 25 Anexo II: [op.cont.2] - Nivel alto |  |  | Domain 7, 8 | 6.07. (a) 6.07. (b) 6.07. (c) | NIST SP800-53 R3 CP-1 NIST SP800-53 R3 CP-2 NIST SP800-53 R3 CP-3 NIST SP800-53 R3 CP-4 NIST SP800-53 R3 CP-9 NIST SP800-53 R3 CP-10 | NIST SP800-53 R3 CP-1 NIST SP800-53 R3 CP-2 NIST SP800-53 R3 CP-2 (1) NIST SP800-53 R3 CP-2 (2) NIST SP800-53 R3 CP-3 NIST SP800-53 R3 CP-4 NIST SP800-53 R3 CP-4 (1) NIST SP800-53 R3 CP-6 NIST SP800-53 R3 CP-6 (1) NIST SP800-53 R3 CP-6 (3) NIST SP800-53 R3 CP-7 NIST SP800-53 R3 CP-7 (1) NIST SP800-53 R3 CP-7 (2) NIST SP800-53 R3 CP-7 (3) NIST SP800-53 R3 CP-7 (5) NIST SP800-53 R3 CP-8 NIST SP800-53 R3 CP-8 (1) NIST SP800-53 R3 CP-8 (2) NIST SP800-53 R3 CP-9 NIST SP800-53 R3 CP-9 (1) NIST SP800-53 R3 CP-9 (3) NIST SP800-53 R3 CP-10 NIST SP800-53 R3 CP-10 (2) NIST SP800-53 R3 CP-10 (3) NIST SP800-53 R3 PE-17 |  | 45 CFR 164.308 (a)(7)(i) 45 CFR 164.308 (a)(7)(ii)(B) 45 CFR 164.308 (a)(7)(ii)(C) 45 CFR 164.308 (a)(7)(ii)(E) 45 CFR 164.310 (a)(2)(i) 45 CFR 164.312 (a)(2)(ii) | Clause 5.1 A.6.1.2 A.14.1.3 A.14.1.4 | Commandment #1 Commandment #2 Commandment #3 |  | CP-1 CP-2 CP-3 CP-4 CP-6 CP-7 CP-8 CP-9 CP-10 PE-17 |  | 12.9.1 12.9.3 12.9.4 12.9.6
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Pruebas [NAME] | BCR-02 | Los planes de respuesta ante incidentes de seguridad y de continuidad de negocio estarán sometidos a pruebas en los intervalos planificados o cuando se produzcan cambios organizativos o ambientales significativos. Los planes de respuesta ante incidentes deberán implicar a los clientes (arrendatarios) afectados y a otras relaciones comerciales que representen dependencias críticas de procesos de negocio dentro de la cadena de suministro. | X | X | X | X | X | X | X | X | X | X | X | X | A3.3 | (A3.3) Procedures exist to provide for backup, offsite storage, restoration, and disaster recovery consistent with the entity’s defined system availability and related security policies. |  | K.1.3, K.1.4.3, K.1.4.6, K.1.4.7, [NAME], [NAME], K.1.4.10, K.1.4.11, K.1.4.12 | 52 (B) 55 (A+) | [NAME] | 94.3 | Anexo II:  [op.cont.3] - Nivel Alto |  |  | Domain 7, 8 | 6.07.01. (b) 6.07.01. (j) 6.07.01. (l) | NIST SP800-53 R3 CP-2 NIST SP800-53 R3 CP-3 NIST SP800-53 R3 CP-4 | NIST SP800-53 R3 CP-2 NIST SP800-53 R3 CP-2 (1) NIST SP800-53 R3 CP-2 (2) NIST SP800-53 R3 CP-3 NIST SP800-53 R3 CP-4 NIST SP800-53 R3 CP-4 (1) |  | 45 CFR 164.308 (a)(7)(ii)(D) | A.14.1.5 | Commandment #1 Commandment #2 Commandment #3 |  | CP-2 CP-3 CP-4 |  | 12.9.2
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Servicios [NAME] y condiciones medioambientales | BCR-03 | Los servicios [NAME] y sus condiciones ambientales (por ejemplo, agua, electricidad, [NAME], telecomunicaciones y conectividad a Internet) deberán ser securizados, monitorizados, mantenidos y probados para garantizar [NAME] eficacia a intervalos planificados, de tal forma que se asegure la protección contra la interceptación no autorizada o el daño; además deberán ser diseñados con un balanceo automático y/o otras redundancias en el caso de interrupciones, estén planificadas o no. | X | X |  |  |  |  |  | X | X | X | X |  | A3.2.0    A3.4.0 | (A3.2.0) Measures to prevent or mitigate threats have been implemented consistent with the risk assessment when commercially practicable.  (A3.4.0) Procedures exist to protect against unauthorized access to system resource. | F.1 | F.1.6, F.1.6.1, [NAME], F.1.9.2, F.2.10, F.2.11, F.2.12 | 9 (B) 10 (B) | RS-08 |  | Art 25 Anexo II: [mp.s.9] - Nivel alto [mp.com.2] - Nivel alto [mp.com.3] - Nivel alto [mp.com.9] - Nivel alto |  |  | Domain 7, 8 | 6.08. (a) 6.09. (c) 6.09. (f) 6.09. (g) | NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-13 NIST SP800-53 R3 PE-13 (1) NIST SP800-53 R3 PE-13 (2) NIST SP800-53 R3 PE-13 (3) | NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-4 NIST SP800-53 R3 PE-13 NIST SP800-53 R3 PE-13 (1) NIST SP800-53 R3 PE-13 (2) NIST SP800-53 R3 PE-13 (3) |  |  | A.9.2.2 A.9.2.3 | Commandment #1 Commandment #2 Commandment #3 Commandment #4 Commandment #9 Commandment #11 |  | PE-1 PE-4 PE-13
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Documentación | BCR-04 | La documentación del sistema de información (por ejemplo, [NAME] y usuario, diagramas de arquitectura, etc.) se pondrá a disposición del personal autorizado para garantizar lo siguiente:    • Una correcta configuración, instalación y operación del sistema de información    • Una utilización eficaz de las funciones de seguridad del sistema |  | X | X | X | X | X | X | X | X | X | X |  | S3.11.0     A.2.1.0 | (S3.11.0) Procedures exist to provide that personnel responsible for the design, development, implementation, and operation of systems affecting security have the qualifications and resources to fulfill their responsibilities.  (A.2.1.0) The entity has prepared an objective description of the system and its boundaries and communicated such description to authorized users. |  | G.1.1 | 56 (B) 57 (B) | OP-02 | 88 | Anexo II: [op.pl.2] - Todos los niveles | DS 9 DS 13.1 |  | Domain 7, 8 |  | NIST SP 800-53 R3 CP-9 NIST SP 800-53 R3 CP-10 NIST SP 800-53 R3 SA-5 | NIST SP 800-53 R3 CP-9 NIST SP 800-53 R3 CP-9 (1) NIST SP 800-53 R3 CP-9 (3) NIST SP 800-53 R3 CP-10 NIST SP 800-53 R3 CP-10 (2) NIST SP 800-53 R3 CP-10 (3) NIST SP 800-53 R3 SA-5 NIST SP 800-53 R3 SA-5 (1) NIST SP 800-53 R3 SA-5 (3) NIST SP 800-53 R3 SA-10 NIST SP 800-53 R3 SA-11 NIST SP 800-53 R3 SA-11 (1) | 1.2.6 |  | Clause 4.3.3 A.10.7.4 | Commandment #1 Commandment #2 Commandment #4 Commandment #5 Commandment #11 | CIP-005-3a - R1.3 CIP-007-3 - R9 | CP-9 CP-10 SA-5 SA-10 SA-11 |  | 12.1 12.2 12.3 12.4
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Riesgos medioambientales | BCR-05 | La protección física contra el daño debido a causas naturales y desastres, así como los ataques deliberados (incluyendo incendios, inundaciones, descargas eléctricas atmosféricas, tormentas solares, vientos, terremotos, tsunamis, explosiones, accidentes nucleares, actividades volcánicas, riesgos biológicos, disturbios civiles, actividades tectónicas, y otros tipos de catástrofes naturales o de origen humano) deberán ser anticipados y diseñados, con contramedidas aplicadas. | X |  |  |  |  |  | X | X | X | X | X |  | A3.1.0     A3.2.0 | (A3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system availability commitments and (2) assess the risks associated with the identified threats.  (A3.2.0) Measures to prevent or mitigate threats have been implemented consistent with the risk assessment when commercially practicable. | F.1 | F.2.9, F.1.2.21, F.5.1, F.1.5.2, F.2.1, F.2.7, F.2.8 |  | RS-05 |  | Art. 6 Anexo II:  [op.pl.1] - Todos los niveles [mp.if.5] - Todos los niveles [mp.if.6] - Nivel medio |  |  | Domain 7, 8 | 6.07. (d) 6.08. (a) 6.09. (a) 6.09. (b) 6.09. (d) | NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-13 NIST SP800-53 R3 PE-14 NIST SP800-53 R3 PE-15 | NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-13 NIST SP800-53 R3 PE-13 (1) NIST SP800-53 R3 PE-13 (2) NIST SP800-53 R3 PE-13 (3) NIST SP800-53 R3 PE-14 NIST SP800-53 R3 PE-15 NIST SP800-53 R3 PE-18 | 8.2.4 | 45 CFR 164.308 (a)(7)(i) 45 CFR 164.310(a)(2)(ii) | A.9.1.4 A.9.2.1 | Commandment #1 Commandment #2 Commandment #3 | CIP-004-3 R3.2 | PE-1 PE-13 PE-14 PE-15 PE-18
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Localización del equipamiento | BCR-06 | Para reducir los riesgos de las amenazas ambientales, los peligros y las oportunidades [NAME] acceso no autorizado, el equipamiento deberá mantenerse alejado de lugares con alta exposición a riesgos ambientales y deberá proveerse de equipos redundantes situados a una distancia razonable. | X |  |  |  |  |  | X | X | X | X | X |  | A3.1.0     A3.2.0 | (A3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system availability commitments and (2) assess the risks associated with the identified threats.  (A3.2.0) Measures to prevent or mitigate threats have been implemented consistent with the risk assessment when commercially practicable. | F.1 | F.2.9, F.1.2.21, F.5.1, F.1.5.2, F.2.1, F.2.7, F.2.8 | 53 (A+) 75 (C+, A+) | RS-06 | 102 | Anexo II: [mp.com.1] - Nivel alto [mp.s.9] - Nivel alto |  |  | Domain 7, 8 | 6.07. (d) 6.08. (a) 6.09. (a) 6.09. (b) 6.09. (d) | NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-14 NIST SP800-53 R3 PE-15 | NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-5 NIST SP800-53 R3 PE-14 NIST SP800-53 R3 PE-15 NIST SP800-53 R3 PE-18 |  | 45 CFR 164.310 (c) | A.9.2.1 | Commandment #1 Commandment #2 Commandment #3 |  | PE-1 PE-5 PE-14 PE-15 PE-18 |  | 9.1.3 9.5 9.6 9.9 9.9.1
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Mantenimiento del equipamiento | BCR-07 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] a los procesos de negocio que garanticen el mantenimiento de la continuidad y la [NAME] operaciones y el personal de apoyo. | X | X | X | X | X | X | X | X | X | X | X |  | A3.2.0    A4.1.0 | (A3.2.0) Measures to prevent or mitigate threats have been implemented consistent with the risk assessment when commercially practicable.  (A4.1.0) The entity’s system availability and security performance is periodically reviewed and compared with the defined system availability and related security policies. |  | F.2.19 | 1 (B) | OP-04 | 88 92.2 97.2 101 | Anexo II: [op.exp.4] - Todos los niveles [op.exp.6] - Todos los niveles | A13.3 |  | Domain 7, 8 | 6.09. (h) | NIST SP 800-53 R3 MA-2 NIST SP 800-53 R3 MA-4 NIST SP 800-53 R3 MA-5 | NIST SP 800-53 R3 MA-2 NIST SP 800-53 R3 MA-2 (1) NIST SP 800-53 R3 MA-3 NIST SP 800-53 R3 MA-3 (1) NIST SP 800-53 R3 MA-3 (2) NIST SP 800-53 R3 MA-3 (3) NIST SP 800-53 R3 MA-4 NIST SP 800-53 R3 MA-4 (1) NIST SP 800-53 R3 MA-4 (2) NIST SP 800-53 R3 MA-5 NIST SP 800-53 R3 MA-6 | 5.2.3  8.2.2  8.2.3  8.2.4  8.2.5  8.2.6  8.2.7 | 45 CFR 164.310 (a)(2)(iv) | A.9.2.4 | Commandment #2 Commandment #5 Commandment #11 | CIP-007-3 - R6.1 - R6.2 - R6.3 - R6.4 | MA-2 MA-3 MA-4 MA-5 MA-6
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Fallos del equipamiento de alimentación | BCR-08 | Se aplicarán [NAME] información y las redundancias necesarias para proteger [NAME] (por ejemplo, cortes de energía o interrupciones de la red). | X | X | X |  |  |  |  | X | X | X | X |  | A3.2.0 | (A3.2.0) Measures to prevent or mitigate threats have been implemented consistent with the risk assessment when commercially practicable. | F.1 | F.1.6, F.1.6.1, [NAME], F.1.9.2, F.2.10, F.2.11, F.2.12 | 54 (A+) | RS-07 |  | Anexo II: [mp.if.3] - Todos los niveles [mp.if.4] - Todos los niveles [mp.if.5] - Todos los niveles [mp.if.6] - Nivel medio [mp.if.9] - Todos los niveles [mp.com.1] - Nivel alto [mp.s.9] - Nivel alto |  |  | Domain 7, 8 | 6.08. (a) 6.09. (e) 6.09. (f) | NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-12 NIST SP800-53 R3 PE-13 NIST SP800-53 R3 PE-14 | NIST SP800-53 R3 CP-8 NIST SP800-53 R3 CP-8 (1) NIST SP800-53 R3 CP-8 (2) NIST SP800-53 R3 PE-1 NIST SP800-53 R3 PE-9 NIST SP800-53 R3 PE-10 NIST SP800-53 R3 PE-11 NIST SP800-53 R3 PE-12 NIST SP800-53 R3 PE-13 NIST SP800-53 R3 PE-13 (1) NIST SP800-53 R3 PE-13 (2) NIST SP800-53 R3 PE-13 (3) NIST SP800-53 R3 PE-14 |  |  | A.9.2.2 A.9.2.3 A 9.2.4 | Commandment #1 Commandment #2 Commandment #3 |  | CP-8 PE-1 PE-9 PE-10 PE-11 PE-12 PE-13 PE-14
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Análisis de Impacto | BCR-09 | Deberá existir un procedimiento [NAME] para [NAME] cualquier [NAME], que deberá incorporar los siguientes aspectos:  • Identificar los productos y servicios [NAME] Identificar todas las dependencias, incluyendo procesos, aplicaciones, socios comerciales y proveedores de servicios externos  • Comprender las amenazas a los productos y servicios [NAME] los impactos resultantes de interrupciones planificadas o no planificadas y cómo éstos varían con el tiempo  • Establecer el período [NAME] prioridades para la recuperación  • Establecer los objetivos de tiempo de recuperación para la reanudación de los productos y servicios [NAME] período máximo tolerable de interrupción  • Estimar los recursos necesarios [NAME] reanudación | X | X | X | X | X | X | X | X | X | X | X | X | A3.1.0     A3.3.0     A3.4.0 | (A3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system availability commitments and (2) assess the risks associated with the identified threats.  (A3.3.0) Procedures exist to provide for backup, offsite storage, restoration, and disaster recovery consistent with the entity’s defined system availability and related security policies.  (A3.4.0) Procedures exist to provide for the integrity of backup data and systems maintained to support the entity’s defined system availability and related security policies. |  | K.2 |  | RS-02 | 90 100 | Anexo II:  [op.cont.1] - Nivel medio |  |  | Domain 7, 8 | 6.02. (a) 6.03.03. (c) 6.07. (a) 6.07. (b) 6.07. (c) | NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 CP-2 NIST SP 800-53 R3 RA-3 | NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 CP-2 NIST SP 800-53 R3 RA-3 |  | 45 CFR 164.308 (a)(7)(ii)(E) | ISO/IEC 27001:2005 A.14.1.2 A 14.1.4 | Commandment #1 Commandment #2 Commandment #3 | CIP-007-3 - R8 - R8.1 - R8.2 - R8.3 | RA-3
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Programa de Gestión | BCR-10 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] a los procesos de negocio para [NAME], la continuidad operativa y la gestión de los riesgos relacionados con las interrupciones de negocio, [NAME] menores o catastróficas. Estas políticas, procedimientos, procesos y medidas deben proteger [NAME] operaciones críticas del negocio y los activos [NAME] empresa, [NAME] con las obligaciones de cumplimiento legal, estatutaria o reglamentarias aplicables. Se implementará un programa [NAME] con las funciones y responsabilidades de soporte, que haya sido comunicado, y en caso necesario, contractualmente convenido por [NAME], el personal y/o las relaciones comerciales externas. | X | X | X | X | X | X | X | X | X | X | X | X | A3.1.0     A3.3.0     A3.4.0 | Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system availability commitments and (2) assess the risks associated with the identified threats.  Procedures exist to provide for backup, offsite storage, restoration, and disaster recovery consistent with the entity’s defined system availability and related security policies.  Procedures exist to provide for the integrity of backup data and systems maintained to support the entity’s defined system availability and related security policies. |  | K.1.2.9, K.1.2.10, K.3.1 | 27 (B) 31 (C+, A+) | RS-01 | 88 | Anexo II:  [op.cont.2] - Nivel alto | PO 9.1 PO 9.2 DS 4.2 |  | Domain 7, 8 | 6.07. (a) | NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 CP-2 | NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 CP-2 NIST SP 800-53 R3 CP-2 (1) NIST SP 800-53 R3 CP-2 (2) |  | 45 CFR 164.308 (a)(7)(i) 45 CFR 164.308 (a)(7)(ii)(C) | Clause 4.3.2 A.14.1.1 A 14.1.4 | Commandment #1 Commandment #2 Commandment #3 |  | CP-1 CP-2 |  | 12.9.1
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Política | BCR-11 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] a los procesos de negocio que permitan un gobierno de TI adecuado y una gestión de servicios que garanticen una adecuada planificación, [NAME], dando soporte a las funciones de negocio, [NAME], y/o a los clientes, basados en normas aceptadas por la industria (como ITIL y COBIT 5). Además, las políticas y procedimientos deberán incluir roles y responsabilidades definidos, apoyados por una formación regular de la mano de obra. |  |  |  | X | X | X | X | X | X | X | X |  | S2.3.0 | (S2.3.0) Responsibility and accountability for the entity’s system availability, confidentiality of data, processing integrity, system security and related security policies and changes and updates to those policies are communicated to entity personnel responsible for implementing them. |  | G.1.1 | 45 (B) | OP-01 | 88 89 | -- | DS13.1 |  | Domain 7, 8 | 6.03. (c) | NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-4 NIST SP 800-53 R3 CM-6 NIST SP 800-53 R3 MA-4 NIST SP 800-53 R3 SA-3 NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-5 | NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-2 (1) NIST SP 800-53 R3 CM-2 (3) NIST SP 800-53 R3 CM-2 (5) NIST SP 800-53 R3 CM-3 NIST SP 800-53 R3 CM-3 (2) NIST SP 800-53 R3 CM-4 NIST SP 800-53 R3 CM-5 NIST SP 800-53 R3 CM-6 NIST SP 800-53 R3 CM-6 (1) NIST SP 800-53 R3 CM-6 (3) NIST SP 800-53 R3 CM-9 NIST SP 800-53 R3 MA-4 NIST SP 800-53 R3 MA-4 (1) NIST SP 800-53 R3 MA-4 (2) NIST SP 800-53 R3 SA-3 NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-4 (1) NIST SP 800-53 R3 SA-4 (4) NIST SP 800-53 R3 SA-4 (7) NIST SP 800-53 R3 SA-5 NIST SP 800-53 R3 SA-5 (1) NIST SP 800-53 R3 SA-5 (3) NIST SP 800-53 R3 SA-8 NIST SP 800-53 R3 SA-10 NIST SP 800-53 R3 SA-11 NIST SP 800-53 R3 SA-11 (1) NIST SP 800-53 R3 SA-12 | 8.2.1 |  | Clause 5.1 A 8.1.1 A.8.2.1 A 8.2.2 A.10.1.1 | Commandment #1 Commandment #2 Commandment #3 Commandment #6 Commandment #7 |  | CM-2 CM-3 CM-4 CM-5 CM-6 CM-9 MA-4 SA-3 SA-4 SA-5 SA-8 SA-10 SA-11 SA-12 |  | 12.1 12.2 12.3 12.4
Gestión de la Continuidad del Negocio y Resiliencia Operacional. Política de Retención de Activos | BCR-12 | [NAME] establecerán las políticas y los procedimientos, y se implementarán [NAME] [NAME] a los procesos de negocio [NAME] cumplir con el período de retención de cualquier activo crítico, según las políticas y procedimientos establecidos, y las obligaciones de cumplimiento legal, estatutaria o reglamentarias aplicables. Deberán incorporarse [NAME] y recuperación como parte [NAME] continuidad del negocio y [NAME]. |  |  | X | X | X | X | X | X | X | X | X | X | A3.3.0     A3.4.0    I3.20.0    I3.21.0 | (A3.3.0) Procedures exist to provide for backup, offsite storage, restoration, and disaster recovery consistent with the entity’s defined system availability and related security policies.  (A3.4.0) Procedures exist to provide for the integrity of backup data and systems maintained to support the entity’s defined system availability and related security policies.  (I3.20.0) Procedures exist to provide for restoration and disaster recovery consistent with the entity’s defined processing integrity policies.  (I3.21.0) Procedures exist to provide for the completeness, accuracy, and timeliness of backup data and systems. |  | D.2.2.9 | 36 (B) | [NAME] | 94 | Art. 7 Art. 21 Art. 25 Anexo II: [mp.info.9] - Nivel medio | DS 4.1 DS 4.2 DS 4.5 DS 4.9 DS 11.6 |  | Domain 5 | 6.03. (h) 6.07.01. (c) | NIST SP 800-53 R3 CP-2 NIST SP 800-53 R3 CP-9 | NIST SP 800-53 R3 CP-2 NIST SP 800-53 R3 CP-2 (1) NIST SP 800-53 R3 CP-2 (2) NIST SP 800-53 R3 CP-6 NIST SP 800-53 R3 CP-6 (1) NIST SP 800-53 R3 CP-6 (3) NIST SP 800-53 R3 CP-7 NIST SP 800-53 R3 CP-7 (1) NIST SP 800-53 R3 CP-7 (2) NIST SP 800-53 R3 CP-7 (3) NIST SP 800-53 R3 CP-7 (5) NIST SP 800-53 R3 CP-8 NIST SP 800-53 R3 CP-8 (1) NIST SP 800-53 R3 CP-8 (2) NIST SP 800-53 R3 CP-9 NIST SP 800-53 R3 CP-9 (1) NIST SP 800-53 R3 CP-9 (3) | 5.1.0 5.1.1 5.2.2 8.2.6 | 45 CFR 164.308 (a)(7)(ii)(A) 45 CFR 164.310 (d)(2)(iv) 45 CFR 164.308(a)(7)(ii)(D) 45 CFR 164.316(b)(2)(i) (New) | Clause 4.3.3 A.10.5.1 A.10.7.3 | Commandment #11 | CIP-003-3 - R4.1 | CP-2 CP-6 CP-7 CP-8 CP-9 SI-12 AU-11 |  | 3.1 3.1.1 3.2 9.9.1 9.5 9.6 10.7
Control de Cambios y Gestión de la Configuración. [NAME] y Nuevos desarrollos | CCC-01 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] a los procesos [NAME] para garantizar [NAME] y / o la adquisición de nuevos datos, aplicaciones físicas o virtuales, [NAME], componentes de los sistemas, operaciones y/o instalaciones de centros de datos han sido autorizados previamente por el liderazgo [NAME] organización u otro rol o función empresarial con la correspondiente rendición de cuentas. | X | X | X | X | X | X | X | X | X | X | X |  | S3.12.0    S3.10.0     S3.13.0 | (S3.12.0) Procedures exist to maintain system components, including configurations consistent with the defined system security policies.  (S3.10.0) Design, acquisition, implementation, configuration, modification, and management of infrastructure and software are consistent with defined system security policies.  (S3.13.0) Procedures exist to provide that only authorized, tested, and documented changes are made to the system. | I.2 | I.1.1, I.1.2, I.2. 7.2, I.2.8, I.2.9, I.2.10, I.2.13, I.2.14, I.2.15, I.2.18, I.2.22.6, L.5 |  | RM-01 | 94.4 | Anexo II:  [op.pl.3] - Todos los niveles | A12 A16.1 |  | None | 6.03. (a) | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PL-2 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SA-3 NIST SP 800-53 R3 SA-4 | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CM-9 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PL-2 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SA-3 NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-4 (1) NIST SP 800-53 R3 SA-4 (4) NIST SP 800-53 R3 SA-4 (7) | 1.2.6 |  | A.6.1.4 A.6.2.1 [NAME] A.12.5.5 A.15.1.3 A.15.1.4 | Commandment #1 Commandment #2 Commandment #3 |  | CA-1 CM-1 CM-9 PL-1 PL-2 SA-1 SA-3 SA-4 |  | 6.3.2
Control de Cambios y Gestión de la Configuración. [NAME] | CCC-02 | El uso de mano de obra subcontratada o externa [NAME] [NAME], desarrollar, probar, y/o [NAME] organización [NAME] mayor [NAME] y [NAME] (por ejemplo, [NAME], la certificación independiente de la [NAME] líneas base de seguridad, la formación obligatoria para la mano de obra subcontratada y las revisiones de seguridad del código ). |  | X | X | X | X | X | X | X | X | X | X | X | S3.10.0      S3.13 | (S3.10.0) Design, acquisition, implementation, configuration, modification, and management of infrastructure and software are consistent with defined system availability, confidentiality of data, processing integrity, systems security and related security policies.  (S3.13) Procedures exist to provide that only authorized, tested, and documented changes are made to the system. | [NAME] | C.2.4, G.4, G6, I.1, I.4.4, I.4.5, I.2.7.2, I.2.8, I.2.9, I.2.15, I.2.18, I.2.22.6, I.2.7.1, I.2.13, I.2.14, I.2.17, I.2.20, I.2.22.2, I.2.22.4, I.2.22.7, I.2.22.8, I.2.22.9, I.2.22.10, I.2.22.11, I.2.22.12, I.2.22.13, I.2.22.14, I.3, J.1.2.10, L.7, L.9, L.10 | 27 (B) | [NAME] | 82 85 86 88 89 | Anexo II:  [op.ext.1] - Nivel medio [op.ext.2] - Nivel medio |  |  | None |  | NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-5 NIST SP 800-53 R3 SA-9 | NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-4 (1) NIST SP 800-53 R3 SA-4 (4) NIST SP 800-53 R3 SA-4 (7) NIST SP 800-53 R3 SA-5 NIST SP 800-53 R3 SA-5 (1) NIST SP 800-53 R3 SA-5 (3) NIST SP 800-53 R3 SA-8 NIST SP 800-53 R3 SA-9 NIST SP 800-53 R3 SA-9 (1) NIST SP 800-53 R3 SA-10 NIST SP 800-53 R3 SA-11 NIST SP 800-53 R3 SA-11 (1) NIST SP 800-53 R3 SA-12 |  |  | A.6.1.8 A.6.2.1 A.6.2.3 A.10.1.4 A.10.2.1 A.10.2.2 A.10.2.3 A.10.3.2 A.12.1.1 A.12.2.1 A.12.2.2 A.12.2.3 A.12.2.4 A.12.4.1 A.12.4.2 A.12.4.3 [NAME] A.12.5.5 A.12.6.1 A.13.1.2 A.15.2.1 A.15.2.2 | Commandment #1 Commandment #2 Commandment #3 |  | SA-4 SA-5 SA-8 SA-9 SA-10 SA-11 SA-12 SA-13 |  | 3.6.7 6.4.5.2 7.1.3 8.5.1 9.1 9.1.2 9.2b 9.3.1 10.5.2 11.5 12.3.1 12.3.3
Control de Cambios y Gestión de la Configuración. Pruebas de Calidad | CCC-03 | Se establecerá un programa [NAME] y evaluación [NAME] [NAME] se cumplen [NAME] y de seguridad en las líneas bases [NAME] el software desarrollado por la organización. [NAME] establecerán y documentarán los criterios de evaluación y de aceptación de calidad para los sistemas de información, las actualizaciones y las nuevas versiones. Las pruebas de los sistemas se llevarán a cabo tanto durante el desarrollo como antes de ser aceptados, [NAME]. La dirección dispondrá de una clara capacidad [NAME] el proceso de pruebas de calidad, y se certificará el producto final como "apto [NAME]" (el producto debe ser adecuado [NAME]) y "[NAME] a la primera" (los errores deberían ser eliminados) antes de la publicación. También es necesario incorporar las revisiones técnicas de seguridad (es decir, las evaluaciones de vulnerabilidad y/o pruebas de penetración) para remediar las vulnerabilidades que puedan suponer un riesgo [NAME] o un riesgo [NAME]arrendatarios) antes [NAME] publicación. |  | X | X | X | X | X | X | X | X | X | X |  | A3.13.0 C3.16.0 I3.14.0 S3.10.0   S3.13 | (A3.13.0, C3.16.0, I3.14.0, S3.10.0) Design, acquisition, implementation, configuration, modification, and management of infrastructure and software are consistent with defined system availability, confidentiality of data, processing integrity, systems security and related security policies.  (S3.13) Procedures exist to provide that only authorized, tested, and documented changes are made to the system. |  | C.1.7, G.1, G.6, I.1, I.4.5, I.2.18, I.22.1, I.22.3, I.22.6, I.2.23, I.2.22.2, I.2.22.4, I.2.22.7. I.2.22.8, I.2.22.9, I.2.22.10, I.2.22.11, I.2.22.12, I.2.22.13, I.2.22.14,I.2.20, I.2.17, I.2.7.1, I.3, [NAME], L.9 |  | RM-03 |  | Anexo II:  [mp.sw.2] - Todos los niveles | PO 8.1 |  | None | 6.03.01. (b) 6.03.01. (d) | NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 SA-3 NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-5 | NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-2 (1) NIST SP 800-53 R3 CM-2 (3) NIST SP 800-53 R3 CM-2 (5) NIST SP 800-53 R3 SA-3 NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-4 (1) NIST SP 800-53 R3 SA-4 (4) NIST SP 800-53 R3 SA-4 (7) NIST SP 800-53 R3 SA-5 NIST SP 800-53 R3 SA-5 (1) NIST SP 800-53 R3 SA-5 (3) NIST SP 800-53 R3 SA-8 NIST SP 800-53 R3 SA-10 NIST SP 800-53 R3 SA-11 NIST SP 800-53 R3 SA-11 (1) | 9.1.0 9.1.1 9.2.1 9.2.2 |  | [NAME] A.12.1.1 A.12.2.1 A.12.2.2 A.12.2.3 A.12.2.4 A.12.4.1 A.12.4.2 A.12.4.3 [NAME] A.12.6.1 A.13.1.2 A.15.2.1 A.15.2.2 | Commandment #1 Commandment #2 Commandment #3 |  | CM-1 CM-2 SA-3 SA-4 SA-5 SA-8 SA-10 SA-11 SA-13 |  | 1.1.1 6.1 6.4
Control de Cambios y Gestión de la Configuración. Instalaciones no autorizadas de software | CCC-04 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] a los procesos de negocio para restringir [NAME] no autorizado en los dispositivos de usuario final pertenecientes a la empresa (por ejemplo, estaciones de trabajo,  portátiles y [NAME]), en la red de infraestructura TI y en los componentes de los sistemas de información. |  | X | X | X | X |  | X | X | X | X | X |  | A3.6.0     S3.5.0   S3.13.0 | (A3.6.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers.  (S3.5.0) Procedures exist to protect against infection by computer viruses, malicious code, and unauthorized software.  (S3.13.0) Procedures exist to provide that only authorized, tested, and documented changes are made to the system. | G.1 I.2 | G.2.13, G.20.2,G.20.4, G.20.5, [NAME], G.7.1, G.12.11, H.2.16, I.2.22.1, I.2.22.3,  I.2.22.6, I.2.23 |  | RM-05 | 88 89 | Anexo II: [op.acc.4] - Todos los niveles |  |  | None |  | NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-7 NIST SP 800-53 R3 CM-8 NIST SP 800-53 R3 SA-6 NIST SP 800-53 R3 SA-7 NIST SP 800-53 R3 SI-1 NIST SP 800-53 R3 SI-3 | NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-2 (1) NIST SP 800-53 R3 CM-2 (3) NIST SP 800-53 R3 CM-2 (5) NIST SP 800-53 R3 CM-3 NIST SP 800-53 R3 CM-3 (2) NIST SP 800-53 R3 CM-5 NIST SP 800-53 R3 CM-5 (1) NIST SP 800-53 R3 CM-5 (5) NIST SP 800-53 R3 CM-7 NIST SP 800-53 R3 CM-7 (1) NIST SP 800-53 R3 CM-8 NIST SP 800-53 R3 CM-8 (1) NIST SP 800-53 R3 CM-8 (3) NIST SP 800-53 R3 CM-8 (5) NIST SP 800-53 R3 CM-9 NIST SP 800-53 R3 SA-6 NIST SP 800-53 R3 SA-7 NIST SP 800-53 R3 SI-1 NIST SP 800-53 R3 SI-3 NIST SP 800-53 R3 SI-3 (1) NIST SP 800-53 R3 SI-3 (2) NIST SP 800-53 R3 SI-3 (3) NIST SP 800-53 R3 SI-4 NIST SP 800-53 R3 SI-4 (2) NIST SP 800-53 R3 SI-4 (4) NIST SP 800-53 R3 SI-4 (5) NIST SP 800-53 R3 SI-4 (6) NIST SP 800-53 R3 SI-7 NIST SP 800-53 R3 SI-7 (1) | 3.2.4 8.2.2 |  | A.10.1.3 A.10.4.1 A.11.5.4 A.11.6.1 A.12.4.1 A.12.5.3 | Commandment #1 Commandment #2 Commandment #3 Commandment #5 Commandment #11 |  | CM-1 CM-2 CM-3 CM-5 CM-7 CM-8 CM-9 SA-6 SA-7 SI-1 SI-3 SI-4 SI-7
Control de Cambios y Gestión de la Configuración. Cambios en producción | CCC-05 | [NAME] establecerán las políticas y los procedimientos, y se implementarán los procesos relacionados con la gestión y el gobierno de los servicios TI para la gestión de los riesgos asociados con la aplicación de cambios en los negocios críticos o clientes (arrendatarios) que afecten a las aplicaciones (físicas y virtuales), las interfaces de los sistemas (APIs), las configuraciones y diseños, así como a la infraestructura de red y a los componentes del sistema. [NAME] [NAME] técnicas [NAME], [NAME], todos los cambios correspondan directamente con una solicitud de cambio, críticos [NAME] o que produzca un análisis de riesgos de los clientes, que se realice una validación de los resultados esperados en el entorno, que se establezca una preautorización de la dirección adecuada, y que se produzca la notificación así como la autorización de los clientes, según el acuerdo de nivel de servicio (SLA). |  | X | X | X | X | X | X | X | X | X | X | X | A3.16.0 S3.13.0 | (A3.16.0, S3.13.0) Procedures exist to provide that only authorized, tested, and documented changes are made to the system. |  | I.2.17, I.2.20, I.2.22 |  | RM-02 | 94.4 | Anexo II:  [op.exp.5] - Nivel medio [mp.sw.2] - Todos los niveles | A16.1 A17.6 |  | None | 6.03. (a) | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 CA-7 NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-6 NIST SP 800-53 R3 PL-2 NIST SP 800-53 R3 PL-5 NIST SP 800-53 R3 SI-2 | NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 CA-7 NIST SP 800-53 R3 CA-7 (2) NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-2 (1) NIST SP 800-53 R3 CM-2 (3) NIST SP 800-53 R3 CM-2 (5) NIST SP 800-53 R3 CM-3 NIST SP 800-53 R3 CM-3 (2) NIST SP 800-53 R3 CM-5 NIST SP 800-53 R3 CM-5 (1) NIST SP 800-53 R3 CM-5 (5) NIST SP 800-53 R3 CM-6 NIST SP 800-53 R3 CM-6 (1) NIST SP 800-53 R3 CM-6 (3) NIST SP 800-53 R3 CM-9 NIST SP 800-53 R3 PL-2 NIST SP 800-53 R3 PL-5 NIST SP 800-53 R3 SI-2 NIST SP 800-53 R3 SI-2 (2) NIST SP 800-53 R3 SI-6 NIST SP 800-53 R3 SI-7 NIST SP 800-53 R3 SI-7 (1) | 1.2.6 | 45 CFR 164.308 (a)(5)(ii)(C) 45 CFR 164.312 (b) | A.10.1.4 A.12.5.1 A.12.5.2 | Commandment #1 Commandment #2 Commandment #3 Commandment #11 | CIP-003-3 - R6 | [NAME] CM-3 CM-5 CM-6 CM-9 PL-2 PL-5 SI-2 SI-6 SI-7 |  | 1.1.1 6.3.2 6.4 6.1
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. [NAME] | DSI-01 | Los datos y los objetos que contienen datos recibirán una clasificación basada en el tipo de datos, [NAME], la jurisdicción domiciliada, el contexto, las restricciones legales, las restricciones contractuales, [NAME], la sensibilidad, la criticidad para la organización, la obligación de terceros [NAME] y la prevención de divulgación no autorizada o uso indebido. |  |  | X | X | X | X | X | X | X | X | X | X | S3.8.0    C3.14.0 | (S3.8.0) Procedures exist to classify data in accordance with classification policies and periodically monitor and update such classifications as necessary.  (C3.14.0) Procedures exist to provide that system data are classified in accordance with the defined confidentiality and related security policies. |  | D.1.3, [NAME] |  | DG-02 | 80 88 | Art. 43 [NAME] I Anexo II:  [NAME]. [NAME] [mp.info.2] - Todos los niveles | PO 2.3 DS 11.6 |  | Domain 5 | 6.04.03. (a) | NIST SP 800-53 R3 RA-2 | NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 AC-4 | 1.2.3 1.2.6 4.1.2 8.2.1 8.2.5 8.2.6 |  | A.7.2.1 | Commandment #9 | CIP-003-3 - R4 - R5 | RA-2 AC-4 |  | 9.7.1 9.10 12.3
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. Inventario de Datos / Flujos | DSI-02 | [NAME] establecerán las políticas y los procedimientos, y se implementarán [NAME] técnicas [NAME], documentar y mantener [NAME] que residen (permanentemente o temporalmente) dentro de las aplicaciones y los servicios distribuidos geográficamente (físicos y virtuales) y [NAME] y componentes compartida con otros terceros, [NAME] cualquier impacto regulatorio, normativo, en los acuerdos de nivel de servicio (SLA) o en la cadena de suministro, y para hacer frente a otros riesgos de negocio asociados a los sistemas de datos. [NAME] solicitud, el proveedor deberá informar al cliente del impacto en el cumplimiento y el riesgo, especialmente si los datos del cliente se utilizan como parte de los servicios prestados. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- | 82 87 88 | Art. 6 Art. 11 Anexo II: [org.1] - Todos los niveles [op.pl.1] - Todos los niveles [op.ext.1] - Todos los niveles |  |  | Domain 5 | 6.10. (a) 6.10. (b) 6.10. (c) 6.10. (d) 6.10. (e) |  | NIST SP 800-53 R3 SC-30
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. Transacciones de Comercio Electrónico | DSI-03 | Los datos relacionados con el comercio electrónico (e-commerce) que [NAME] públicas deberán [NAME] clasificados y protegidos de actividad fraudulenta, divulgación no autorizada o modificación, de tal manera que se prevenga la disputa de contratos y compromisos. |  | X |  |  |  | X |  | X | X | X | X | X | [NAME]      I3.4.0 | (S3.6) Encryption or other equivalent security techniques are used to protect transmissions of user authentication and other confidential information passed over the Internet or other public networks.  (I13.3.a-e) The procedues related to completeness, accuracy, timeliness, and authorization of system processing, including error correction and database management, are consistent with documented system processing integrity policies.  (I3.4.0) The procedures related to completeness, accuracy, timeliness, and authorization of outputs are consistent with the documented system processing integrity policiies. | G.4 G.11 G.16 G.18 I.3 I.4 | G.19.1.1, G.19.1.2, G.19.1.3, G.10.8, G.9.11, G.14, G.15.1 |  | IS-28 | 91 93 98 104 | Anexo II: [mp.com.2] - Nivel medio [mp.com.3] - Todos los niveles [mp.s.2] - Todos los  niveles | DS 5.10 5.11 |  | Domain 2 |  | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-22 NIST SP 800-53 R3 AU-1 | NIST SP 800-53 R3 AC-22 NIST SP 800-53 R3 AU-10 NIST SP 800-53 R3 AU-10 (5) NIST SP 800-53 R3 SC-8 NIST SP 800-53 R3 SC-8 (1) NIST SP 800-53 R3 SC-9 NIST SP 800-53 R3 SC-9 (1) | 3.2.4 4.2.3 7.1.2 7.2.1 7.2.2 8.2.1 8.2.5 | 45 CFR 164.312(e)(1) 45 CFR 164.312(e)(2)(i) | A.7.2.1 A.10.6.1 A.10.6.2 A.10.9.1 A.10.9.2 A.15.1.4 | Commandment #4 Commandment #5 Commandment #9 Commandment #10 Commandment #11 |  | AC-14 AC-21 AC-22 IA-8 AU-10 SC-4 SC-8 SC-9 |  | 2.1.1 4.1 4.1.1 4.2
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. Política de seguridad de manejo y etiquetado | DSI-04 | Se establecerán políticas y procedimientos [NAME], [NAME] y la seguridad de los datos y objetos que contienen datos. [NAME] para los objetos que actúan como contenedores agregados de los datos. |  |  | X | X | X | X | X | X | X | X | X | X | S3.2.a | (S3.2.a) a. Logical access security measures to restrict access to information resources not deemed to be public. | G.13 | [NAME] |  | DG-03 | 80 92 97 101 | Anexo II: [mp.si.1] - Todos los niveles | PO 2.3 DS 11.6 |  | Domain 5 | 6.03.05. (b) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PE-16 NIST SP 800-53 R3 SI-1 NIST SP 800-53 R3 SI-12 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-16 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 MP-3 NIST SP 800-53 R3 PE-16 NIST SP 800-53 R3 SC-9 NIST SP 800-53 R3 SC-9 (1) NIST SP 800-53 R3 SI-1 NIST SP 800-53 R3 SI-12 | 1.1.2 5.1.0 7.1.2 8.1.0 8.2.5 8.2.6 |  | A.7.2.2 A.10.7.1 A.10.7.3 A.10.8.1 | Commandment #8 Commandment #9 Commandment #10 | CIP-003-3 - R4 - R4.1 | [NAME] SC-9 |  | 9.5 9.6 9.7.1 9.7.2 9.10
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. Fugas de Información | DSI-05 | Se implementarán los mecanismos de seguridad [NAME] fuga de datos. |  |  | X | X | X | X | X | X | X | X | X |  | C3.5.0     S3.4.0 | (C3.5.0) The system procedures provide that confidential information is disclosed to parties only in accordance with the entity’s defined confidentiality and related security policies.  (S3.4.0) Procedures exist to protect against unauthorized access to system resources. |  | I.2.18 |  | DG-07 | 91 103 | Anexo II: [mp.si.2] - Nivel medio [mp.si.3] - Todos los niveles [mp.si.4] - Todos los niveles | DS 11.6 |  | Domain 5 |  | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-3 | NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-2 (1) NIST SP 800-53 R3 AC-2 (2) NIST SP 800-53 R3 AC-2 (3) NIST SP 800-53 R3 AC-2 (4) NIST SP 800-53 R3 AC-2 (7) NIST SP 800-53 R3 AC-3 NIST SP 800-53 R3 AC-3 (3) NIST SP 800-53 R3 AC-4 NIST SP 800-53 R3 AC-6 NIST SP 800-53 R3 AC-6 (1) NIST SP 800-53 R3 AC-6 (2) NIST SP 800-53 R3 AC-11 NIST SP 800-53 R3 AC-11 (1) NIST SP 800-53 R3 SA-8 NIST SP 800-53 R3 SC-28 NIST SP 800-53 R3 SI-7 NIST SP 800-53 R3 SI-7 (1) | 7.2.1 8.1.0 8.1.1 8.2.1 8.2.2 8.2.5 8.2.6 |  | [NAME] | Commandment #4 Commandment #5 Commandment #6 Commandment #7 Commandment #8 Commandment #9 Commandment #10 Commandment #11 |  | AC-2 AC-3 AC-4 AC-6 AC-11 AU-13 PE-19 SC-28 SA-8 SI-7 |  | 1.2 6.5.5 11.1 11.2 11.3 11.4 A.1
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. Datos en entornos no de producción | DSI-06 | Los datos de producción no se podrán replicar ni utilizar en entornos que no sean de producción. |  |  |  | X | X | X |  | X | X | X | X |  | C3.5.0     S3.4.0   C3.21.0 | (C3.5.0) The system procedures provide that confidential information is disclosed to parties only in accordance with the entity’s defined confidentiality and related security policies.  (S3.4.0) Procedures exist to protect against unauthorized access to system resources.  (C3.21.0) Procedures exist to provide that confidential information is protected during the system development, testing, and change processes in accordance with defined system confidentiality and related security policies. |  | I.2.18 |  | DG-06 | 94.4 | Anexo II: [mp.sw.1] - Nivel medio [mp.sw.2] - Todos los niveles |  |  | Domain 5 | 6.03. (d) |  | NIST SP 800-53 R3 SA-11 NIST SP 800-53 R3 SA-11 (1) | 1.2.6 | 45 CFR 164.308(a)(4)(ii)(B) | A.7.1.3 A.10.1.4 A.12.4.2 A.12.5.1 | Commandment #9 Commandment #10 Commandment #11 | CIP-003-3 - R6 | SA-11 CM-04 |  | 6.4.3
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. Propiedad/Servicio de los Datos | DSI-07 | Todos los datos serán designados con un servicio, con responsabilidades asignadas, definidas, documentadas y comunicadas. |  |  | X | X | X | X | X | X | X | X | X |  | S2.2.0    S2.3.0     S3.8.0 | (S2.2.0) The security obligations of users and the entity’s security commitments to users are communicated to authorized users.  (S2.3.0) Responsibility and accountability for the entity’s system security policies and changes and updates to those policies are communicated to entity personnel responsible for implementing them.  (S3.8.0) Procedures exist to classify data in accordance with classification policies and periodically monitor and update such classifications as necessary |  | C.2.5.1, C.2.5.2, D.1.3, L.7 |  | DG-01 | 82 84 88 89 | Art. 10 Art. 11 Anexo II:  [org.1] - Todos los niveles [op.exp.1] - Todos los niveles [mp.per.1] - Nivel medio [mp.per.2] - Todos los niveles [mp.per.3] - Todos los niveles | DS5.1 PO 2.3 |  | Domain 5 |  | NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 SA-2 | NIST SP 800-53 R3 CA-2 NIST SP 800-53 R3 CA-2 (1) NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 SA-2 | 6.2.1 | 45 CFR 164.308 (a)(2) | A.6.1.3 A.7.1.2 A.15.1.4 | Commandment #6 Commandment #10 | CIP-007-3 - R1.1 - R1.2 | CA-2 PM-5 PS-2 RA-2 SA-2
Seguridad de los Datos y Gestión del Ciclo de Vida de la Información. Desechado Seguro | DSI-08 | [NAME] establecerán las políticas y los procedimientos, y se implementarán [NAME] [NAME] a los procesos de negocio, [NAME] y completa de los datos de todos los medios de almacenamiento, asegurando que los datos no son recuperables por cualquier medio [NAME] forense. |  |  | X | X | X | X | X | X | X | X | X |  | C3.5.0     S3.4.0 | (C3.5.0) The system procedures provide that confidential information is disclosed to parties only in accordance with the entity’s defined confidentiality and related security policies.  (S3.4.0) Procedures exist to protect against unauthorized access to system resources. |  | D.2.2.10, D.2.2.11, D.2.2.14, | 37 (B) | DG-05 | 92.4 | Anexo II:  [mp.si.5] - Nivel medio | DS 11.4 |  | Domain 5 | 6.03. (h) | NIST SP 800-53 R3 MP-6 NIST SP 800-53 R3 PE-1 | NIST SP 800-53 R3 MP-6 NIST SP 800-53 R3 MP-6 (4) NIST SP 800-53 R3 PE-1 | 5.1.0 5.2.3 | 45 CFR 164.310 (d)(2)(i) 45 CFR 164.310 (d)(2)(ii) | A.9.2.6 A.10.7.2 | Commandment #11 | CIP-007-3 - R7 - R7.1 - R7.2 R7.3 | MP-6 PE-1 |  | 3.1.1 9.10 9.10.1 9.10.2 3.1
Seguridad del Centro de Datos. Gestión de Activos | DCS-01 | Los activos de apoyo a los entornos dinámicos y distribuidos de computación física y virtual deben clasificarse en función [NAME] criticidad del negocio, [NAME], y los requisitos de continuidad operacional. Un inventario completo de los bienes esenciales en uso por la organización, ubicados en todos los sitios y/o situaciones geográficas, se mantendrá y [NAME] (o en tiempo real), y se le asignará la propiedad con el apoyo de los roles y responsabilidades definidas, incluyendo todos los activos en uso bajo propiedad o gestionados por parte de los clientes (arrendatarios). |  |  |  |  |  |  |  |  |  |  |  |  | S3.1.0     C3.14.0    S1.2.b-c | (S3.1.0) Procedures exist to (1) identify potential threats of disruption to systems operation that would impair system security commitments and (2) assess the risks associated with the identified threats.   (C3.14.0) Procedures exist to provide that system data are classified in accordance with the defined confidentiality and related security policies.  (S1.2.b-c) b. Classifying data based on its criticality and sensitivity and that classification is used to define protection requirements, access rights and access restrictions, and retention and destruction policies. c. Assessing risks on a periodic basis. |  |  |  | FS-08 | 88 92 | Anexo II: [mp.eq.3] - Todos los niveles [op.exp.1] - Todos los niveles |  |  | Domain 8
Seguridad del Centro de Datos. Puntos de Acceso Controlados | DCS-02 | Los perímetros de seguridad física (por ejemplo, cercas, paredes, barreras, guardias, puertas, [NAME], mecanismos de autenticación física, servicios [NAME] y patrullas de seguridad) deberán ser implementados para proteger los datos sensibles y los sistemas de información. | X |  |  |  |  |  |  | X | X | X | X |  | A3.6.0 | (A3.6.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers. | [NAME] | F.1.2.3, F.1.2.4, F.1.2.5, F.1.2.6, F.1.2.8, F.1.2. 9, F.1.2.10, F.1.2.11, F.1.2.12, F.1.2.13, F.1.2.14, F.1.2.15, F.1.2.24, F.1.3, F.1.4.2, F1.4.6, F.1.4.7, F.1.6, F.1.7,F.1.8, [NAME], F.2.14, [NAME], F.2.16, F.2.17, F.2.18 | 7 (B) | FS-03 | 99 | Art. 8 Art. 16 Art. 17 Anexo II:  [mp.if.1] - Todos los niveles [mp.if.2] - Todos los niveles | DS 12.2 DS 12.3 |  | Domain 8 | 6.08. (a) 6.09. (i) | NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 NIST SP 800-53 R3 PE-6 NIST SP 800-53 R3 PE-7 NIST SP 800-53 R3 PE-8 | NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 NIST SP 800-53 R3 PE-6 NIST SP 800-53 R3 PE-6 (1) NIST SP 800-53 R3 PE-7 NIST SP 800-53 R3 PE-7 (1) NIST SP 800-53 R3 PE-8 NIST SP 800-53 R3 PE-18 | 8.2.3 |  | A.9.1.1 A.9.1.2 | Commandment #1 Commandment #2 Commandment #3 Commandment #5 | CIP-006-3c R1.2 - R1.3 - R1.4 - R1.6 - R1.6.1 - R2 - R2.2 | PE-2 PE-3 PE-6 PE-7 PE-8 PE-18 |  | 9.1 9.1.1 9.1.2 9.1.3 9.2
Seguridad del Centro de Datos. Identificación del Equipamiento | DCS-03 | [NAME] automática de equipos deberá ser usada como método de autenticación. La tecnología de localización puede ser utilizada para validar la integridad de la autenticación, basada en la localización del equipamiento. | X | X | X | X | X |  |  |  |  |  |  |  | S3.2.a | (S3.2.a) a. Logical access security measures to restrict access to information resources not deemed to be public. | D.1 | D.1.1, D.1.3 |  | SA-13 | 92.1 97 101 | Anexo II:  [op.acc.6] - Todos los niveles | DS5.7 |  | Domain 10 | 6.05. (a) | NIST SP 800-53 R3 IA-4 | NIST SP 800-53 R3 IA-3 NIST SP 800-53 R3 IA-4 NIST SP 800-53 R3 IA-4 (4) |  |  | A.11.4.3 | Commandment #1 Commandment #2 Commandment #3 Commandment #5 Commandment #8 |  | IA-3 IA-4
Seguridad del Centro de Datos. Autorización [NAME] activos | DCS-04 | Se debe obtener autorización previa al traslado o traspaso de hardware, software o datos fuera de las instalaciones. | X |  |  | X |  | X | X | X | X | X | X |  | S3.2.f   C3.9.0 | (S3.2.f) f. Restriction of access to offline storage, backup data, systems, and media.  (C3.9.0) Procedures exist to restrict physical access to the defined system including, but not limited to: facilities, backup media, and other system components such as firewalls, routers, and servers. |  | F.2.18, F.2.19, |  | FS-06 | 92 97 101 | Art. 20 Anexo II: [org.4] - Todos los niveles [mp.if.7] - Todos los niveles |  |  | Domain 8 | 6.08. (a) 6.09. (j) | NIST SP 800-53 R3 AC-17 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PE-16 | NIST SP 800-53 R3 AC-17 NIST SP 800-53 R3 AC-17 (1) NIST SP 800-53 R3 AC-17 (2) NIST SP 800-53 R3 AC-17 (3) NIST SP 800-53 R3 AC-17 (4) NIST SP 800-53 R3 AC-17 (5) NIST SP 800-53 R3 AC-17 (7) NIST SP 800-53 R3 AC-17 (8) NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PE-16 NIST SP 800-53 R3 PE-17 |  | 45 CFR 164.310 (c ) 45 CFR 164.310 (d)(1) 45 CFR  164.310 (d)(2)(i) | A.9.2.5 A.9.2.6 | Commandment #4 Commandment #5 Commandment #11 |  | [NAME] PE-1 PE-16 PE-17 |  | 9.8 9.9 9.10
Seguridad del Centro de Datos. Equipamiento fuera [NAME] | DCS-05 | Se deberá establecer políticas y procedimientos apoyando los procesos de negocio implementados [NAME] y eliminación segura del mantenimiento de equipos y el uso fuera de las instalaciones de la organización. | X | X | X | X | X | X | X | X | X | X | X | X | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. | D.1 | D.1.1, D.2.1. [NAME], |  | FS-07 | 86 88 | Art. 21 Anexo II:  [mp.si.4] - Todos los niveles [mp.si.5] - Nivel Medio |  |  | Domain 8 | 6.05. (a) 6.05. (b) 6.05. (c) | NIST SP 800-53 R3 CM-8 | NIST SP 800-53 R3 CM-8 NIST SP 800-53 R3 CM-8 (1) NIST SP 800-53 R3 CM-8 (3) NIST SP 800-53 R3 CM-8 (5) NIST SP 800-53 R3 SC-30 |  | 45 CFR 164.310 (d)(2)(iii) | A.7.1.1 A.7.1.2 | Commandment #6 Commandment #7 Commandment #8 |  | CM-8 |  | 9.9.1 12.3.3 12.3.4
Seguridad del Centro de Datos. [NAME] | DCS-06 | Se deberá establecer políticas y procedimientos apoyando los procesos de negocio implementados [NAME] un entorno de trabajo seguro y protegido en oficinas, habitaciones, instalaciones y áreas seguras. | X |  |  |  |  |  |  |  |  |  | X | X | A3.6.0 | (A3.6.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers. | [NAME] | F.1.2.3, F.1.2.4, F.1.2.5, F.1.2.6, F.1.2.8, F.1.2. 9, F.1.2.10, F.1.2.11, F.1.2.12, F.1.2.13, F.1.2.14, F.1.2.15, F.1.2.24, F.1.4.2, F1.4.6, F.1.4.7, F.1.7, F.1.8, [NAME], F.2.14, [NAME], F.2.16, F.2.17, F.2.18 | 7 (B) | FS-01 | 89 | Art. 11 Art. 16 Art. 17 Anexo II: [org.1] - Todos los niveles  [org.2] - Todos los niveles [org.3] - Todos los niveles [mp.if] - Todos los niveles [mp.per] - Todos los niveles [mp.eq] - Todos los niveles |  |  | Domain 8 | 6.08. (a) 6.09. (i) | NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 NIST SP 800-53 R3 PE-6 | NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 NIST SP 800-53 R3 PE-4 NIST SP 800-53 R3 PE-5 NIST SP 800-53 R3 PE-6 NIST SP 800-53 R3 PE-6 (1) | 8.2.1 8.2.2 8.2.3 | 45 CFR 164.310(a)(1) 45 CFR 164.310(a)(2)(ii) 45 CFR 164.310(b) 45 CFR 164.310 ( c) (New) | A.9.1.1 A.9.1.2 | Commandment #1 Commandment #2 Commandment #3 Commandment #5 | CIP-006-3c R1.2 - R1.3 - R1.4 -R2 - R2.2 | PE-2 PE-3 PE-4 PE-5 PE-6 |  | 9.1
Seguridad del Centro de Datos. [NAME] a las Áreas Seguras | DCS-07 | El acceso y la salida de las áreas seguras deben estar limitados y monitorizados por mecanismos de control de acceso [NAME] que solo al personal autorizado se le permita acceder. | X | X | X | X | X | X |  | X | X | X | X |  | A3.6.0 | (A3.6.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers. | [NAME] | F.1.2.3, F.1.2.4, F.1.2.5, F.1.2.6, F.1.2.8, F.1.2. 9, F.1.2.10, F.1.2.11, F.1.2.12, F.1.2.13, F.1.2.14, F.1.2.15, F.1.2.24, F.1.3, F.1.4.2, F1.4.6, F.1.4.7, F.1.6, F.1.7,F.1.8, [NAME], F.2.14, [NAME], F.2.16, F.2.17, F.2.18 | 7 (B) | FS-04 | 99 | Anexo II:  [mp.if.1] - Todos los niveles | DS 12.3 |  | Domain 8 | 6.08. (a) 6.09. (i) | NIST SP 800-53 R3 PE-7 NIST SP 800-53 R3 PE-16 | NIST SP 800-53 R3 PE-7 NIST SP 800-53 R3 PE-7 (1) NIST SP 800-53 R3 PE-16 NIST SP 800-53 R3 PE-18 | 8.2.3 |  | A.9.1.6 | Commandment #1 Commandment #2 Commandment #3 Commandment #5 | CIP-006-3c R1.2 - R1.3 - R1.4 | PE-7 PE-16 PE-18
Seguridad del Centro de Datos. [NAME] | DCS-08 | En los puntos de acceso y salida como en las áreas de servicio y otros puntos donde el personal no autorizado puede entrar, todos los permisos deber ser monitorizados, controlados y, si es posible, el entorno debe estar aislado del almacenamiento de datos y servicios [NAME], [NAME] por acceso no autorizado a datos, [NAME] en peligro y su pérdida. | X | X | X | X |  |  |  | X | X | X | X |  | A3.6.0 | (A3.6.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers. | G.21 | F.2.18 |  | FS-05 | 99 | Art. 17 Anexo II: [mp.if.1] - Todos los niveles [mp.if.2] - Todos los niveles |  |  | Domain 8 | 6.08. (a) 6.09. (j) | NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MA-2 NIST SP 800-53 R3 PE-16 | NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MA-2 NIST SP 800-53 R3 MA-2 (1) NIST SP 800-53 R3 PE-16 | 8.2.5 8.2.6 | 45 CFR 164.310 (d)(1) | A.9.2.7 A.10.1.2 | Commandment #6 Commandment #7 |  | MA-1 MA-2 PE-16 |  | 9.8 9.9
Seguridad del Centro de Datos. Acceso de Usuarios | DCS-09 | El acceso físico a los activos y funciones de información  por usuarios y personal de soporte debe estar limitado. | X |  |  |  |  |  |  | X | X | X | X |  | A3.6.0 | (A3.6.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers. | [NAME] | F.1.2.3, F.1.2.4, F.1.2.5, F.1.2.6, F.1.2.8, F.1.2. 9, F.1.2.10, F.1.2.11, F.1.2.12, F.1.2.13, F.1.2.14, F.1.2.15, F.1.2.24, F.1.3, F.1.4.2, F1.4.6, F.1.4.7, F.1.6, F.1.7,F.1.8, [NAME], F.2.14, [NAME], F.2.16, F.2.17, F.2.18 | 7 (B) 10 (B) | FS-02 | 99 | Art. 16 Art. 17 Anexo II: [mp.if.1] - Todos los niveles  [mp.if.2] - Todos los niveles | DS 12.3 |  | Domain 8 | 6.08. (a) 6.09. (i) | NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 NIST SP 800-53 R3 PE-6 | NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 NIST SP 800-53 R3 PE-6 NIST SP 800-53 R3 PE-6 (1) NIST SP 800-53 R3 PE-18 | 8.2.3 |  | A.9.1.1 | Commandment #1 Commandment #2 Commandment #3 Commandment #5 | CIP-006-3c R1.2 - R1.3 - R1.4 - R1.6 - R1.6.1 - R2 - R2.2 | PE-2 PE-3 PE-6 PE-18 |  | 9.1
Gestión de Claves y Cifrado. Derechos | EKM-01 | Todas las decisiones de derechos deberán ser derivadas de las identidades de las entidades involucradas. Estas identidades deberán estar gestionadas por un sistema de gestión de identidades corporativo. Las claves deben tener propietarios identificables (vinculando las claves a las identidades) y deberá haber políticas de gestión de claves. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | 93 98 | Art. 16 Anexo II: [op.acc.1] - Todos los niveles [op.exp.11] - Nivel básico
Gestión de Claves y Cifrado. Generación de Claves | EKM-02 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] para la gestión de claves criptográficas en los servicios (por ejemplo, la gestión del ciclo de vida desde la generación de la clave hasta la revocación y sustitución, [NAME], el diseño del protocolo de criptografía y los algoritmos utilizados, el control de acceso en el lugar de generación de claves seguras, [NAME] y almacenamiento con segregación de claves utilizadas para cifrar los datos o sesiones). A petición, los proveedores deberán informar a los clientes de los cambios dentro de los sistemas criptográficos, especialmente si los datos del cliente se utilizan como parte del servicio, y/o los clientes tienen alguna responsabilidad compartida sobre la implementación del control. |  | X |  | X | X | X | X | X | X | X | X |  | S3.6.0     S3.4 | (S3.6.0) Encryption or other equivalent security techniques are used to protect transmissions of user authentication and other confidential information passed over the Internet or other public networks.  (S3.4) Procedures exist to protect against unauthorized access to system resources. |  | [NAME] | 38 (B) 39 (C+) | IS-19 | 104 | Anexo II: [mp.info.9] - Nivel medio [mp.com.3] - Todos los niveles [mp.si.2] - Nivel medio [op.exp.11] - Todos los niveles | DS5.8 |  | Domain 2 | 6.04.04. (a) 6.04.04. (b) 6.04.04. (c) 6.04.04. (d) 6.04.04. (e) 6.04.05. (d) 6.04.05. (e) 6.04.08.02. (b) | NIST SP 800-53 R3 SC-12 NIST SP 800-53 R3 SC-13 | NIST SP 800-53 R3 SC-12 NIST SP 800-53 R3 SC-12 (2) NIST SP 800-53 R3 SC-12 (5) NIST SP 800-53 R3 SC-13 NIST SP 800-53 R3 SC-13 (1) NIST SP 800-53 R3 SC-17 | 8.1.1 8.2.1 8.2.5 | 45 CFR 164.312 (a)(2)(iv) 45 CFR 164.312(e)(1) | Clause 4.3.3 A.10.7.3 A.12.3.2 A.15.1.6 | Commandment #9 Commandment #10 Commandment #11 |  | SC-12 SC-13 SC-17 SC-28 |  | 3.4.1 3.5 3.5.1 3.5.2 3.6 3.6.1 3.6.2 3.6.3 3.6.4 3.6.5 3.6.6 3.6.7 3.6.8
Gestión de Claves y Cifrado. Protección de Datos Sensibles | EKM-03 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] [NAME] [NAME] ubicados en los sistemas de almacenamiento (ejemplo: servidores de ficheros, bases de datos y estaciones de trabajo) y datos en transmisión (ejemplo: interfaces de sistemas, redes públicas y mensajería electrónica). Todo ello, [NAME], las obligaciones legales, reglamentarias y de cumplimiento regulatorio . |  | X | X | X | X | X | X | X | X | X | X |  | C3.12.0 S3.6.0    S3.4 | (C3.12.0, S3.6.0) Encryption or other equivalent security techniques are used to protect transmissions of user authentication and other confidential information passed over the Internet or other public networks.  (S3.4) Procedures exist to protect against unauthorized access to system resources. | G.4 G.15 I.3 | G.10.4, [NAME], G.11.2, G.12.1, G.12.2, G.12.4, G.12.10, G.14.18, G.14.19, G.16.2, G.16.18, G.16.19, G.17.16, G.17.17, G.18.13, G.18.14, G.19.1.1, G.20.14 | 23 (B) 24 (B) 25 (B) | IS-18 | 101 103 104 | Art. 33 Anexo II: [mp.info.3] - Nivel alto [[NAME] los niveles [mp.s.1] - Todos los niveles [mp.s.2] - Todos los niveles [mp.com.2] - Nivel medio [mp.si.2] - Nivel medio [mp.si.4] - Todos los niveles | DS5.8 DS5.10 DS5.11 |  | Domain 2 | 6.04.05. (a) 6.04.05. (c) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-18 NIST SP 800-53 R3 IA-7 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-13 | NIST SP 800-53 R3 AC-18 NIST SP 800-53 R3 AC-18 (1) NIST SP 800-53 R3 AC-18 (2) NIST SP 800-53 R3 IA-7 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-7 (4) NIST SP 800-53 R3 SC-8 NIST SP 800-53 R3 SC-8 (1) NIST SP 800-53 R3 SC-9 NIST SP 800-53 R3 SC-9 (1) NIST SP 800-53 R3 SC-13 NIST SP 800-53 R3 SC-13 (1) NIST SP 800-53 R3 SC-23 NIST SP 800-53 R3 SC-28 NIST SP 800-53 R3 SI-8 | 8.1.1 8.2.1 8.2.5 | 45 CFR 164.312 (a)(2)(iv) 45 CFR 164.312 (e)(1) 45 CFR 164.312 (e)(2)(ii) | A.10.6.1 A.10.8.3 A.10.8.4 A.10.9.2 A.10.9.3 A.12.3.1 A.15.1.3 A.15.1.4 | Commandment #4 Commandment #5 Commandment #9 Commandment #10 Commandment #11 | CIP-003-3 - R4.2 | AC-18 IA-3 IA-7 SC-7 SC-8 SC-9 SC-13 SC-16 SC-23 SI-8 |  | 2.1.1 3.4 3.4.1 4.1 4.1.1 4.2
Gestión de Claves y Cifrado. Acceso y Almacenamiento | EKM-04 | La criptografía fuerte (por ejemplo, AES256) en formatos abiertos/validados y los estándares de algoritmos deberán ser requeridos, Las claves no deben estar almacenadas en la nube (por ejemplo, en un proveedor de la nube). Las claves deberán ser mantenidas por el consumidor de la nube o el proveedor de gestión. La gestión de claves y el uso de las claves deberán tener funciones segregadas. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- | 103 104 | -- |  |  | Domain 11
Gobierno y Gestión del Riesgo. [NAME] básicos | GRM-01 | Los requerimientos de seguridad básicos deberán estar establecidos para los desarrollos o adquisiciones, las propiedades o elementos gestionados por la empresa, tanto físicos como virtuales, incluyendo aplicaciones, sistemas infraestructuras y componentes de red, y deberán estar alineados  con los requisitos legales aplicables, y las obligaciones de conformidad legal y normativa. Las desviaciones de la configuración estándar común deberán ser autorizadas, [NAME] y procedimientos de gestión de cambios antes [NAME] (desarrollo), abastecimiento o uso. El cumplimiento con los requerimientos de seguridad básicos deberán ser revisados al menos anualmente, a menos que una frecuencia alternativa haya sido establecida y autorizada, basada en necesidades [NAME]. | X | X | X | X | X | X | X | X | X | X | X |  | S1.1.0    S1.2.0(a-i) | (S1.1.0) The entity’s security policies are established and periodically reviewed and approved by a designated individual or group.  (S1.2.0(a-i)) The entity's security policies include, but may not be limited to, the following matters: | L.2 | L.2, [NAME], L.7 [NAME], L.9, L.10 | 12 (B) 14 (B) 13 (B) 15 (B) 16 (C+, A+) 21 (B) | IS-04 | 88 | Art. 9 Art. 18 Art. 19 Anexo II: [op.pl.3] - Todos los niveles  [op.pl.4] - Nivel medio [op.pl.5] - Nivel alto | AI2.1 AI2.2 AI3.3 DS2.3 DS11.6 |  | Domain 2 | 6.03.01. (a) 6.03.04. (a) 6.03.04. (b) 6.03.04. (c) 6.03.04. (e) 6.07.01. (o) | NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 SA-2 NIST SP 800-53 R3 SA-4 | NIST SP 800-53 R3 CM-2 NIST SP 800-53 R3 CM-2 (1) NIST SP 800-53 R3 CM-2 (3) NIST SP 800-53 R3 CM-2 (5) NIST SP 800-53 R3 SA-2 NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-4 (1) NIST SP 800-53 R3 SA-4 (4) NIST SP 800-53 R3 SA-4 (7) NIST SP 800-53 R3 SC-30 | 1.2.6 8.2.1 8.2.7 |  | [NAME] | Commandment #2 Commandment #4 Commandment #5 Commandment #11 |  | CM-2 SA-2 SA-4 |  | 1.1 1.1.1 1.1.2 1.1.3 1.1.4 1.1.5 1.1.6 2.2 2.2.1 2.2.2 2.2.3 2.2.4
Gobierno y Gestión del Riesgo. Enfoque en los datos de las evaluaciones de riesgos | GRM-02 | La evaluación de riesgos asociada con los requerimientos de gobierno de los datos será llevada a cabo a intervalos planificados y se considerará lo siguiente:   * Concienciación de dónde los datos sensibles están almacenados y cómo son transmitidos a través de aplicaciones, bases de datos, servidores e infraestructura de red.   * Cumplimiento con los periodos de retención definidos y [NAME] ciclo vida.   * [NAME] y protección por uso no autorizado acceso, pérdida, destrucción y falsificación. |  |  | X | X | X | X | X | X | X | X | X | X | S3.1.0     C3.14.0    S1.2.b-c | (S3.1.0) Procedures exist to (1) identify potential threats of disruption to systems operation that would impair system security commitments and (2) assess the risks associated with the identified threats.   (C3.14.0) Procedures exist to provide that system data are classified in accordance with the defined confidentiality and related security policies.  (S1.2.b-c) b. Classifying data based on its criticality and sensitivity and that classification is used to define protection requirements, access rights and access restrictions, and retention and destruction policies. c. Assessing risks on a periodic basis. |  | L.4, L.5, [NAME], L.7 | 34 (B) | DG-08 | 88 | Art. 6 Art. 13 Anexo II:  [op.pl.1] - Todos los niveles | PO 9.1 PO 9.2 PO 9.4 DS 5.7 |  | Domain 5 | 6.01. (d) 6.04.03. (a) | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 RA-3 NIST SP 800-53 R3 SI-12 | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 RA-3 NIST SP 800-53 R3 SI-12 | 1.2.4 8.2.1 | 45 CFR 164.308(a)(1)(ii)(A) 45 CFR 164.308(a)(8) | Clause 4.2.1 c) & g) Clause 4.2.3 d) Clause 4.3.1 & 4.3.3 Clause 7.2 & 7.3 A.7.2 A.15.1.1 A.15.1.3 A.15.1.4 | Commandment #1 Commandment #2 Commandment #3 Commandment #6 Commandment #7 Commandment #9 Commandment #10 Commandment #11 |  | CA-3 RA-2 RA-3 MP-8 PM-9 SI-12 |  | 12.1 12.1.2
Gobierno y Gestión del Riesgo. [NAME] | GRM-03 | Los gerentes son [NAME] la concienciación y cumplir con los requisitos, las políticas de seguridad, los procedimientos y [NAME] que son relevantes dentro de su área de responsabilidad. |  |  |  |  |  |  | X | X | X | X | X | X | S1.2.f    S2.3.0 | (S1.2.f) f. Assigning responsibility and accountability for system availability, confidentiality, processing integrity and related security.  (S2.3.0) Responsibility and accountability for the entity’s system security policies and changes and updates to those policies are communicated to entity personnel responsible for implementing them. | E.1 | E.4 | 5 (B) 65 (B) | IS-14 | 84 88 89 | Art. 14 Art. 40 Anexo II:  [org.1] - Todos los niveles | DS5.3 DS5.4 DS5.5 |  | Domain 3, 9 |  | NIST SP 800-53 R3 AT-2 NIST SP 800-53 R3 AT-3 NIST SP 800-53 R3 AT-4 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-5 NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 CA-7 | NIST SP 800-53 R3 AT-2 NIST SP 800-53 R3 AT-3 NIST SP 800-53 R3 AT-4 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-5 NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 CA-7 NIST SP 800-53 R3 CA-7 (2) | 1.1.2 8.2.1 |  | Clause 5.2.2 A.8.2.1 A.8.2.2 A 11.2.4 A.15.2.1 | Commandment #6 Commandment #7 Commandment #8 |  | AT-2 AT-3 CA-1 CA-5 CA-6 CA-7 PM-10 |  | 12.6.1 12.6.2
Gobierno y Gestión del Riesgo. Programa de Gestión | [NAME] | Un programa [NAME] seguridad de la información debe estar desarrollado, documentado, aprobado, e implementado,  incluyendo [NAME], técnicas y físicas para proteger activos y [NAME], el acceso no autorizado, el uso indebido, la divulgación, la alteración y la destrucción. El programa [NAME], pero no debe estar limitado, por las siguientes áreas, desde el momento en que éstas están relacionadas con las características del negocio:                                                                         • Gestión de riesgos • Política de seguridad • Organización de la seguridad de la información                               • Gestión de activos [NAME] humanos • Seguridad física y del entorno • Gestión de comunicaciones y operaciones • Control de acceso [NAME], desarrollo y mantenimiento. | X | X | X | X | X | X | X | X | X | X | X | X | x1.2. | (x1.2.) The entity’s system [availability, processing integrity, confidentiality and related] security policies include, but may not be limited to, the following matters: |  | A.1, B.1 | 2 (B) 3 (B) 5 (B) | IS-01 | 88 | Art. 11 Art. 12 | R2 DS5.2 R2 DS5.5 |  | Domain 2 |  |  |  | 8.2.1 | 45 CFR 164.308(a)(1)(i) 45 CFR 164.308(a)(1)(ii)(B) 45 CFR 164.316(b)(1)(i) 45 CFR 164.308(a)(3)(i) (New) 45 CFR 164.306(a)  (New) | Clause 4.2 Clause 5 A.6.1.1 A.6.1.2 A.6.1.3 A.6.1.4 A.6.1.5 A.6.1.6 A.6.1.7 A.6.1.8 | Commandment #1 Commandment #2 | CIP-001-1a - R1 - R2 CIP-003-3 - R1 - R1.1 - R4 CIP-006-3c R1 | PM-1 PM-2 PM-3 PM-4 PM-5 PM-6 PM-7 PM-8 PM-9 PM-10 PM-11 |  | 12.1 12.2
Gobierno y Gestión del Riesgo. Soporte/Implicación | GRM-05 | La gerencia de línea y la dirección ejecutiva deberán tomar una acción formal para soportar la seguridad de la información a través de una dirección claramente documentada y un compromiso que asegure que todas las acciones han sido asignadas. |  |  |  |  |  |  | X | X | X | X | X |  | S1.3.0 | (S1.3.0) Responsibility and accountability for developing and maintaining the entity’s system security policies, and changes and updates to those policies, are assigned.  The entity has prepared an objective description of the system and its boundaries and communicated such description to authorized users  The security obligations of users and the entity’s security commitments to users are communicated to authorized users. |  | C.1 | 5 (B) | IS-02 | 84 88 95 | Art. 5 Art. 12 Anexo II: [org.1] - Todos los niveles | DS5.1 |  | Domain 2 |  | NIST SP 800-53 R3 CM-1 | NIST SP 800-53 R3 CM-1 | 8.2.1 | 45 CFR 164.316 (b)(2)(ii) 45 CFR 164.316 (b)(2)(iii) | Clause 5 A.6.1.1 | Commandment #3 Commandment #6 | CIP-003-3 - R1 - R1.1 | CM-1 PM-1 PM-11 |  | 12.5
Gobierno y Gestión del Riesgo. Política | GRM-06 | Las políticas y los procedimientos de seguridad de la información deberán estar establecidos y estar fácilmente disponibles [NAME] por todo el personal y las relaciones comerciales externas, Las políticas de seguridad de la información [NAME] aprobadas por la dirección de la empresa (u otro rol o función responsable del negocio) y deben apoyarse en un plan estratégico de negocio y un programa [NAME] información incluyendo la definición de roles de seguridad de información y responsabilidades [NAME]. |  |  |  |  |  |  | X | X | X | X | X | X | S1.1.0    S1.3.0    S2.3.0 | (S1.1.0) The entity's security policies are established and periodically reviewed and approved by a designated individual or group.  (S1.3.0) Responsibility and accountability for developing and maintaining the entity’s system security policies, and changes and updates to those policies, are assigned.  (S2.3.0) Responsibility and accountability for the entity's system security policies and changes and updates to those policies are communicated to entity personnel responsible for implementing them. |  | B.1 |  | IS-03 | 84 88 89 95 | Art. 11 Anexo II: [org.1] - Todos los niveles | DS5.2 |  | Domain 2 | 6.02. (e) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 | 8.1.0 8.1.1 | 45 CFR 164.316 (a) 45 CFR 164.316 (b)(1)(i) 45 CFR 164.316 (b)(2)(ii) 45 CFR 164.308(a)(2) | Clause 4.2.1 Clause 5 A.5.1.1 A.8.2.2 | Commandment #1 Commandment #2 Commandment #3 | CIP-003-3 - R1 -R1.1 - R1.2 - R2 - R2.1 - R2.2 - R2.3 | AC-1 AT-1 AU-1 CA-1 CM-1 IA-1 IR-1 MA-1 MP-1 MP-1 PE-1 PL-1 PS-1 SA-1 SC-1 SI-1 |  | 12.1 12.2
Gobierno y Gestión del Riesgo. [NAME] | GRM-07 | Deberá establecerse una política disciplinaria o sancionadora para los empleados que hayan violado las políticas y [NAME]. Los empleados deberán estar concienciados [NAME] se pueden  tomar acciones en el caso de violación de la normativa; y [NAME] disciplinarias deberán estar declaradas en las políticas y procedimientos. |  |  |  |  |  |  | X | X | X | X | X | X | [NAME]S2.4.0 | ([NAME]) Procedures exist to provide that issues of noncompliance with security policies are promptly addressed and that corrective measures are taken on a timely basis.  (S2.4.0) The security obligations of users and the entity’s security commitments to users are communicated to authorized users. |  | B.1.5 |  | IS-06 | 89 120 121 123 126 | Anexo II: [org.2] - Todos los niveles [mp.per.2] - Todos los niveles [mp.per.3] - Todos los niveles [mp.per.4] - Todos los niveles | PO 7.7 |  | Domain 2 |  | NIST SP 800-53 R3 PL-4 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 PS-8 | NIST SP 800-53 R3 PL-4 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 PS-8 | 10.2.4 | 45 CFR 164.308 (a)(1)(ii)(C) | A.8.2.3 | Commandment #6 Commandment #7 |  | PL-4 PS-1 PS-8
Gobierno y Gestión del Riesgo. Impacto de la Política en las Evaluaciones del Riesgo | GRM-08 | Los resultados de la evaluación de riesgos deberán incluir actualizaciones de las políticas de seguridad, de los procedimientos, de las normas y los controles, [NAME] que estos documentos permanecen relevantes y efectivos. | X | X | X | X | X | X | X | X | X | X | X | X |  |  | B.2 G.21 L.2 | B.1.1, B.1.2, B.1.6, B.1.7.2, G.2, [NAME], L.10 |  | RI-04 | 88 | Art. 6 Art. 9 Anexo II:  [op.pl.1] - Todos los niveles | PO 9.6 |  | [NAME], 4 | 6.03. (a) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-3 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-3 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 |  |  | Clause 4.2.3 Clause 4.2.4 Clause 4.3.1 Clause 5 Clause 7 A.5.1.2 A.10.1.2 A.10.2.3 A.14.1.2 A.15.2.1 A.15.2.2 |  | CIP-009-3 - R2 | CP-2 RA-2 RA-3 |  | 12.1.3
Gobierno y Gestión del Riesgo. Revisiones de la Política | GRM-09 | La dirección de negocio (u otro rol o función de negocio responsable) deberá revisar la política de seguridad de la información a intervalos planificados o como resultado de cambios en la organización [NAME] continuidad con la estrategia de seguridad, efectividad, precisión, relevancia y aplicabilidad de las obligaciones legales, reglamentarias o de cumplimiento. |  |  |  |  |  |  | X | X | X | X | X | X | S1.1.0 | (S1.1.0) The entity’s security policies are established and periodically reviewed and approved by a designated individual or group. | B.2 | B.1.33. B.1.34, |  | IS-05 | 84 88 95 | Art. 9 | DS 5.2 DS 5.4 |  | Domain 2 |  | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IA-5 (2) NIST SP 800-53 R3 IA-5 (3) NIST SP 800-53 R3 IA-5 (6) NIST SP 800-53 R3 IA-5 (7) NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 | 1.2.1 8.2.7 10.2.3 | 45 CFR 164.316 (b)(2)(iii) 45 CFE 164.306€ | Clause 4.2.3 f) A.5.1.2 | Commandment #1 Commandment #2 Commandment #3 | CIP-003-3 - R3.2 - R3.3 - R1.3 R3 - R3.1 - R3.2 - R3.3 | AC-1 AT-1 AU-1 CA-1 CM-1 CP-1 IA-1 IA-5 IR-1 MA-1 MP-1 PE-1 PL-1 PM-1 PS-1 RA-1 SA-1 SC-1 SI-1 |  | 12.1.3
Gobierno y Gestión del Riesgo. Análisis de Riesgo | GRM-10 | Un análisis de riesgos formalizado, alineado con los objetivos de la empresa, deberá ser realizado [NAME] una [NAME] o a intervalos planificados para determinar la probabilidad e impacto de todos los riesgos identificados, usando métodos cuantitativos o cualitativos. [NAME] probabilidad y el impacto asociado con el riesgo intrínseco y residual deberá estar determinado independientemente, considerando [NAME] (por ejemplo, con el resultado de las auditorías, el análisis de vulnerabilidades y amenazas y [NAME]). | X | X | X | X | X | X | X | X | X | X | X | X | S3.1     x3.1.0      S4.3.0 | (S3.1) Procedures exist to (1) identify potential threats of disruption to systems operation that would impair system security commitments and (2) assess the risks associated with the identified threats.   (x3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system [availability, processing integrity, confidenitality] commitments and (2) assess the risks associated with the identified threats.  (S4.3.0) Environmental, regulatory, and technological changes are monitored, and their effect on system availability, confidentiality of data, processing integrity,  and system security is assessed on a timely basis; policies are updated for that assessment. | I.1 I.4 | C.2.1, I.4.1, I.5, G.15.1.3, I.3 | 46 (B) 74 (B) | RI-02 | 88 96 | Art. 6 Art. 13 Anexo II:  [op.pl.1] - Todos los niveles | PO 9.4 |  | Domain 2, 4 | 6.03. (a) 6.08. (a) | NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 RA-3 | NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 RA-3 NIST SP 800-53 R3 SC-30 | 1.2.4 1.2.5 | 45 CFR 164.308 (a)(1)(ii)(A) | Clause 4.2.1 c) through g) Clause 4.2.3 d) Clause 5.1 f) Clause 7.2 & 7.3 A.6.2.1 A.12.5.2 A.12.6.1 A.14.1.2 A.15.1.1 A.15.2.1 A.15.2.2 |  | CIP-002-3 - R1.1 - R1.2 CIP-005-3a - R1 - R1.2 CIP-009-3 - R.1.1 | PL-5 RA-2 RA-3 |  | 12.1.2
Gobierno y Gestión del Riesgo. Sistema de Gestión del Riesgo | GRM-11 | Las empresas desarrollarán y mantendrán un sistema de gestión de riesgos [NAME] riesgo a un nivel aceptable. | X | X | X | X | X | X | X | X | X | X | X | X | S3.1     x3.1.0 | (S3.1) Procedures exist to (1) identify potential threats of disruption to systems operation that would impair system security commitments and (2) assess the risks associated with the identified threats.   (x3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system [availability, processing integrity, confidenitality] commitments and (2) assess the risks associated with the identified threats. | L.2 | A.1, L.1 |  | RI-01 | 88 | Art. 6 Art. 13 | PO 9.1 |  | Domain 2, 4 |  | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 CA-7 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 RA-3 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CA-6 NIST SP 800-53 R3 CA-7 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 RA-2 NIST SP 800-53 R3 RA-3 NIST SP 800-53 R3 SA-9 (1) NIST SP 800-53 R3 SC-30 NIST SP 800-53 R3 SI-4 NIST SP 800-53 R3 SI-4 (2) NIST SP 800-53 R3 SI-4 (4) NIST SP 800-53 R3 SI-4 (5) NIST SP 800-53 R3 SI-4 (6) NIST SP 800-53 R3 CM-1 | 1.2.4 | 45 CFR 164.308 (a)(8) 45 CFR 164.308(a)(1)(ii)(B) | Clause 4.2.1 c) through g) Clause 4.2.2 b) Clause 5.1 f) Clause 7.2 & 7.3 A.6.2.1 A.12.6.1 A.14.1.2 A.15.2.1 A.15.2.2 |  | CIP-009-3 - R4 | AC-4 CA-2 CA-6 PM-9 RA-1 |  | 12.1.2
Gobierno y Gestión del Riesgo. Mitigación / Aceptación del Riesgo | GRM-12 | Los riesgos deben mitigarse a un nivel aceptable. Los niveles de aceptación basados en criterios [NAME] deben establecerse y documentarse conforme a un tiempo de resolución razonable y  una aprobación ejecutiva | X | X | X | X | X | X | X | X | X | X | X | X | S3.1     x3.1.0 | (S3.1) Procedures exist to (1) identify potential threats of disruption to systems operation that would impair system security commitments and (2) assess the risks associated with the identified threats.   (x3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system [availability, processing integrity, confidenitality] commitments and (2) assess the risks associated with the identified threats. | I.4 L.2 | I.3, L.9, L.10 | 43 (C+, A+) | RI-03 | 88 | Art. 6 Art. 13 | PO 9.5 |  | Domain 2, 4 |  | NIST SP 800-53 R3 CA-5 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 RA-1 | NIST SP 800-53 R3 CA-5 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 RA-1 |  | 45 CFR 164.308 (a)(1)(ii)(B) | Clause 4.2.1 c) through g) Clause 4.2.2 b) Clause 4.3.1 Clause 5.1 f) Clause 7.3 A.6.2.1 A.12.5.2 A.12.6.1 A.15.1.1 A.15.2.1 A.15.2.2 |  | CIP-009-3 - R1.2 | CA-5 CM-4
[NAME]. Devolución de Activos | HRS-01 | A la finalización del contrato de trabajo y/o la finalización de las relaciones comerciales externas, los activos [NAME] empresa deben ser devueltos dentro del periodo establecido. | X | X | X | X | X | X | X | X | X | X | X | X | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. | D.1 | E.6.4 |  | [NAME] | 82 89 | -- |  |  | Domain 2 |  | NIST SP 800-53 R3 PS-4 | NIST SP 800-53 R3 PS-4 | 5.2.3 7.2.2 8.2.1 8.2.6 | 45 CFR 164.308 (a)(3)(ii)(C) | A.7.1.1 A.7.1.2 A.8.3.2 |  |  | PS-4
[NAME]. [NAME] | HRS-02 | Conforme a las leyes locales, regulaciones, éticas y obligaciones contractuales, todos los candidatos a un empleo, empresa y terceras partes deberán estar sujetas a una comprobación proporcional a los datos que va a acceder, los requisitos de negocio y un riesgo aceptable. |  |  |  |  |  | X | X | X | X | X | X | X | S3.11.0 | (S3.11.0) Procedures exist to help ensure that personnel responsible for the design, development, implementation, and operation of systems affecting confidentiality and security have the qualifications and resources to fulfill their responsibilities. | E.2 | E.2 | 63 (B) | HR-01 | 89 91 | Anexo II:  [mp.per.1] - Nivel medio | PO 7.6 |  | None | 6.01. (a) | NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-3 | NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-3 | 1.2.9 |  | A.8.1.2 | Commandment #2 Commandment #3 Commandment #6 Commandment #9 | CIP-004-3 - R2.2 | PS-2 PS-3 |  | 12.7 12.8.3
[NAME]. Contratos laborales | HRS-03 | Los contratos laborales deberán incorporar las cláusulas y/o los términos de cumplimiento para establecer [NAME] información y las políticas de seguridad y deberán ser firmados en las nuevas contrataciones o por el nuevo personal (por ejemplo, empleados a tiempo total o parcial o trabajadores eventuales), y siempre con anterioridad a proporcionar el acceso [NAME] a los servicios [NAME] empresa, recursos y activos. | X | X | X | X | X | X | X | X | X | X | X | X | S2.2.0 | (S2.2.0) The security obligations of users and the entity's security commitments to users are communicated to authorized users | C.1 | E.3.5 | 66 (B) | HR-02 | 89 | Anexo II: [op.ext.1] - Nivel medio [mp.per.2] - Todos los niveles | DS 2.1 |  | None |  | NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-7 | NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-7 | 1.2.9 8.2.6 | 45 CFR 164.310(a)(1) 45 CFR 164.308(a)(4)(i) | A.6.1.5 A.8.1.3 | Commandment #6 Commandment #7 |  | PL-4 PS-6 PS-7 |  | 12.4 12.8.2
[NAME]. [NAME] relación laboral | HRS-04 | Los roles y responsabilidades para realizar la finalización del empleo o los cambios en procedimientos del trabajo deberán estar asignados, documentados y comunicados. |  |  |  |  |  |  | X | X | X | X | X | X | S3.2.d      S3.8.e | (S3.2.d) Procedures exist to restrict logical access to the system and information resources maintained in the system including, but not limited to, the following matters: d. The process to make changes and updates to user profiles  (S3.8.e) e. Procedures to prevent customers, groups of individuals, or other entities from accessing confidential information other than their own |  | E.6 |  | HR-03 | 89 91 | Anexo II: [mp.per.2] - Todos los niveles | PO 7.8 |  | None |  | NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-4 NIST SP 800-53 R3 PS-5 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-8 | NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-4 NIST SP 800-53 R3 PS-5 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-8 | 8.2.2 10.2.5 | 45 CFR 164.308 (a)(3)(ii)(C) | A.8.3.1 | Commandment #6 Commandment #7 |  | PS-4 PS-5
[NAME]. Conocimiento de la industria y Benchmarking | HRS-05 | Deberá mantenerse un conocimiento del sector y comparativas de mercado mediante la red de contactos, los especialistas de foros de seguridad y las asociaciones profesionales. |  |  |  |  |  |  | X | X | X | X | X | X | S4.3.0 | (S4.3.0) Environmental, regulatory, and technological changes are monitored, and their effect on system availability, confidentiality, processing integrity and security is assessed on a timely basis; policies are updated for that assessment. |  | C.1.8 | 64 (B) | IS-12 |  | Art. 29 Art. 37 |  |  | Domain 2 |  | NIST SP 800-53 R3 SI-5 | NIST SP 800-53 R3 SI-5 |  |  | A.6.1.7 | Commandment #1 Commandment #2 Commandment #3 |  | [NAME]
[NAME]. [NAME] | HRS-06 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] para [NAME] asociado a que esté permitido que [NAME] accedan a recursos corporativos, pudiendo requerir de la implementación o controles compensatorios [NAME] [NAME] uso aceptable (por ejemplo, formación por mandato de seguridad, autenticación fuerte, derechos y controles de acceso y [NAME]). | X | X | X | X | X | X | X | X | X | X | X | X | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. |  | G.11, G12, G.20.13, G.20.14 |  | IS-32 | 92 97 101 | Art.21 Anexo II:  [org.4] - Todos los niveles [mp.eq.3] - Todos los niveles | DS5.11 DS5.5 |  | Domain 2 |  | NIST SP 800-53 R3 AC-17 NIST SP 800-53 R3 AC-18 NIST SP 800-53 R3 AC-19 NIST SP 800-53 R3 MP-2 NIST SP 800-53 R3 MP-6 | NIST SP 800-53 R3 AC-17 NIST SP 800-53 R3 AC-17 (1) NIST SP 800-53 R3 AC-17 (2) NIST SP 800-53 R3 AC-17 (3) NIST SP 800-53 R3 AC-17 (4) NIST SP 800-53 R3 AC-17 (5) NIST SP 800-53 R3 AC-17 (7) NIST SP 800-53 R3 AC-17 (8) NIST SP 800-53 R3 AC-18 NIST SP 800-53 R3 AC-18 (1) NIST SP 800-53 R3 AC-18 (2) NIST SP 800-53 R3 AC-19 NIST SP 800-53 R3 AC-19 (1) NIST SP 800-53 R3 AC-19 (2) NIST SP 800-53 R3 AC-19 (3) NIST SP 800-53 R3 MP-2 NIST SP 800-53 R3 MP-2 (1) NIST SP 800-53 R3 MP-4 NIST SP 800-53 R3 MP-4 (1) NIST SP 800-53 R3 MP-6 NIST SP 800-53 R3 MP-6 (4) | 1.2.6 3.2.4 8.2.6 | 45 CFR 164.310 (d)(1) | A.7.2.1 A.10.7.1 A.10.7.2 A.10.8.3 A.11.7.1 A.11.7.2 A.15.1.4 | All | CIP-007-3 - R7.1 | [NAME] AC-19 MP-2 MP-4 MP-6 |  | 9.7 9.7.2 9.8 9.9  11.1 12.3
[NAME]. Acuerdos de Confidencialidad | HRS-07 | Los requerimientos para el acuerdo de no divulgación de secretos o los acuerdos de confidencialidad reflejando las necesidades [NAME] y los detalles operacionales deberán ser identificados, documentados y revisados en intervalos planificados. |  |  |  |  |  | X | X | X | X | X | X | X | S4.1.0 | (S4.1.0) The entity’s system availability, confidentiality, processing integrity and security performance is periodically reviewed and compared with the defined system availability and related security policies. |  | C.2.5 |  | LG-01 | 89 | -- |  |  | Domain 3 |  | NIST SP 800-53 R3 PL-4 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 SA-9 | NIST SP 800-53 R3 PL-4 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 SA-9 NIST SP 800-53 R3 SA-9 (1) | 1.2.5 |  | ISO/IEC 27001:2005 Annex A.6.1.5 | Commandment #6 Commandment #7 Commandment #8 Commandment #9 |  | PL-4 PS-6 SA-9 |  | 12.8.2 12.8.3 12.8.4
[NAME]. Roles / Responsabilidades | HRS-08 | Los roles y responsabilidades de contratistas, empleados y terceras partes deberán estar documentadas en lo que respecta a los activos de información y seguridad. | X | X | X | X | X | X | X | X | X | X | X | X | S1.2.f | (S1.2.f) f. Assigning responsibility and accountability for system availability, confidentiality, processing integrity and related security. | B.1 | B.1.5, D.1.1,D.1.3.3, [NAME], F.1.1, [NAME], [NAME] | 5 (B) | IS-13 | 84 88 89 95 | Anexo II: [org.1] - Todos los niveles [org.3] - Todos los niveles [op.acc.2] - Todos los niveles [mp.per.1] - Nivel medio [mp.per.2] - Todos los niveles | DS5.1 |  | Domain 2 |  | NIST SP 800-53 R3 PL-4 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-7 | NIST SP 800-53 R3 PL-4 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 PS-2 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-7 | 1.2.9 8.2.1 |  | Clause 5.1 c) A.6.1.2 A.6.1.3 A.8.1.1 | Commandment #6 Commandment #7 Commandment #8 |  | AT-3 PL-4 PM-10 PS-1 PS-6 PS-7
[NAME]. Uso aceptables de la tecnología | HRS-09 | [NAME] establecerán las políticas y los procedimientos y se implementarán [NAME] [NAME] [NAME] y condiciones que permitan el uso de dispositivos propiedad de la empresa o la gestión de los dispositivos de usuario (ejemplo, estaciones de trabajo, portátiles y dispositivos móviles), [NAME] y los componentes de sistemas, Además, los permisos y las condiciones para permitir [NAME] móviles personales y aplicaciones asociadas con acceso a recursos corporativos (por ejemplo BYOD) deben ser considerados e incorporados como sea conveniente. |  |  |  |  | X | X | X | X | X | X | X | X | S1.2   S3.9 | (S1.2) The entity’s security policies include, but may not be limited to, the following matters:   (S3.9) Procedures exist to provide that issues of noncompliance with security policies are promptly addressed and that corrective measures are taken on a timely basis. | B.3 | B.1.7, D.1.3.3, E.3.2, E.3.5.1, E.3.5.2 |  | IS-26 | 89 | Art.11 Anexo II: [org.2] - Todos los niveles [org.3] - Todos los niveles | DS 5.3 |  | Domain 2 |  | NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-8 NIST SP 800-53 R3 AC-20 NIST SP 800-53 R3 PL-4 | NIST SP 800-53 R3 AC-8 NIST SP 800-53 R3 AC-20 NIST SP 800-53 R3 AC-20 (1) NIST SP 800-53 R3 AC-20 (2) NIST SP 800-53 R3 PL-4 | 8.1.0 | 45 CFR 164.310 (b) | A.7.1.3 | Commandment #1 Commandment #2 Commandment #3 |  | AC-8 AC-20 PL-4 |  | 12.3.5
[NAME]. Formación / Concienciación | HRS-10 | Un programa [NAME] debe establecerse para todos los proveedores, usuarios [NAME] y empleados de la empresa y exigido cuando sea conveniente. [NAME] las personas con acceso a datos de la organización recibirán una formación de forma regular en procedimientos de la organización, procesos y políticas relacionada con su función profesional respecto a la organización. | X | X | X | X | X | X | X | X | X | X | X | X | S1.2.k     S2.2.0 | (S1.2.k) The entity's security policies include, but may not be limited to, the following matters: k.       Providing for training and other resources to support its system security policies  (S2.2.0) The security obligations of users and the entity’s security commitments to users are communicated to authorized users. | E.1 | E.4 | 65 (B) | IS-11 | 88 89 | Art. 14 Art. 15 Anexo II: [mp.per.3] - Todos los niveles  [mp.per.4] - Todos los niveles | PO 7.4 |  | Domain 2 | 6.01. (c) 6.02. (e) | NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AT-2 NIST SP 800-53 R3 AT-3 NIST SP 800-53 R3 AT-4 | NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AT-2 NIST SP 800-53 R3 AT-3 NIST SP 800-53 R3 AT-4 | 1.2.10 8.2.1 | 45 CFR 164.308 (a)(5)(i) 45 CFR 164.308 (a)(5)(ii)(A) | Clause 5.2.2 A.8.2.2 | Commandment #3 Commandment #6 | CIP-004-3 - R1 - R2 - R2.1 | AT-1 AT-2 AT-3 AT-4 |  | 12.6 12.6.1 12.6.2
[NAME]. [NAME] | HRS-11 | Se deberá hacer consciente a todo el personal de sus roles y responsabilidades para:   * Mantener el cumplimiento y concienciación respecto a las políticas y procedimientos establecidos así como con la legislación aplicable y obligaciones de cumplimiento regulatorio.   * Mantener un [NAME]. | X | X | X | X | X | X | X | X | X | X | X | X | S2.3.0 | (S2.3.0) Responsibility and accountability for the entity’s system availability, confidentiality, processing integrity and security policies and changes and updates to those policies are communicated to entity personnel responsible for implementing them. | E.1 | E.4 | 65 (B) 66 (B) | IS-16 | 89 | Art. 5 Art. 14 Anexo II:  [org.2] - Todos los niveles  [mp.per.1] - Nivel medio  [mp.per.2] - Todos los niveles [mp.per.3] - Todos los niveles [mp.per.9] - Nivel alto | PO 4.6 |  | Domain 2 |  | NIST SP 800-53 R3 AT-2 NIST SP 800-53 R3 AT-3 NIST SP 800-53 R3 AT-4 NIST SP 800-53 R3 PL-4 | NIST SP 800-53 R3 AT-2 NIST SP 800-53 R3 AT-3 NIST SP 800-53 R3 AT-4 NIST SP 800-53 R3 PL-4 | 1.2.10 8.2.1 | 45 CFR 164.308 (a)(5)(ii)(D) | Clause 5.2.2 A.8.2.2 A.11.3.1 A.11.3.2 | Commandment #5 Commandment #6 Commandment #7 |  | AT-2 AT-3 AT-4 PL-4 |  | 8.5.7 12.6.1
[NAME]. Lugares de trabajo | HRS-12 | Las políticas y procedimientos establecerán [NAME] en los lugares de trabajo sin personal presente no existan (por ejemplo, sobre la mesa) documentos de contenido sensible totalmente accesibles y las sesiones de usuario iniciadas en el equipo [NAME] bloqueadas tras un período determinado de inactividad. | X |  |  |  |  | X | X | X | X | X | X | X | S3.3.0     S3.4.0 | (S3.3.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers.  (S3.4.0) Procedures exist to protect against unauthorized access to system resources. | E.1 | E.4 |  | IS-17 | 91 | [NAME][mp.eq.1] - Todos los niveles [mp.eq.2] - Nivel medio |  |  | Domain 2 |  | NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 MP-2 | NIST SP 800-53 R3 AC-11 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 MP-2 NIST SP 800-53 R3 MP-2 (1) NIST SP 800-53 R3 MP-3 NIST SP 800-53 R3 MP-4 NIST SP 800-53 R3 MP-4 (1) | 8.2.3 |  | Clause 5.2.2 [NAME]A.11.3.1 A.11.3.2 A.11.3.3 | Commandment #5 Commandment #6 Commandment #7 Commandment #11 |  | AC-11 MP-2 MP-3 MP-4
Gestión de Identidades y [NAME]. Acceso a las Herramientas de Auditoría | IAM-01 | El acceso y [NAME] auditoría que interactúan con los sistemas de información de la organización estará adecuadamente segmentado y restringido con objeto de evitar que los datos de registro sean comprometidos y/o [NAME] mal uso de los mismos. | X | X | X | X | X | X |  | X | X | X | X |  | S3.2.g | (S3.2.g) g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls). |  |  |  | IS-29 | 103 | Anexo II:  [op.exp.10] - Nivel alto | DS 5.7 |  | Domain 2 | 6.03. (i) 6.03. (j) | NIST SP 800-53 R3 AU-9 | NIST SP 800-53 R3 AU-9 NIST SP 800-53 R3 AU-9 (2) | 8.2.1 |  | A.15.3.2 | Commandment #2 Commandment #5 Commandment #11 | CIP-003-3 - R5.2 | AU-9 AU-11 AU-14 |  | 10.5.5
Gestión de Identidades y [NAME]. Ciclo de vida de las Credenciales / Gestión del Aprovisionamiento | IAM-02 | Las políticas y los procedimientos de acceso de usuario se establecerán, y el apoyo a los procesos de negocio y [NAME] técnicas implementadas, para garantizar la identidad, el derecho, y la gestión de acceso de todos los usuarios corporativos internos y del cliente con acceso a datos y aplicaciones de propiedad o administradas (física y virtual), [NAME] y componentes de sistemas. Estas políticas, procedimientos, procesos y métricas deben [NAME]: [NAME], funciones y responsabilidades de apoyo para el aprovisionamiento y desaprovisionamiento de los derechos de las cuentas de usuario siguiendo la regla del menor privilegio basado en la función de trabajo (por ejemplo, cambios en los empleados internos y eventuales, acceso controlado por el cliente, relaciones comerciales con proveedores, u otras relaciones [NAME] con terceros) • Consideraciones de casos de negocios para los niveles [NAME] y autenticación de factores múltiples secretos (por ejemplo, [NAME], generación de claves, acceso remoto, segregación de funciones, acceso [NAME], aprovisionamiento a gran escala o despliegues geográficamente distribuidos y redundancia de personal para los sistemas críticos)  Segmentación de acceso a las sesiones y datos en arquitecturas multicliente por un tercero (por ejemplo, el proveedor y/o otro cliente) [NAME] identidad y [NAME] aplicación servicio a servicio (API) y la interoperabilidad de procesamiento de información (por ejemplo, SSO y federación) [NAME] del ciclo de vida de las credenciales de cuenta de instancias a través de la revocación  [NAME] y/o identidad, o reutilización cuando sea posible  [NAME] a reglas de autenticación, autorización y contabilidad (AAA) aceptables por la industria y/o de cumplimiento del regulador (por ejemplo, multifactor robusto,  expirable, secretos de autenticación no compartidos) • Permisos y capacidades de soporte para el control del cliente sobre las reglas de autenticación, autorización y contabilidad (AAA) [NAME] acceso a los datos y las sesiones • Cumplimiento de los requerimientos legales, estatutarios o regulatorios aplicables | X | X | X | X | X | X | X | X | X | X | X |  | S3.2.0 | (S3.2.0) Procedures exist to restrict logical access to the defined system including, but not limited to, the following matters: c. Registration and authorization of new users. d. The process to make changes to user profiles. g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls). | B.1 | B.1.8, B.1.21, B.1.28,  E.6.2, [NAME], K.1.4.5, | 8 (B) 40 (B) 41 (B) 42 (B) 43 (B) 44 (C+) | IS-07 | 91 93 98 | Art. 16 Anexo II: [op.acc.4] - Todos los niveles | DS 5.4 |  | Domain 2 | 6.01. (b) 6.01. (d) 6.02. (e) 6.03. (b) 6.03.04. (b) 6.03.04. (c) 6.03.05. (b) 6.03.05. (d) 6.03.06. (b) 6.04.01. (c) 6.04.01. (f) 6.04.02. (a) 6.04.02. (b) 6.04.02. (c) 6.04.03. (b) 6.04.06. (a) 6.04.08. (a) 6.04.08. (b) 6.04.08. (c) 6.04.08.03. (a) 6.04.08.03. (b) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-7 NIST SP 800-53 R3 AC-14 NIST SP 800-53 R3 IA-1 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-7 NIST SP 800-53 R3 AC-10 NIST SP 800-53 R3 AC-14 NIST SP 800-53 R3 IA-1 | 8.1.0 | 45 CFR 164.308 (a)(3)(i) 45 CFR 164.312 (a)(1) 45 CFR 164.312 (a)(2)(ii) 45 CFR  164.308(a)(4)(ii)(B) 45 CFR 164.308(a)(4)(ii)(c ) | A.11.1.1 A.11.2.1 A.11.2.4 A.11.4.1 A.11.5.2 A.11.6.1 | Commandment #6 Commandment #7 Commandment #8 | CIP-007-3 - R5.1 - R5.1.2 | AC-1 IA-1 |  | 3.5.1 8.5.1 12.5.4
Gestión de Identidades y [NAME]. Acceso a puertos de diagnóstico / configuración | IAM-03 | El acceso de usuarios a los puertos de diagnóstico y [NAME] a personas y aplicaciones autorizadas. | X |  |  |  | X |  |  | X | X | X | X | X | S3.2.g | (S3.2.g) g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls). |  | H1.1, H1.2, G.9.15 |  | IS-30 |  | Art.19 Anexo II: [op.acc.2] - Todos los niveles | DS5.7 |  | Domain 2 |  | NIST SP 800-53 R3 CM-7 NIST SP 800-53 R3 MA-4 NIST SP 800-53 R3 MA-5 | NIST SP 800-53 R3 CM-7 NIST SP 800-53 R3 CM-7 (1) NIST SP 800-53 R3 MA-3 NIST SP 800-53 R3 MA-3 (1) NIST SP 800-53 R3 MA-3 (2) NIST SP 800-53 R3 MA-3 (3) NIST SP 800-53 R3 MA-4 NIST SP 800-53 R3 MA-4 (1) NIST SP 800-53 R3 MA-4 (2) NIST SP 800-53 R3 MA-5 |  |  | A.10.6.1 A.11.1.1 A.11.4.4 A.11.5.4 | Commandment #3 Commandment #4 Commandment #5 Commandment #6 Commandment #7 Commandment #8 | CIP-007-3 - R2 | CM-7 MA-3 MA-4 MA-5 |  | 9.1.2
Gestión de Identidades y [NAME]. [NAME] y Procedimientos | IAM-04 | Las políticas y procedimientos se establecerán [NAME] y gestionar la información de identidad sobre cada persona que accede a la infraestructura de TI y para [NAME] nivel de acceso. Las políticas también deben ser desarrolladas para [NAME] acceso a los recursos de red en función [NAME] identidad del usuario. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- | 91 93 98 103 | Art. 16 Anexo II: [op.acc.1] - Todos los niveles [op.acc.2] - Todos los niveles |  |  | Domain 12
Gestión de Identidades y [NAME]. [NAME] | IAM-05 | Las políticas y los procedimientos de acceso de usuario se establecerán, y el apoyo a los procesos de negocio y [NAME] técnicas implementadas, para restringir el acceso de los usuarios de acuerdo con la segregación de las funciones definidas para hacer frente a los riesgos de negocio asociados a un conflicto de intereses de usuario. | X | X | X | X | X | X | X | X | X | X | X |  | S3.2.a | (S3.2.a) a. Logical access security measures to restrict access to information resources not deemed to be public. |  | G.2.13. G.3, G.20.1, G.20.2, G.20.5 |  | IS-15 | 91 | Anexo II: [op.acc.3] - Nivel medio | DS 5.4 |  | Domain 2 | 6.04.01. (d) 6.04.08.02. (a) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 AU-2 NIST SP 800-53 R3 AU-6 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-2 (1) NIST SP 800-53 R3 AC-2 (2) NIST SP 800-53 R3 AC-2 (3) NIST SP 800-53 R3 AC-2 (4) NIST SP 800-53 R3 AC-2 (7) NIST SP 800-53 R3 AC-5 NIST SP 800-53 R3 AC-6 NIST SP 800-53 R3 AC-6 (1) NIST SP 800-53 R3 AC-6 (2) NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 AU-2 NIST SP 800-53 R3 AU-6 NIST SP 800-53 R3 AU-6 (1) NIST SP 800-53 R3 AU-6 (3) NIST SP 800-53 R3 SI-4 NIST SP 800-53 R3 SI-4 (2) NIST SP 800-53 R3 SI-4 (4) NIST SP 800-53 R3 SI-4 (5) NIST SP 800-53 R3 SI-4 (6) | 8.2.2 | 45 CFR 164.308 (a)(1)(ii)(D) 45 CFR 164.308 (a)(3)(ii)(A) 45 CFR 164.308(a)(4)(ii)(A) 45 CFR 164.308 (a)(5)(ii)(C) 45 CFR 164.312 (b) | A.10.1.3 | Commandment #6 Commandment #7 Commandment #8 Commandment #10 | CIP-007-3 R5.1.1 | AC-1 AC-2 AC-5 AC-6 AU-1 AU-6 SI-1 SI-4 |  | 6.4.2
Gestión de Identidades y [NAME]. Restricciones en el acceso [NAME] fuente | IAM-06 | El acceso a las aplicaciones desarrolladas por la propia organización, programa, objeto de código fuente o cualquier otra [NAME] intelectual (PI), así como el uso de software propietario será debidamente restringido siguiendo la regla del menor privilegio basado en las funciones del puesto de trabajo como por las políticas y procedimientos establecidos de acceso de usuarios. |  |  | X | X | X | X |  | X | X | X | X |  | S3.13.0 | (S3.13.0) Procedures exist to provide that only authorized, tested, and documented changes are made to the system. |  | I.2.7.2, I.2.9, I.2.10, I.2.15 |  | IS-33 |  | -- |  |  | Domain 2 |  |  | NIST SP 800-53 R3 CM-5 NIST SP 800-53 R3 CM-5 (1) NIST SP 800-53 R3 CM-5 (5) | 1.2.6 6.2.1 |  | Clause 4.3.3 A.12.4.3 A.15.1.3 | Commandment #6 Commandment #7 Commandment #9 Commandment #10 |  | CM-5 CM-6 |  | 6.4.1 6.4.2
Gestión de Identidades y [NAME]. Acceso por Terceros | IAM-07 | La identificación, evaluación y [NAME] planteados por [NAME] requieren acceso de terceros a los datos y [NAME] organización deberán ir seguidos [NAME] coordinada de recursos para minimizar, monitorizar y medir la probabilidad y el impacto de accesos no autorizados o inapropiados. Los controles compensatorios derivados del análisis de riesgos se implantarán antes [NAME]. | X | X | X | X | X | X | X | X | X | X | X | X | S3.1     x3.1.0 | (S3.1) Procedures exist to (1) identify potential threats of disruption to systems operation that would impair system security commitments and (2) assess the risks associated with the identified threats.   (x3.1.0) Procedures exist to (1) identify potential threats of disruptions to systems operation that would impair system [availability, processing integrity, confidenitality] commitments and (2) assess the risks associated with the identified threats. | B.1 H.2 | B.1.1, B.1.2, D.1.1, [NAME], F.1.1, [NAME], K.1.1, E.6.2, [NAME] |  | RI-05 | 20 21 22 82 83 | -- | DS 2.3 |  | Domain 2, 4 | 6.02. (a) 6.02. (b) 6.03. (a) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AT-1 NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 CA-1 NIST SP 800-53 R3 CM-1 NIST SP 800-53 R3 CP-1 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-4 NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IA-5 (2) NIST SP 800-53 R3 IA-5 (3) NIST SP 800-53 R3 IA-5 (6) NIST SP 800-53 R3 IA-5 (7) NIST SP 800-53 R3 IA-8 NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 MA-1 NIST SP 800-53 R3 MP-1 NIST SP 800-53 R3 PE-1 NIST SP 800-53 R3 PL-1 NIST SP 800-53 R3 PS-1 NIST SP 800-53 R3 RA-1 NIST SP 800-53 R3 SA-1 NIST SP 800-53 R3 SC-1 NIST SP 800-53 R3 SI-1 | 7.1.1 7.1.2 7.2.1 7.2.2 7.2.3 7.2.4 |  | A.6.2.1 A.8.3.3 A.11.1.1 A.11.2.1 A.11.2.4 |  |  | CA-3 MA-4 RA-3 |  | 12.8.1 12.8.2 12.8.3 12.8.4
Gestión de Identidades y [NAME]. Fuentes de Confianza | IAM-08 | Las políticas y procedimientos se establecen para permitir [NAME] y el acceso de las identidades utilizadas para [NAME], [NAME] que las identidades sólo son accesibles en base a las reglas de privilegios mínimos y [NAME] replicación sólo para usuarios definidos explícitamente como necesarios [NAME]. |  |  |  |  |  |  |  |  |  |  |  |  | S3.2.0         S4.3.0 | (S3.2.0) Procedures exist to restrict logical access to the defined system including, but not limited to, the following matters: c. Registration and authorization of new users. d. The process to make changes to user profiles. g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls).  (S4.3.0) Environmental, regulatory, and technological changes are monitored, and their effect on system availability, confidentiality, processing integrity and security is assessed on a timely basis; policies are updated for that assessment. |  |  |  | IS-08 IS-12 | 91 93 98 | Art. 16 Art. 29 Art. 37 Anexo II: [op.acc.2] - Todos los niveles [op.acc.3] - Todos los niveles [op.acc.4] - Todos los niveles |  |  | Domain 12
Gestión de Identidades y [NAME]. Autorización del Acceso de Usuarios | IAM-09 | El aprovisionamiento del acceso de los usuarios (por ejemplo, empleados, contratistas, clientes, socios comerciales y/o proveedores) a los datos y aplicaciones de propiedad o [NAME] (físicas y virtuales), [NAME] y los componentes de la red deberán ser autorizados por la gestión de la organización antes de acceder a su concesión y apropiadamente restringido según las políticas y procedimientos establecidos. Previa solicitud, el proveedor deberá [NAME]arrendatario) de este acceso de usuario, sobre todo si los datos del cliente se usan como parte del servicio y/o el cliente [NAME] responsabilidad compartida en la aplicación del control. |  | X | X | X | X | X |  | X | X | X | X | X | S3.2.0 | (S3.2.0) Procedures exist to restrict logical access to the defined system including, but not limited to, the following matters: c. Registration and authorization of new users. d. The process to make changes to user profiles. g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls). |  | H.2.4, H.2.5, | 35 (B) 40 (B) 41 (B) 42 (B) 44 (C+) | IS-08 | 91 | Art. 16 Anexo II: [op.acc.2] - Todos los niveles [op.acc.3] - Todos los niveles [op.acc.4] - Todos los niveles | DS5.4 |  | Domain 2 | 6.03.04. (b) 6.03.04. (c) 6.03.05. (d) 6.03.06. (a) 6.03.06. (b) 6.04.01. (a) 6.04.01. (b) 6.04.01. (d) 6.04.01. (e) 6.04.01. (g) 6.04.03. (c) 6.04.08.02. (a) | NIST SP 800-53 R3 AC-3 NIST SP 800-53 R3 IA-2 NIST SP 800-53 R3 IA-2 (1) NIST SP 800-53 R3 IA-4 NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IA-8 NIST SP 800-53 R3 MA-5 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 SA-7 | NIST SP 800-53 R3 AC-3 NIST SP 800-53 R3 AC-3 (3) NIST SP 800-53 R3 AC-5 NIST SP 800-53 R3 AC-6 NIST SP 800-53 R3 AC-6 (1) NIST SP 800-53 R3 AC-6 (2) NIST SP 800-53 R3 IA-2 NIST SP 800-53 R3 IA-2 (1) NIST SP 800-53 R3 IA-2 (2) NIST SP 800-53 R3 IA-2 (3) NIST SP 800-53 R3 IA-2 (8) NIST SP 800-53 R3 IA-4 NIST SP 800-53 R3 IA-4 (4) NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IA-5 (2) NIST SP 800-53 R3 IA-5 (3) NIST SP 800-53 R3 IA-5 (6) NIST SP 800-53 R3 IA-5 (7) NIST SP 800-53 R3 IA-8 NIST SP 800-53 R3 MA-5 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 SA-7 NIST SP 800-53 R3 SC-30 NIST SP 800-53 R3 SI-9 | 8.2.2 | 45 CFR 164.308 (a)(3)(i) 45 CFR 164.308 (a)(3)(ii)(A) 45 CFR 164.308 (a)(4)(i) 45 CFR 164.308 (a)(4)(ii)(B) 45 CFR 164.308 (a)(4)(ii)(C) 45 CFR 164.312 (a)(1) | A.11.2.1 A.11.2.2 A.11.4.1 A 11.4.2 A.11.6.1 | Commandment #6 Commandment #7 Commandment #8 Commandment #9 Commandment #10 | CIP-003-3 - R5.1.1 - R5.3 CIP-004-3 R2.3 CIP-007-3 R5.1 - R5.1.2 | AC-3 AC-5 AC-6 IA-2 IA-4 IA-5 IA-8 MA-5 PS-6 SA-7 SI-9 |  | 7.1 7.1.1 7.1.2 7.1.3 7.2.1 7.2.2 8.5.1 12.5.4
Gestión de Identidades y [NAME]. Revisiones del Acceso de Usuarios | IAM-10 | A intervalos planificados, el acceso del usuario estará autorizado y revalidado por la idoneidad del derecho, por la dirección de negocio de la organización u otro rol o función de negocio responsable con el apoyo de pruebas [NAME] que la organización está adherida a la regla del menor privilegio basado en la función de trabajo. Para violaciones de acceso identificadas, la remediación debe seguir las políticas y [NAME] establecidos. | X | X | X | X | X | X |  | X | X | X | X | X | S3.2.0 | (S3.2.0) Procedures exist to restrict logical access to the defined system including, but not limited to, the following matters: d. The process to make changes to user profiles. g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls). |  | H.2.6, H.2.7, H.2.9, | 41 (B) | IS-10 | 91 93 96 | -- | DS5.3 DS5.4 |  | Domain 2 |  | NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AU-6 NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-7 | NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-2 (1) NIST SP 800-53 R3 AC-2 (2) NIST SP 800-53 R3 AC-2 (3) NIST SP 800-53 R3 AC-2 (4) NIST SP 800-53 R3 AC-2 (7) NIST SP 800-53 R3 AU-6 NIST SP 800-53 R3 AU-6 (1) NIST SP 800-53 R3 AU-6 (3) NIST SP 800-53 R3 PS-6 NIST SP 800-53 R3 PS-7 | 8.2.1 8.2.7 | 45 CFR 164.308 (a)(3)(ii)(B) 45 CFR 164.308 (a)(4)(ii)(C) | A.11.2.4 | Commandment #6 Commandment #7 Commandment #8 Commandment #10 | CIP-004-3 R2.2.2 CIP-007-3 - R5 - R.1.3 | AC-2 AU-6 PM-10 PS-6 PS-7
Gestión de Identidades y [NAME]. Revocación del Acceso de Usuarios | IAM-11 | El desaprovisionamiento (revocación o modificación) del acceso de los usuarios a los datos y aplicaciones de propiedad o [NAME] (físicas y virtuales), [NAME] y los componentes de red, se llevará a cabo según las políticas, procedimientos y sobre la base [NAME] (por ejemplo, finalización del empleo u otra relación [NAME], [NAME]). [NAME] solicitud, el proveedor deberá informar al cliente de estos cambios, especialmente si los datos del cliente son usados como parte del servicio y/o el cliente [NAME] responsabilidad compartida sobre la implementación del control. | X | X | X | X | X | X |  | X | X | X | X |  | S3.2.0 | (S3.2.0) Procedures exist to restrict logical access to the defined system including, but not limited to, the following matters: d. The process to make changes to user profiles. g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls). | H.2 | E.6.2, [NAME] |  | IS-09 | 22 91 | Anexo II:  [mp.per.2] - Todos los niveles | DS 5.4 |  | Domain 2 | 6.03.04. (b) 6.03.04. (c) 6.03.05. (d) 6.03.06. (a) 6.04.02. (b) | NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 PS-4 NIST SP 800-53 R3 PS-5 | NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-2 (1) NIST SP 800-53 R3 AC-2 (2) NIST SP 800-53 R3 AC-2 (3) NIST SP 800-53 R3 AC-2 (4) NIST SP 800-53 R3 AC-2 (7) NIST SP 800-53 R3 PS-4 NIST SP 800-53 R3 PS-5 NIST SP 800-53 R3 SC-30 | 8.2.1 | 45 CFR 164.308(a)(3)(ii)(C) | ISO/IEC 27001:2005 A.8.3.3 A.11.1.1 A.11.2.1 A.11.2.2 | Commandment #6 Commandment #7 Commandment #8 | CIP-004-3 R2.2.3 CIP-007-3 - R5.1.3  -R5.2.1 - R5.2.3 | AC-2 PS-4 PS-5 |  | 8.5.4 8.5.5
Gestión de Identidades y [NAME]. [NAME] (ID) de Usuarios | IAM-12 | Las credenciales de las cuentas de los usuarios corporativos internos o de los clientes se [NAME], el derecho, y la gestión de los accesos de acuerdo con las políticas y procedimientos establecidos:  [NAME] y aplicación de servicio a servicio (API) y la interoperabilidad de procesamiento de información (por ejemplo, SSO y federación)  [NAME] del ciclo de vida de las credenciales de cuenta de instancias a través de la revocación  [NAME] y/o identidad, o reutilización cuando sea posible  [NAME] a reglas de autenticación, autorización y contabilidad (AAA) aceptables por la industria y/o de cumplimiento del regulador (por ejemplo, multifactor robusto,  caducidad, secretos de autenticación no compartidos) |  | X | X | X | X |  |  | X | X | X | X | X | S3.2.b | (S3.2.b) b. Identification and authentication of users. | B.1 H.5 | E.6.2, [NAME], [NAME], [NAME], H.2, H.3.2, H.4, H.4.1, H.4.5, H.4.8 | 6 (B) | SA-02 | 93 98 | Anexo II:  [op.acc.5] - Todos los niveles | DS5.3 DS5.4 |  | Domain 10 | 6.03.04. (b) 6.03.04. (c) 6.03.05. (d) 6.04.05. (b) | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-3 NIST SP 800-53 R3 AU-2 NIST SP 800-53 R3 AU-11 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-2 NIST SP 800-53 R3 IA-2 (1) NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IA-6 NIST SP 800-53 R3 IA-8 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-2 NIST SP 800-53 R3 AC-3 NIST SP 800-53 R3 AC-11 NIST SP 800-53 R3 AC-11 (1) NIST SP 800-53 R3 AU-2 NIST SP 800-53 R3 AU-2 (3) NIST SP 800-53 R3 AU-2 (4) NIST SP 800-53 R3 AU-11 NIST SP 800-53 R3 IA-1 NIST SP 800-53 R3 IA-2 NIST SP 800-53 R3 IA-2 (1) NIST SP 800-53 R3 IA-2 (2) NIST SP 800-53 R3 IA-2 (3) NIST SP 800-53 R3 IA-2 (8) NIST SP 800-53 R3 IA-5 NIST SP 800-53 R3 IA-5 (1) NIST SP 800-53 R3 IA-5 (2) NIST SP 800-53 R3 IA-5 (3) NIST SP 800-53 R3 IA-5 (6) NIST SP 800-53 R3 IA-5 (7) NIST SP 800-53 R3 IA-6 NIST SP 800-53 R3 IA-8 NIST SP 800-53 R3 SC-10 |  | 45 CFR 164.308(a)(5)(ii)(c) 45 CFR 164.308 (a)(5)(ii)(D) 45 CFR 164.312 (a)(2)(i) 45 CFR 164.312 (a)(2)(iii) 45 CFR 164.312 (d) | A.8.3.3 A.11.1.1 A.11.2.1 A.11.2.3 A.11.2.4 A.11.5.5 | Commandment #6 Commandment #7 Commandment #8 Commandment #9 | CIP-004-3 R2.2.3 CIP-007-3 - R5.2 - R5.3.1 - R5.3.2 - R5.3.3 | AC-1 AC-2 AC-3 AC-11 AU-2 AU-11 IA-1 IA-2 IA-5 IA-6 IA-8 SC-10 |  | 8.1 8.2, 8.3 8.4 8.5  10.1, 12.2, 12.3.8
Gestión de Identidades y [NAME]. Acceso a los programas de utilidades | IAM-13 | Los programas de utilidades potencialmente capaces de anular sistemas, objetos, redes, máquinas virtuales y [NAME] deberán estar restringidos. |  | X | X | X | X | X |  | X | X | X | X | X | S3.2.g | (S3.2.g) g. Restriction of access to system configurations, superuser functionality, master passwords, powerful utilities, and security devices (for example, firewalls). |  | H.2.16 |  | IS-34 | 91 | -- | DS5.7 |  | Domain 2 |  | NIST SP 800-53 R3 CM-7 | NIST SP 800-53 R3 AC-6 NIST SP 800-53 R3 AC-6 (1) NIST SP 800-53 R3 AC-6 (2) NIST SP 800-53 R3 CM-7 NIST SP 800-53 R3 CM-7 (1) |  |  | A.11.4.1 A 11.4.4 A.11.5.4 | Commandment #1 Commandment #5 Commandment #6 Commandment #7 | CIP-007-3 - R2.1 - R2.2 - R2.3 | AC-5 AC-6 CM-7 SC-3 SC-19 |  | 7.1.2
[NAME]. Registros de Auditoría / Detección de Intrusiones. | IVS-01 | Se requieren los niveles más altos de garantía para la protección, la conservación y la gestión del ciclo de vida de los registros de auditoría, en adhesión a las obligaciones de cumplimiento legal, estatutarias o reglamentarias aplicables y proporcionando cuentas de acceso de usuario únicas [NAME] comportamientos en la red [NAME] y/o anomalías de integridad de ficheros y [NAME] las capacidades de investigación forense en el caso de un fallo de seguridad. | X | X | X | X | X | X | X | X | X | X | X |  | S3.7 | (S3.7) Procedures exist to identify, report, and act upon system security breaches and other incidents. | G.7 G.8 G.9 J.1 L.2 | G.14.7, G.14.8, G.14.9, G.14.10,G.14.11, G.14.12, G.15.5, G.15.7, G.15.8, G.16.8, G.16.9, G.16.10, G.15.9, G.17.5, G.17.7, G.17.8, G.17.6, G.17.9, G.18.2, G.18.3, G.18.5, G.18.6, G.19.2.6, G.19.3.1, G.9.6.2, G.9.6.3, G.9.6.4, G.9.19, H.2.16, H.3.3, J.1, [NAME], [NAME], L.9, L.10 |  | SA-14 | 96 103 | Art. 19 Art. 23 Anexo II:  [op.exp.8] - Nivel alto  [op.exp.10] - Nivel alto [op.mon.1] - Nivel alto | DS5.5 DS5.6 DS9.2 |  | Domain 10 | 6.03. (i) 6.03. (j) 6.03.03. (a) 6.03.03. (d) 6.03.04. (e) 6.04.07. (a) 6.07.01. (a) 6.07.01. (c) | NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 AU-2 NIST SP 800-53 R3 AU-3 NIST SP 800-53 R3 AU-4 NIST SP 800-53 R3 AU-5 NIST SP 800-53 R3 AU-6 NIST SP 800-53 R3 AU-9 NIST SP 800-53 R3 AU-11 NIST SP 800-53 R3 AU-12 NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 | NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 AU-2 NIST SP 800-53 R3 AU-2 (3) NIST SP 800-53 R3 AU-2 (4) NIST SP 800-53 R3 AU-3 NIST SP 800-53 R3 AU-3 (1) NIST SP 800-53 R3 AU-4 NIST SP 800-53 R3 AU-5 NIST SP 800-53 R3 AU-6 NIST SP 800-53 R3 AU-6 (1) NIST SP 800-53 R3 AU-6 (3) NIST SP 800-53 R3 AU-7 NIST SP 800-53 R3 AU-7 (1) NIST SP 800-53 R3 AU-9 NIST SP 800-53 R3 AU-11 NIST SP 800-53 R3 AU-12 NIST SP 800-53 R3 PE-2 NIST SP 800-53 R3 PE-3 NIST SP 800-53 R3 SI-4 NIST SP 800-53 R3 SI-4 (2) NIST SP 800-53 R3 SI-4 (4) NIST SP 800-53 R3 SI-4 (5) NIST SP 800-53 R3 SI-4 (6) NIST SP 800-53 R3 SC-18 | 8.2.1 8.2.2 | 45 CFR 164.308 (a)(1)(ii)(D) 45 CFR 164.312 (b) 45 CFR 164.308(a)(5)(ii)© | A.10.10.1 A.10.10.2 A.10.10.3 A.10.10.4 A.10.10.5 A.11.2.2 A.11.5.4 A.11.6.1 A.13.1.1 A.13.2.3 A.15.2.2 A.15.1.3 | Commandment #6 Commandment #7 Commandment #11 | CIP-007-3 - R6.5 | AU-1 AU-2 AU-3 AU-4 AU-5 AU-6 AU-7 AU-9 AU-11 AU-12 AU-14 SI-4 |  | 10.1 10.2  10.3 10.5 10.6 10.7 11.4 12.5.2 12.9.5
[NAME]. [NAME] | IVS-02 | El proveedor deberá garantizar en todo momento la integridad [NAME] las imágenes de las máquinas virtuales. Cualquier [NAME] realizado en las imágenes de las máquinas virtuales debe ser registrado y una alerta [NAME] estado de ejecución (por ejemplo, en estado latente, apagado o en funcionamiento). Los resultados de un cambio o movimiento de una imagen y la posterior [NAME] integridad de la imagen deben estar inmediatamente disponibles [NAME] clientes a través de medios electrónicos (por ejemplo, portales o alertas). |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | --
[NAME]. [NAME] | IVS-03 | De mutuo acuerdo se utilizará una fuente horaria externa fiable para sincronizar los relojes del sistema de todos los sistemas de procesamiento de información relevantes [NAME] el seguimiento y la reconstitución de las líneas de tiempo de actividad. |  | X | X |  | X |  |  | X | X | X | X |  | S3.7 | (S3.7) Procedures exist to identify, report, and act upon system security breaches and other incidents. | G.7 G.8 | G.13, G.14.8, G.15.5, G.16.8, G.17.6, G.18.3, G.19.2.6, G.19.3.1 | 20 (B) 28 (B) 30 (B) 35 (B) | SA-12 |  | Anexo II:  [op.exp.10] - Nivel alto | DS5.7 |  | Domain 10 | 6.03. (k) | NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 AU-8 | NIST SP 800-53 R3 AU-1 NIST SP 800-53 R3 AU-8 NIST SP 800-53 R3 AU-8 (1) |  |  | A.10.10.1 A.10.10.6 |  |  | [NAME] AU-8 |  | 10.4
[NAME]. [NAME]. | IVS-04 | La disponibilidad, calidad y  capacidad adecuadas y [NAME] [NAME] planeados, preparados y medidos para ofrecer el rendimiento del sistema requerido [NAME] con las obligaciones legales, estatutarias y reglamentarias. Se harán simulaciones [NAME] necesidades [NAME] [NAME] riesgo de sobrecarga del sistema. |  | X | X | X |  | X |  | X | X | X | X | X | A3.2.0    A4.1.0 | (A3.2.0) Measures to prevent or mitigate threats have been implemented consistent with the risk assessment when commercially practicable.  (A4.1.0) The entity’s system availability and security performance is periodically reviewed and compared with the defined system availability and related security policies. |  | G.5 |  | OP-03 |  | Anexo II: [op.pl.4] - Nivel medio | DS 3 |  | Domain 7, 8 | 6.03.07. (a) 6.03.07. (b) 6.03.07. (c) 6.03.07. (d) | NIST SP 800-53 R3 SA-4 | NIST SP 800-53 R3 SA-4 NIST SP 800-53 R3 SA-4 (1) NIST SP 800-53 R3 SA-4 (4) NIST SP 800-53 R3 SA-4 (7) | 1.2.4 |  | A.10.3.1 | Commandment #1 Commandment #2 Commandment #3 |  | SA-4
[NAME]. Gestión - Gestión de las Vulnerabilidades | IVS-05 | Los implementadores garantizarán que las herramientas o servicios [NAME] a las tecnologías de virtualización utilizadas (por ejemplo, la virtualización). |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [op.pl.1] - Nivel medio. [mp.sw.2] - Nivel medio |  |  | Domain 1, 13
[NAME]. [NAME] Red | IVS-06 | Los entornos de red y las instancias virtuales estarán diseñados y configurados para restringir y monitorizar el tráfico entre conexiones fiables y no fiables, serán revisados a intervalos planificados, respaldados por justificaciones de negocio documentadas [NAME] todos los servicios, protocolos y puertos permitidos, incluyendo las razones o los controles compensatorios implementados [NAME] inseguros. Los diagramas de arquitectura de red deben identificar claramente los entornos de alto riesgo y los flujos de datos que pueden tener impacto en el cumplimiento legal, estatutario y reglamentario. Se implementarán medidas técnicas [NAME] técnicas de defensa en profundidad (por ejemplo, [NAME], estrangulamiento de tráfico y filtrado de agujero negro) [NAME] detección y la respuesta oportuna a los ataques basados en red asociados con patrones de tráfico de entrada o salida anómalos (por ejemplo, suplantación de MAC y ataques de envenenamiento de ARP) y/o ataques de denegación de servicio distribuidos de (DDoS). | X | X | X | X | X | X |  | X | X | X | X | X | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. | G.2 G.4 G.15 G.16 G.17 G.18 I.3 | G.9.17, G.9.7, G.10, G.9.11, G.14.1, G.15.1, G.9.2, G.9.3, G.9.13 |  | SA-08 |  | Anexo II:  [mp.com.4] - Nivel alto |  |  | Domain 10 | 6.03.03. (a) 6.03.03. (d) 6.03.04. (d) 6.04.07. (a) 6.07.01. (c) | NIST SP 800-53 R3 CM-7 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-20 (1) | NIST SP 800-53 R3 CM-7 NIST SP 800-53 R3 CM-7 (1) NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-7 (1) NIST SP 800-53 R3 SC-7 (2) NIST SP 800-53 R3 SC-7 (3) NIST SP 800-53 R3 SC-7 (4) NIST SP 800-53 R3 SC-7 (5) NIST SP 800-53 R3 SC-7 (7) NIST SP 800-53 R3 SC-7 (8) NIST SP 800-53 R3 SC-7 (12) NIST SP 800-53 R3 SC-7 (13) NIST SP 800-53 R3 SC-7 (18) NIST SP 800-53 R3 SC-20 (1) NIST SP 800-53 R3 SC-21 NIST SP 800-53 R3 SC-22 NIST SP 800-53 R3 SC-30 NIST SP 800-53 R3 SC-32 | 8.2.5 |  | A.10.6.1 A.10.6.2 A.10.9.1 A.10.10.2 A.11.4.1 A.11.4.5 A.11.4.6 A.11.4.7 A.15.1.4 | Commandment #1 Commandment #2 Commandment #3 Commandment #9 Commandment #10 Commandment #11 | CIP-004-3 R2.2.4 | SC-7 |  | 1.1 1.1.2 1.1.3 1.1.5 1.1.6 1.2 1.2.1 2.2.2 2.2.3
[NAME]. Bastionado de Sistema Operativo y Controles Básicos | IVS-07 | [NAME] sistema operativo deberá ser fortalecido [NAME] sólo los puertos necesarios, protocolos y servicios [NAME] las necesidades del negocio y [NAME] [NAME] tales como: antivirus, integridad de los ficheros de monitorización y el inicio de sesión como parte [NAME] estándar o plantilla. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 19 Anexo II: [op.exp.2] - Todos los niveles. [op.exp.6] - Todos los niveles [op.mon.2] - Nivel alto |  |  | Domain 1, 13
[NAME]. [NAME] y No-Producción | IVS-08 | Los entornos de producción y de no producción deberá estar separados [NAME] o cambios no autorizados en los activos de información. | X | X | X | X | X | X |  | X | X | X | X |  | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. | B.1 | I.2.7.1, I.2.20, I.2.17, I.2.22.2, I.2.22.4, I.2.22.10-14, H.1.1 | 22 (B) | SA-06 | 94.4 | Anexo II: [mp.sw.1] - Nivel medio [mp.sw.2] - Todos los niveles | DS5.7 |  | Domain 10 | 6.03. (d) |  | NIST SP 800-53 R3 SC-2 | 1.2.6 |  | A.10.1.4 A.10.3.2 A.11.1.1 A.12.5.1 A.12.5.2 A.12.5.3 | Commandment #1 Commandment #10 Commandment #11 |  | SC-2 |  | 6.4.1 6.4.2
[NAME]. Segmentación | IVS-09 | Las aplicaciones multi-cliente ya sean de propiedad o administradas (físicas y virtuales), y el sistema de infraestructura y componentes de red, deberán estar diseñados, desarrollados, desplegados y configurados de tal manera que el acceso del proveedor y del cliente esté adecuadamente segmentado [NAME] clientes, en base a las siguientes consideraciones:  • Políticas y procedimientos establecidos  • Aislamiento de los activos [NAME] y/o información confidencial del usuario y sesiones que exigen controles internos robustos y altos niveles de garantía  • Cumplimiento de las obligaciones legales, estatutarias y reglamentarias | X | X | X | X | X | X |  | X | X | X | X | X | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. | G.17 | G.9.2, G.9.3, G.9.13 |  | SA-09 |  | Art 22 Anexo II:  [op.pl.2] - Todos los niveles  [mp.com.1] - Todos los niveles | DS5.10 |  | Domain 10 | 6.03.03. (b) 6.03.05. (a) 6.03.05. (b) 6.04.01. (a) 6.04.01. (g) 6.04.03. (c) 6.04.08.02. (a) 6.04.08.02. (b) 6.05. (c) | NIST SP 800-53 R3 SC-7 | NIST SP 800-53 R3 AC-4 NIST SP 800-53 R3 SC-2 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-7 (1) NIST SP 800-53 R3 SC-7 (2) NIST SP 800-53 R3 SC-7 (3) NIST SP 800-53 R3 SC-7 (4) NIST SP 800-53 R3 SC-7 (5) NIST SP 800-53 R3 SC-7 (7) NIST SP 800-53 R3 SC-7 (8) NIST SP 800-53 R3 SC-7 (12) NIST SP 800-53 R3 SC-7 (13) NIST SP 800-53 R3 SC-7 (18) |  | 45 CFR 164.308 (a)(4)(ii)(A) | A.11.4.5 A.11.6.1 A.11.6.2 A.15.1.4 | Commandment #1 Commandment #2 Commandment #3 Commandment #9 Commandment #10 Commandment #11 | CIP-004-3 R3 | AC-4 SC-2 SC-3 SC-7 |  | 1.1 1.2 1.2.1 1.3 1.4
[NAME]. [NAME] Virtuales (VM) - Protección de los Datos en las migraciones (vMotion) | IVS-10 | Se utilizarán canales de comunicación securizados y cifrados [NAME] servidores físicos, aplicaciones o datos a servidores virtualizados y, si es posible, se utilizará una red segregada de la red de producción para este tipo de migraciones. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- | 104 | Anexo II: [mp.com.2] - Nivel medio [mp.com.3] - Todos los niveles. [mp.com.4] - Nivel alto. |  |  | Domain 1, 13
[NAME]. Seguridad VMM - Bastionado del Hypervisor | IVS-11 | El acceso a todas las funciones de administración del hipervisor o consolas de administración [NAME] virtualizados estará restringido a personal en base al principio de privilegios mínimos y apoyado a través de controles técnicos (por ejemplo, autenticación de dos factores, logs de auditoría, filtrado de direcciones IP, firewalls y encapsulado de comunicaciones bajo TLS a las consolas administrativas). |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 19. Anexo II: [op.exp.2] - Todos los niveles. [op.exp.8] - Todos los niveles. [op.acc.4] - Todos los niveles. |  |  | Domain 1, 13
[NAME]. [NAME] | IVS-12 | Se establecerán políticas y procedimientos, así como apoyo a los procesos de negocio y [NAME] técnicas implementadas, [NAME], incluyendo las siguientes:  • Firewalls perimetrales implementados y configurados para restringir el tráfico no autorizado  • Configuraciones de seguridad habilitadas con cifrado robusto para [NAME] y transmisión reemplazando [NAME] por defecto del fabricante (por ejemplo, claves de cifrado, contraseñas y SNMP "community strings")  [NAME] de usuario a dispositivos de red inalámbricos restringido a personal autorizado  • Capacidad de detectar [NAME] inalámbricos no autorizados (rogue) para una desconexión [NAME] red | X | X | X | X | X | X | X | X | X | X | X | X | S3.4 | (S3.4) Procedures exist to protect against unauthorized access to system resources. | D.1 B.3 F.1 G.4 G.15 G.17 G.18 | E.3.1,  F.1.2.4, F.1.2.5, F.1.2.6, F.1.2.8, F.1.2. 9, F.1.2.10, F.1.2.11, F.1.2.12, F.1.2.13, F.1.2.14, F.1.2.15, F.1.2.24, F.1.3, F.1.4.2, F1.4.6, F.1.4.7, F.1.6, F.1.7,F.1.8, [NAME], F.2.14, [NAME], F.2.16, F.2.17, F.2.18 G.9.17, G.9.7, G.10, G.9.11, G.14.1, G.15.1, G.9.2, G.9.3, G.9.13 | 40 (B) 44 (C+) | SA-10 |  | -- | DS5.5 DS5.7 DS5.8 DS5.10 |  | Domain 10 |  | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-18 NIST SP 800-53 R3 CM-6 NIST SP 800-53 R3 SC-7 | NIST SP 800-53 R3 AC-1 NIST SP 800-53 R3 AC-18 NIST SP 800-53 R3 AC-18 (1) NIST SP 800-53 R3 AC-18 (2) NIST SP 800-53 R3 CM-6 NIST SP 800-53 R3 CM-6 (1) NIST SP 800-53 R3 CM-6 (3) NIST SP 800-53 R3 PE-4 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-7 (1) NIST SP 800-53 R3 SC-7 (2) NIST SP 800-53 R3 SC-7 (3) NIST SP 800-53 R3 SC-7 (4) NIST SP 800-53 R3 SC-7 (5) NIST SP 800-53 R3 SC-7 (7) NIST SP 800-53 R3 SC-7 (8) NIST SP 800-53 R3 SC-7 (12) NIST SP 800-53 R3 SC-7 (13) NIST SP 800-53 R3 SC-7 (18) | 8.2.5 | 45 CFR 164.312 (e)(1)(2)(ii) 45 CFR 164.308(a)(5)(ii)(D) 45 CFR  164.312(e)(1) 45 CFR 164.312(e)(2)(ii) | A.7.1.1 A.7.1.2 A.7.1.3 A.9.2.1 A.9.2.4 A.10.6.1 A.10.6.2 A.10.8.1 A.10.8.3 A.10.8.5 A.10.10.2 A.11.2.1 A.11.4.3 A.11.4.5 A.11.4.6 A.11.4.7 A.12.3.1 A.12.3.2 | Commandment #1 Commandment #2 Commandment #3 Commandment #4 Commandment #5 Commandment #9 Commandment #10 Commandment #11 | CIP-004-3 R3 CIP-007-3 - R6.1 | AC-1 AC-18 CM-6 PE-4 SC-3 SC-7 |  | 1.2.3 2.1.1 4.1 4.1.1 11.1 9.1.3
Interoperabilidad y Portabilidad.  API's | IPY-01 | El proveedor deberá usar APIs abiertas y publicadas [NAME] amplio apoyo para la interoperabilidad entre componentes y [NAME] [NAME]. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | -- |  |  | Domain 6
Interoperabilidad y Portabilidad.  Peticiones de Datos | IPY-02 | Todos los datos no estructurados estarán a [NAME] clientes y se les proporcionará bajo petición en un formato estándar de la industria (por ejemplo, .doc, .xls o .pdf) |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | -- |  |  | Domain 6
Interoperabilidad y Portabilidad.  Políticas y Legislación | IPY-03 | Políticas, procedimientos, disposiciones y/o términos de mutuo [NAME] establecidos para satisfacer los requerimientos del cliente (arrendatario) [NAME] (API) y el procesamiento de información de interoperabilidad y portabilidad [NAME] y el intercambio de información, el uso y [NAME]. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 15.3 Anexo II: [op.ext.1] - Todos los niveles [op.ext.2] - Todos los niveles. |  |  | Domain 3 | 6.04.03. (b) 6.04.08. (a) 6.04.08. (b) 6.06. (a) 6.06. (b) 6.06. (c) 6.06. (d) 6.06. (e) 6.06. (f)
Interoperabilidad y Portabilidad.  [NAME] estandarizados | IPY-04 | El proveedor deberá [NAME] estandarizados y seguros (por ejemplo, [NAME] no plano y autenticado) [NAME] importación y exportación de datos y [NAME] y pondrá a disposición de los consumidores (los arrendatarios) un documento que detalle [NAME] y portabilidad relevantes que estén involucrados. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [op.com.2] - Todos los niveles [op.com.3] - Todos los niveles. |  |  | Domain 6
Interoperabilidad y Portabilidad.  [NAME] | IPY-05 | El proveedor deberá utilizar una plataforma de virtualización reconocida por la industria y formatos estándares de virtualización (por ejemplo, OVF) [NAME] a asegurar la interoperabilidad. A disposición del cliente [NAME], tendrá documentados los cambios de personalización realizados en cualquier hipervisor en uso y en todos los ganchos de soluciones específicas de virtualización. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | -- |  |  | Domain 6
Seguridad móvil Anti-Malware | MOS-01 | Se deberá incluir la concienciación antimalware, específica para dispositivos móviles, [NAME] formación en seguridad de la información del proveedor. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 5 Anexo II: [mp.per.3] - Todos los niveles [mp.per.4] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Tiendas de aplicaciones | MOS-02 | La compañía deberá tener una lista documentada e [NAME] aprobadas que hayan sido identificadas como aceptables para dispositivos móviles que accedan o almacenen datos y/o sistemas de la compañía. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | -- |  |  | None (Mobile Guidance)
Seguridad móvil Aplicaciones aprobadas | MOS-03 | La compañía deberá tener una política documentada que prohíba la instalación de aplicaciones no aprobadas o que aún aprobadas no hayan sido obtenidas a través de una tienda de aplicaciones [NAME]. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | [NAME]: [op.exp.2] - Todos los niveles [op.exp.3] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Software aprobado para BYOD | MOS-04 | La política de BYOD y su correspondiente formación de concienciación sobre su uso deberán exponer claramente las aplicaciones y tiendas aprobadas que pueden ser empleadas. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | -- |  |  | None (Mobile Guidance)
Seguridad móvil Formación y concienciación | MOS-05 | El proveedor deberá tener una política de dispositivos móviles documentada que incluya una [NAME] uso y requisitos aceptables. El proveedor deberá publicar y comunicar tanto la política como los requisitos a través del programa [NAME] y de concienciación en seguridad. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 11 Anexo II: [org.1] - Todos los niveles [org.2] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Servicios basados en la nube | MOS-06 | Todos los servicios basados en la nube empleados por los dispositivos móviles corporativos o BYOD deberán ser previamente aprobados [NAME] corporativos. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | [NAME]: [org.4] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Compatibilidad | MOS-07 | La compañía deberá tener un procedimiento [NAME] que compruebe [NAME], el sistema operativo y los problemas de compatibilidad de la aplicación. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 19 Anexo II: [op.exp.2] - Todos los niveles [op.exp.3] - Todos los niveles [mp.sw.2] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Idoneidad de dispositivos | MOS-08 | La política de BYOD deberá definir los requisitos de los dispositivos y [NAME] para permitir su uso como BYOD. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 12 Anexo II: [org.2] - Todos los niveles [org.3] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Inventario de dispositivos | MOS-09 | Se deberá almacenar y conservar un inventario de todos los dispositivos móviles empleados para acceder y almacenar datos corporativos. Todos los cambios en el estado de estos dispositivos (por ej. sistema operativo, [NAME], pérdida o retirada del dispositivo y a [NAME] permite el uso BYOD) deberán ser incluidos [NAME] dispositivo en dicho inventario. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [op.exp.1] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Gestión de dispositivos | MOS-10 | La compañía deberá tener desplegada una [NAME] todos los dispositivos permitidos [NAME], transmitir o procesar información corporativa. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | -- |  |  | None (Mobile Guidance)
Seguridad móvil Cifrado | MOS-11 | La política de dispositivos móviles deberá requerir el uso de cifrado bien [NAME] completo, [NAME] identificados como sensibles en todos los dispositivos, y esta medida deberá cumplirse mediante controles tecnológicos. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- | 104 | Art. 21 Anexo II: [org.2] - Todos los niveles [mp.eq.3] - Nivel alto [mp.info.2] - Todos los niveles [mp.si.2] - Nivel medio |  |  | None (Mobile Guidance)
Seguridad móvil Jailbreaking y rooting | MOS-12 | La política de dispositivos móviles deberá prohibir eludir los controles de seguridad integrados en los dispositivos móviles (por ej.: jailbreaking o rooting) y deberá cumplirse a través de controles tanto detectivos como preventivos, ya sea en el propio dispositivo o mediante un sistema de gestión de dispositivos centralizado. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 12. Anexo II: [org.2] - Todos los niveles [op.exp.2] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Requisitos legales | MOS-13 | La política de BYOD debe incluir en un lenguaje claro las expectativas de privacidad, requisitos de litigio, localización de evidencias electrónicas y retenciones jurídicas. Debe a su vez exponer claramente la posibilidad de la pérdida de datos que no sean de la compañía si es necesario un borrado de los datos del dispositivo. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 14. Anexo II: [org.1] - Todos los niveles [org.2] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Bloqueo de pantalla | MOS-14 | Los dispositivos BYOD y/o corporativos deberán requerir un bloqueo [NAME], y este requisito deberá cumplirse a través de controles técnicos. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 7 Anexo II: [mp.eq.2] - Nivel medio |  |  | None (Mobile Guidance)
Seguridad móvil [NAME] | MOS-15 | Los cambios en los sistemas operativos, [NAME] y/o aplicaciones de los dispositivos móviles deberán ser gestionados a través de los procesos de gestión del cambio de la compañía. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [op.exp.4] - Todos los niveles [op.exp.5] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Contraseñas | MOS-16 | Las políticas de contraseñas aplicables a dispositivos móviles deberán estar documentadas y ejecutadas a través de controles técnicos en todos los dispositivos corporativos o aprobados [NAME] como BYOD y deberán prohibir tanto el cambio de la longitud de las contraseñas/PINs como los requisitos de autenticación. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [org.2] - Todos los niveles [op.acc.1] - Nivel medio [op.acc.5] - Nivel medio |  |  | None (Mobile Guidance)
Seguridad móvil Política | MOS-17 | La política de dispositivos móviles deberá requerir [NAME] que realice copias de seguridad de los datos, [NAME] aplicaciones no autorizadas, y [NAME] antimalware (donde esté soportado). |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [op.exp.6] - Nivel medio [mp.eq.3] - Todos los niveles [mp.info.9] - Nivel medio |  |  | None (Mobile Guidance)
Seguridad móvil [NAME] remoto | MOS-18 | Todos los dispositivos móviles cuyo uso se permita a través del programa [NAME] compañía y/o los dispositivos corporativos deberán permitir [NAME] remoto por el personal de TI corporativo de la compañía, o todos los datos corporativos deberán ser borrados por dicho personal. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [org.2] - Todos los niveles [op.exp.2] - Todos los niveles [mp.eq.3] - Todos los niveles |  |  | None (Mobile Guidance)
Seguridad móvil Parches de seguridad | MOS-19 | Los dispositivos móviles que se conecten a redes corporativas o almacenen/accedan a información [NAME] deberán permitir [NAME] de los últimos parches de seguridad por parte del personal TI de la compañía. Todos los dispositivos móviles deberán de tener instalados los últimos parches de seguridad disponibles por parte del operador o el fabricante del dispositivo. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | [NAME]: [org.2] - Todos los niveles [op.exp.2] - Todos los niveles [op.exp.3] - Nivel medio [op.exp.4] - Nivel medio |  |  | None (Mobile Guidance)
Seguridad móvil Usuarios | MOS-20 | La política de BYOD deberá clarificar los sistemas y servidores permitidos [NAME] o acceso desde de un dispositivo habilitado para BYOD. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Anexo II: [org.1] - Todos los niveles [org.2] - Todos los niveles |  |  | None (Mobile Guidance)
Gestión de incidentes de seguridad, Localización de evidencias electrónicas, Investigaciones forenses en la nube Puntos de contacto con las autoridades | SEF-01 | Se deberán mantener disponibles y actualizados los puntos de contacto de las fuerzas de seguridad locales y nacionales, autoridades legislativas aplicables y otras autoridades con jurisdicción legal (sobre todo en caso de cambios en el alcance o en las obligaciones de cumplimiento), de modo que se asegure el establecimiento directo de los enlaces correspondientes y [NAME] para una investigación forense que requiera una participación rápida de las fuerzas de seguridad. | X | X | X | X | X | X | X | X | X | X | X | X | S4.3.0     x4.4.0 | (S4.3.0) Environmental, regulatory, and technological changes are monitored and their effect on system security is assessed on a timely basis and policies are updated for that assessment.  (x4.4.0) Environmental, regulatory, and technological changes are monitored, and their impact on system [availability, processing integrity, confidentiality] and security is assessed on a timely basis. System [availability, processing integrity, confidentiality] policies and procedures are updated for such changes as required. |  | L1 |  | CO-04 | 24 25 | Art. 37 | ME 3.1 |  | Domain 2, 4 |  | NIST SP 800-53 R3 IR-6 NIST SP 800-53 R3 SI-5 | NIST SP 800-53 R3 IR-6 NIST SP 800-53 R3 IR-6 (1) NIST SP 800-53 R3 SI-5 | 1.2.7 10.1.1 10.2.4 |  | A.6.1.6 A.6.1.7 | Commandment #1 Commandment #2 Commandment #3 | CIP-001-1a R3 - R4 | AT-5 IR-6 SI-5 |  | 11.1.e 12.5.3 12.9
Gestión de incidentes de seguridad, Localización de evidencias electrónicas, Investigaciones forenses en la nube Gestión de incidentes | SEF-02 | Se deberán establecer procedimientos y políticas, así como medidas técnicas y [NAME], que permitan la evaluación y [NAME] y que garanticen una gestión completa y en tiempo de los incidentes así como sea establecido en las políticas y procedimientos de gestión de servicios TI. | X | X | X | X | X | X | X | X | X | X | X | X | IS3.7.0      S3.9.0 | (IS3.7.0) Procedures exist to identify, report, and act upon system security breaches and other incidents.    (S3.9.0) Procedures exist to provide that issues of noncompliance with system availability, confidentiality of data, processing integrity and related security policies are promptly addressed and that corrective measures are taken on a timely basis. | J.1 | [NAME], J.1.2 | 46 (B) | IS-22 | 90 100 105 | Art. 36 Art. 37 Anexo II: [op.exp.7] - Nivel medio [op.exp.9] - Nivel medio | DS5.6 |  | Domain 2 | 6.04.07. (b) 6.07.01. (a) 6.07.01. (d) 6.07.01. (e) 6.07.01. (f) 6.07.01. (g) 6.07.01. (h) | NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 IR-2 NIST SP 800-53 R3 IR-4 NIST SP 800-53 R3 IR-5 NIST SP 800-53 R3 IR-6 NIST SP 800-53 R3 IR-7 | NIST SP 800-53 R3 IR-1 NIST SP 800-53 R3 IR-2 NIST SP 800-53 R3 IR-3 NIST SP 800-53 R3 IR-4 NIST SP 800-53 R3 IR-4 (1) NIST SP 800-53 R3 IR-5 NIST SP 800-53 R3 IR-7 NIST SP 800-53 R3 IR-7 (1) NIST SP 800-53 R3 IR-7 (2) NIST SP 800-53 R3 IR-8 | 1.2.4 1.2.7 7.1.2 7.2.2 7.2.4 10.2.1 10.2.4 | 45 CFR 164.308 (a)(1)(i) 45 CFR 164.308 (a)(6)(i) | Clause 4.3.3 A.13.1.1 A.13.2.1 | Commandment #2 Commandment #6 Commandment #8 | CIP-007-3 - R6.1  CIP-008-3 - R1 | IR-1 IR-2 IR-3 IR-4 IR-5 IR-7 IR-8 |  | 12.9 12.9.1 12.9.2 12.9.3 12.9.4 12.9.5 12.9.6
Gestión de incidentes de seguridad, Localización de evidencias electrónicas, investigaciones forenses en la nube Comunicación de incidentes | SEF-03 | Se deberá informar a los trabajadores y a las empresas externas relacionadas acerca de sus responsabilidades y, si fuera necesario, deberán dar su consentimiento o aceptar contractualmente a informar prontamente de todos los eventos de seguridad. Los eventos de seguridad deberán ser comunicados a través de canales de comunicación predefinidos oportunamente cumpliendo con las obligaciones legales, reglamentarias o de cumplimiento regulatorio aplicables. | X | X | X | X | X | X | X | X | X | X | X | X | A2.3.0 C2.3.0 I2.3.0 S2.3.0   S2.4    C3.6.0 | (A2.3.0, C2.3.0, I2.3.0, S2.3.0) Responsibility and accountability for the entity’s system availability, confidentiality of data, processing integrity and related security policies and changes and updates to those policies are communicated to entity personnel responsible for implementing them.  (S2.4) The process for informing the entity about breaches of the system security and for submitting complaints is communicated to authorized users.  (C3.6.0) The entity has procedures to obtain assurance or representation that the confidentiality policies of third parties to whom information is transferred and upon which the entity relies are in conformity with the entity’s defined system confidentiality and related security policies and that the third party is in compliance with its policies. | [NAME] | [NAME], E.4 | 5 (B) 46 (B) 48 (A+) 49 (B) 50 (B) | IS-23 | 89 90 100 105 | Art. 7 Anexo II: [op.exp.7] - Nivel medio [mp.per.2] - Todos los niveles [mp.per.3] - Todos los niveles | DS5.6 |  | Domain 2 | 6.07.01. (a) | NIST SP 800-53 R3 IR-2 NIST SP 800-53 R3 IR-6 NIST SP 800-53 R3 IR-7 NIST SP 800-53 R3 SI-5 | NIST SP 800-53 R3 IR-2 NIST SP 800-53 R3 IR-6 NIST SP 800-53 R3 IR-6 (1) NIST SP 800-53 R3 IR-7 NIST SP 800-53 R3 IR-7 (1) NIST SP 800-53 R3 IR-7 (2) NIST SP 800-53 R3 SI-4 NIST SP 800-53 R3 SI-4 (2) NIST SP 800-53 R3 SI-4 (4) NIST SP 800-53 R3 SI-4 (5) NIST SP 800-53 R3 SI-4 (6) NIST SP 800-53 R3 SI-5 | 1.2.7 1.2.10 7.1.2 7.2.2 7.2.4 10.2.4 | 45 CFR 164.312 (a)(6)(ii) 16 CFR 318.3 (a) 16 CFR 318.5 (a) 45 CFR 160.410 (a)(1) | Clause 4.3.3 Clause 5.2.2 A.6.1.3 A.8.2.1 [NAME] A.13.1.2 A.13.2.1 | Commandment #2 Commandment #6 Commandment #8 | CIP-003-3 - R4.1 CIP-004-3 R3.3 | IR-2 IR-6 IR-7 SI-4 SI-5 |  | 12.5.2 12.5.3
Gestión de incidentes de seguridad, Localización de evidencias electrónicas, investigaciones forenses en la nube Preparaciones legales para la respuesta ante incidentes | [NAME] | En el caso de que una investigación posterior que afecte a una persona u organización después de un incidente de seguridad requiera acciones legales se exige el seguimiento de los debidos procedimientos forenses, incluyendo la cadena de custodia, [NAME] y [NAME] que apoyen dichas acciones legales ante la jurisdicción pertinente.  [NAME], los clientes (arrendatarios) y/o las relaciones con otras empresas externas que hayan sido afectadas por una violación de seguridad deberán tener la oportunidad de participar como sea legalmente posible en la investigación forense. | X | X | X | X | X | X | X | X | X | X | X | X | S2.4.0      C3.15.0 | (S2.4.0) The process for informing the entity about system availability issues, confidentiality issues, processing integrity issues, security issues and breaches of the system security and for submitting complaints is communicated to authorized users.  (C3.15.0) Procedures exist to provide that issues of noncompliance with defined confidentiality and related security policies are promptly addressed and that corrective measures are taken on a timely basis. | [NAME] | [NAME], J.1.2,  E.4 |  | IS-24 |  | Anexo II:  [op.exp.9] - Nivel medio | DS5.6 |  | Domain 2 | 6.04.07. (b) 6.07.01. (f) 6.07.01. (h) | NIST SP 800-53 R3 AU-6 NIST SP 800-53 R3 AU-9 NIST SP 800-53 R3 AU-11 NIST SP 800-53 R3 IR-5 NIST SP 800-53 R3 IR-7 NIST SP 800-53 R3 IR-8 | NIST SP 800-53 R3 AU-6 NIST SP 800-53 R3 AU-6 (1) NIST SP 800-53 R3 AU-6 (3) NIST SP 800-53 R3 AU-7 NIST SP 800-53 R3 AU-7 (1) NIST SP 800-53 R3 AU-9 NIST SP 800-53 R3 AU-9 (2) NIST SP 800-53 R3 AU-10 NIST SP 800-53 R3 AU-10 (5) NIST SP 800-53 R3 AU-11 NIST SP 800-53 R3 IR-5 NIST SP 800-53 R3 IR-7 NIST SP 800-53 R3 IR-7 (1) NIST SP 800-53 R3 IR-7 (2) NIST SP 800-53 R3 IR-8 NIST SP 800-53 R3 MP-5 NIST SP 800-53 R3 MP-5 (2) NIST SP 800-53 R3 MP-5 (4) | 1.2.7 | 45 CFR 164.308 (a)(6)(ii) | Clause 4.3.3 Clause 5.2.2 A.8.2.2 A.8.2.3 A.13.2.3 A.15.1.3 |  | CIP-004-3 R3.3 | AU-6 AU-7 AU-9 AU-11 IR-5 IR-7 IR-8
Gestión de incidentes de seguridad, Localización de evidencias electrónicas, investigaciones forenses en la nube [NAME] ante incidentes | SEF-05 | Se deberán implantar los mecanismos que permitan monitorizar y cuantificar los tipos, cantidades y costes de los incidentes de seguridad de la información. | X | X | X | X | X | X | X | X | X | X | X | X | S3.9.0    C4.1.0 | (S3.9.0) Procedures exist to provide that issues of noncompliance with security policies are promptly addressed and that corrective measures are taken on a timely basis.  (C4.1.0) The entity’s system security, availability, system integrity, and confidentiality is periodically reviewed and compared with the defined system security, availability, system integrity, and confidentiality policies. |  | J.1.2 | 47 (B) | IS-25 |  | Anexo II: [op.exp.9] - Nivel medio [op.mon.2] - Nivel alto | DS 4.9 |  | Domain 2 | 6.07.01. (a) 6.07.01. (i) | NIST SP 800-53 R3 IR-4 NIST SP 800-53 R3 IR-5 NIST SP 800-53 R3 IR-8 | NIST SP 800-53 R3 IR-4 NIST SP 800-53 R3 IR-4 (1) NIST SP 800-53 R3 IR-5 NIST SP 800-53 R3 IR-8 | 1.2.7 1.2.10 | 45 CFR 164.308 (a)(1)(ii)(D) | A.13.2.2 |  | CIP-008-3 - R1.1 | IR-4 IR-5 IR-8 |  | 12.9.6
Gestión de la cadena de suministro, [NAME] e Integridad | STA-01 | Los proveedores deberán inspeccionar y ser responsables de los errores y riesgos en la calidad de los datos heredados de sus socios dentro de la cadena de suministro de la nube. Los proveedores deberán diseñar e implementar controles que mitiguen y contengan los riesgos de seguridad de los datos a través de una debida separación de tareas, acceso basado en roles y acceso [NAME] privilegio [NAME]. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | -- |  |  | Domain 2
Gestión de la cadena de suministro, [NAME] incidentes | STA-02 | El proveedor deberá facilitar [NAME] a todos los clientes y proveedores afectados de forma periódica a través de medios electrónicos (por ej., portales). |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 24 Anexo II: [op.exp.9] - Nivel medio |  |  | Domain 2
Gestión de la cadena de suministro, [NAME] | STA-03 | Los componentes de la infraestructura de sistemas y redes, así como el diseño y [NAME] (físicas y virtuales) y de los interfaces sistema-sistema (API) que sean críticos [NAME] o que impacten [NAME] cliente (arrendatario) deberán ser diseñados, desarrollados y desplegados de acuerdo con unas expectativas de nivel de servicio y capacidad [NAME], así como de acuerdo a las políticas y procedimientos de gestión de servicio y gobernanza TI. | X | X | X | X | X | X | X | X | X | X | X | X | C2.2.0 | (C2.2.0) The system security, availability, system integrity, and confidentiality and related security obligations of users and the entity’s system security, availability, system integrity, and confidentiality and related security commitments to users are communicated to authorized users. | C.2 | C.2.6, G.9.9 | 45 (B) 74 (B) | IS-31 |  | Anexo II: [op.ext.1] - Nivel medio [op.ext.9] - Nivel alto | DS5.10 |  | Domain 2 | 6.02. (c) 6.03.07. (a) 6.03.07. (b) 6.03.07. (c) 6.03.07. (d) | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 SA-9 | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 CP-6 NIST SP 800-53 R3 CP-6 (1) NIST SP 800-53 R3 CP-6 (3) NIST SP 800-53 R3 CP-7 NIST SP 800-53 R3 CP-7 (1) NIST SP 800-53 R3 CP-7 (2) NIST SP 800-53 R3 CP-7 (3) NIST SP 800-53 R3 CP-7 (5) NIST SP 800-53 R3 CP-8 NIST SP 800-53 R3 CP-8 (1) NIST SP 800-53 R3 CP-8 (2) NIST SP 800-53 R3 SA-9 NIST SP 800-53 R3 SA-9 (1) NIST SP 800-53 R3 SC-30 | 8.2.2 8.2.5 |  | A.6.2.3 A.10.6.2 | Commandment #6 Commandment #7 Commandment #8 |  | SC-20 SC-21 SC-22 SC-23 SC-24
Gestión de la cadena de suministro, [NAME] internas del proveedor | STA-04 | El proveedor deberá realizar anualmente evaluaciones internas del cumplimiento y [NAME], procedimientos, [NAME] y métricas. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Artículo 34 Artículo 35 Anexo II [op.mon.2] - Nivel alto |  |  | Domain 2
Gestión de la cadena de suministro, [NAME] relativos a la cadena de suministro | STA-05 | Los Acuerdos de la cadena de suministro (por ejemplo, SLA) entre proveedores y clientes (arrendatarios) contendrán [NAME] [NAME] [NAME] disposiciones y/o los términos: [NAME] relación comercial y de servicios que se ofrece (por ejemplo , [NAME] del cliente (arrendatario), [NAME] y el uso, conjuntos de características y funcionalidad , el personal y [NAME] y componentes de los sistemas de prestación de servicios y apoyo, roles y responsabilidades de proveedor y cliente (arrendatario) y cualquier relación comercial subcontratada o externalizada, la ubicación [NAME] servicios [NAME] , y cualquier [NAME] cumplimiento regulatorio conocidos ) • Los requisitos de seguridad de la información, los puntos de contacto principales durante [NAME] comercial del proveedor y el cliente (arrendatario), y las referencias a la información detallada de apoyo y [NAME] relevantes y [NAME] implementadas para permitir [NAME] efectivo, la gestión de riesgos y cumplimiento de las obligaciones de seguridad, legales, estatutaria y [NAME] por todas las partes afectadas. [NAME] y/o pre- autorización los cambios controlados por el proveedor con impacto en el cliente (arrendatario) • La notificación a tiempo de un incidente de seguridad (o brecha de seguridad confirmada) a todos los clientes (arrendatarios) y otras partes afectadas (es decir, [NAME]) • Evaluación y verificación independiente del cumplimiento de las disposiciones del acuerdo y / o términos (por ejemplo, la certificación aceptable para la industria, el informe de auditoría de certificación, o formas equivalentes de aseguramiento) sin representar un riesgo de negocio inaceptable [NAME] exposición [NAME] organización que está siendo evaluada [NAME] comercial y el tratamiento de los datos del cliente (arrendatario) afectados • El cliente (arrendatario) de una aplicación servicio a servicio (API) y los requerimientos de interoperabilidad y portabilidad de los datos [NAME] y el intercambio de información, el uso y [NAME] integridad. | X | X | X | X | X | X | X | X | X | X | X | X | S2.2.0     A3.6.0     C3.6.0 | (S2.2.0) The availability, confidentiality of data, processing integrity, system security and related security obligations of users and the entity’s availability and related security commitments to users are communicated to authorized users.  (A3.6.0) Procedures exist to restrict physical access to the defined system including, but not limited to, facilities, backup media, and other system components such as firewalls, routers, and servers.  (C3.6.0) The entity has procedures to obtain assurance or representation that the confidentiality policies of third parties to whom information is transferred and upon which the entity relies are in conformity with the entity’s defined system confidentiality and related security policies and that the third party is in compliance with its policies. | C.2 | C.2.4, C.2.6, G.4.1, G.16.3 | 74 (B) 75 (C+, A+) 45 (B) 75 (C+, A+) 79 (B) 4 (C+, A+) | LG-02 |  | Anexo II:  [op.ext.1] - Nivel medio | DS5.11 |  | Domain 3 | 6.02. (e) 6.10. (h) 6.10. (i) | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 PS-7 NIST SP 800-53 R3 SA-6 NIST SP 800-53 R3 SA-7 NIST SP 800-53 R3 SA-9 | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 MP-5 NIST SP 800-53 R3 MP-5 (2) NIST SP 800-53 R3 MP-5 (4) NIST SP 800-53 R3 PS-7 NIST SP 800-53 R3 SA-6 NIST SP 800-53 R3 SA-7 NIST SP 800-53 R3 SA-9 NIST SP 800-53 R3 SA-9 (1) | 1.2.5 | 45 CFR 164.308 (a)(4)(ii)(A) 45 CFR 164.308 (b)(1) 45 CFR 164.308 (b)(2)(i) 45 CFR 164.308 (b)(2)(ii) 45 CFR 164.308 (b)(2)(iii) 45 CFR 164.308 (b)(3) 45 CFR 164.308 (b)(4) 45 CFR 164.312(e)(2)(i) 45 CFR 164.312 (c)(1) 45 CFR 164.312(e)(2)(ii) 45 CFR 164.314 (a)(1)(i) 45 CFR 164.314 (a)(1)(ii)(A) 45 CFR 164.314 (a)(2)(i) 45 CFR 164.314 (a)(2)(i)(A) 45 CFR 164.314 (a)(2)(i)(B) 45 CFR 164.314 (a)(2)(i)(C) 45 CFR 164.314 (a)(2)(i)(D) 45 CFR 164.314 (a)(2)(ii)(A) 45 CFR 164.314 (a)(2)(ii)(A)(1) 45 CFR 164.314 (a)(2)(ii)(A)(2) 45 CFR 164.314 (a)(2)(ii)(B) 45 CFR 164.314 (a)(2)(ii)(C) 45 CFR 164.314 (b)(1) 45 CFR 164.314 (b)(2) 45 CFR 164.314 (b)(2)(i) 45 CFR 164.314 (b)(2)(ii) 45 CFR 164.314 (b)(2)(iii) 45 CFR 164.314 (b)(2)(iv) | A.6.2.3 A10.2.1 A.10.8.2 A.11.4.6 A.11.6.1 A.12.3.1 A.12.5.4 | Commandment #1 Commandment #4 Commandment #5 Commandment #6 Commandment #7 Commandment #8 |  | CA-3 MP-5 PS-7 SA-6 SA-7 SA-9 |  | 2.4 12.8.2
Gestión de la cadena de suministro, [NAME] | STA-06 | Los proveedores deberán revisar [NAME] y [NAME] socios para garantizar que sus prácticas son consistentes y alineadas con el hecho de hacerse responsables de los riesgos heredados de otros miembros [NAME] nube de dicho socio. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 13 |  |  | Domain 2
Gestión de la cadena de suministro, [NAME] | STA-07 | Se deberán establecer procedimientos y políticas, así como medidas técnicas y [NAME], que permitan mantener los acuerdos debidos (ej.: SLA) entre proveedores y clientes (arrendatarios) de forma completa y precisa. Se deberá tener [NAME] capacidad de medir y abordar las no conformidades en las disposiciones y/o términos a lo largo [NAME] la cadena de suministro ([NAME] [NAME]) y de gestionar los conflictos o inconsistencias en los niveles de servicio resultantes de las diversas relaciones entre proveedores. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | 51 (B) | -- |  | Art. 12 Anexo II: [org.1] - Nivel Básico [org.2] - Nivel Básico [op.ext.1] - Nivel medio |  |  | Domain 3 | 6.02. (c) 6.02. (d) 6.07.01. (k)
Gestión de la cadena de suministro, [NAME] por parte de terceros | STA-08 | Los proveedores deberán garantizar una seguridad de la información razonable a lo largo [NAME] realizando revisiones regulares. Estas revisiones deberán incluir a todos los socios de los que [NAME]. |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  | -- |  | Art. 9 Anexo II: [op.ext.1] - Nivel medio [mp.per.2] - Todos los niveles |  |  | Domain 2
Gestión de la cadena de suministro, [NAME] por parte de terceros | STA-09 | Los proveedores de servicios a terceros deberán demostrar el cumplimiento con los requisitos de seguridad de la información y confidencialidad, definiciones de servicio y acuerdos [NAME] incluidos en los contratos de terceros. Los informes, registros y servicios [NAME] someterse a revisiones y auditorías a intervalos planificados [NAME] y [NAME] con los acuerdos de prestación del servicio. | X | X | X | X | X | X | X | X | X | X | X |  | S2.2.0   C2.2.0       C3.6 | Note: third party service providers are addressed under either the carve-out method or the inclusive method as it relates to the assessment of controls.   (S2.2.0) The security obligations of users and the entity’s security commitments to users are communicated to authorized users.  (C2.2.0) The system confidentiality and related security obligations of users and the entity’s confidentiality and related security commitments to users are communicated to authorized users before the confidential information is provided. This communication includes, but is not limited to, the following matters: (see sub-criteria on TSPC tab)  (C3.6) The entity has procedures to obtain assurance or representation that the confidentiality policies of third parties to whom information is transferred and upon which the entity relies are in conformity with the entity’s defined system confidentiality and related security policies and that the third party is in compliance with its policies. | C.2 | C.2.4,C.2.6, G.4.1, G.4.2, L.2, L.4, L.7, [NAME] | 60 (B) 62 (C+, A+) 83 (B) 84 (B) 85 (B) | CO-03 |  | Anexo II: [op.ext.1] - Nivel medio [op.ext.2] - Nivel medio | ME 2.6 DS 2.1 DS 2.4 |  | Domain 2, 4 | 6.02. (b) 6.02. (d) | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 SA-9 NIST SP 800-53 R3 SC-7 | NIST SP 800-53 R3 CA-3 NIST SP 800-53 R3 SA-9 NIST SP 800-53 R3 SA-9 (1) NIST SP 800-53 R3 SA-12 NIST SP 800-53 R3 SC-7 NIST SP 800-53 R3 SC-7 (1) NIST SP 800-53 R3 SC-7 (2) NIST SP 800-53 R3 SC-7 (3) NIST SP 800-53 R3 SC-7 (4) NIST SP 800-53 R3 SC-7 (5) NIST SP 800-53 R3 SC-7 (7) NIST SP 800-53 R3 SC-7 (8) NIST SP 800-53 R3 SC-7 (12) NIST SP 800-53 R3 SC-7 (13) NIST SP 800-53 R3 SC-7 (18) | 1.2.11 4.2.3 7.2.4 10.2.3 10.2.4 | 45 CFR 164.308(b)(1) 45 CFR 164.308 (b)(4) | A.6.2.3 A.10.2.1 A.10.2.2 A.10.6.2 | Commandment #1 Commandment #2 Commandment #3 |  | CA-3 SA-9 SA-12 SC-7 |  | 2.4 12.8.2 12.8.3 12.8.4 Appendix A
Gestión de vulnerabilidades y amenazas Antivirus / Software malicioso | TVM-01 | Se deberán establecer procedimientos y políticas, así como medidas técnicas y [NAME] que prevengan la [NAME] dispositivos finales [NAME] organización o gestionados por el usuario (ej.: estaciones de trabajo asignadas, portátiles y dispositivos móviles) y en los componentes de la infraestructura de sistemas y redes TI. |  | X | X | X | X |  |  | X | X | X | X | X | S3.5.0 | (S3.5.0) Procedures exist to protect against infection by computer viruses, malicious codes, and unauthorized software. |  | G.7 | 17 (B) | IS-21 |  | Art. 24 Anexo II: [mp.s.1] - Todos los niveles [op.exp.6] - Todos los niveles | DS5.9 |  | Domain 2 | 6.03. (f) | NIST SP 800-53 R3 SC-5 NIST SP 800-53 R3 SI-3 NIST SP 800-53 R3 SI-5 | NIST SP 800-53 R3 SC-5 NIST SP 800-53 R3 SI-3 NIST SP 800-53 R3 SI-3 (1) NIST SP 800-53 R3 SI-3 (2) NIST SP 800-53 R3 SI-3 (3) NIST SP 800-53 R3 SI-5 NIST SP 800-53 R3 SI-7 NIST SP 800-53 R3 SI-7 (1) NIST SP 800-53 R3 SI-8 | 8.2.2 | 45 CFR 164.308 (a)(5)(ii)(B) | A.10.4.1 | Commandment #4 Commandment #5 | CIP-007-3 - R4 - R4.1 - R4.2 | SA-7 SC-5 SI-3 SI-5 SI-7 SI-8 |  | 5.1 5.1.1 5.2
Gestión de vulnerabilidades y amenazas Gestión de parches y vulnerabilidades | TVM-02 | Se deberán establecer procedimientos y políticas, así como medidas técnicas y [NAME] para la detección temprana de vulnerabilidades dentro de los componentes de los sistemas y redes [NAME]) o de las aplicaciones [NAME], aplicando un [NAME] basado en riesgos que priorice la mitigación a través un control de cambios, parches del fabricante, cambios en la [NAME] propia organización. El proveedor deberá informar, bajo petición del cliente (arrendatario) de estas políticas y procedimientos, especialmente si se usan datos del cliente (arrendatario) como parte del servicio y/o el cliente (arrendatario) [NAME] compartida sobre el desarrollo de los controles. |  | X | X | X | X |  | X | X | X | X | X |  | S3.10.0 | (S3.10.0) Design, acquisition, implementation, configuration, modification, and management of infrastructure and software are consistent with defined system security policies to enable authorized access and to prevent unauthorized access. | I.4 | G.15.2, I.3 | 32 (B) 33 (B) | IS-20 |  | Art. 20 Art. 37 Anexo II: [op.exp.3] - Nivel medio  [op.exp.4] - Todos los niveles | AI6.1 AI3.3 DS5.9 |  | Domain 2 | 6.03.02. (a) 6.03.02. (b) 6.03.05. (c) 6.07.01. (o) | NIST SP 800-53 R3 CM-4 NIST SP 800-53 R3 RA-5 NIST SP 800-53 R3 SI-1 NIST SP 800-53 R3 SI-2 NIST SP 800-53 R3 SI-5 | NIST SP 800-53 R3 CM-3 NIST SP 800-53 R3 CM-3 (2) NIST SP 800-53 R3 CM-4 NIST SP 800-53 R3 RA-5 NIST SP 800-53 R3 RA-5 (1) NIST SP 800-53 R3 RA-5 (2) NIST SP 800-53 R3 RA-5 (3) NIST SP 800-53 R3 RA-5 (6) NIST SP 800-53 R3 RA-5 (9) NIST SP 800-53 R3 SC-30 NIST SP 800-53 R3 SI-1 NIST SP 800-53 R3 SI-2 NIST SP 800-53 R3 SI-2 (2) NIST SP 800-53 R3 SI-4 NIST SP 800-53 R3 SI-5 | 1.2.6 8.2.7 | 45 CFR 164.308 (a)(1)(i)(ii)(A) 45 CFR 164.308 (a)(1)(i)(ii)(B) 45 CFR 164.308 (a)(5)(i)(ii)(B) | [NAME] | Commandment #4 Commandment #5 | CIP-004-3 R4 - 4.1 - 4.2 CIP-005-3a - R1 - R1.1 CIP-007-3 - R3 - R3.1 - R8.4 | CM-3 CM-4 CP-10 RA-5 SA-7 SI-1 SI-2 SI-5 |  | 2.2 6.1 6.2 6.3.2 6.4.5 6.5 6.6 11.2 11.2.1 11.2.2 11.2.3
Gestión de vulnerabilidades y amenazas Código móvil | TVM-03 | Se deberán establecer procedimientos y políticas, así como medidas técnicas y [NAME] que prevengan la [NAME] móvil no autorizado, entendido como software que se transfiere entre [NAME] a través de una red fiable o no fiable y que es ejecutado en un sistema local sin ejecución o instalación explícitas por el destinatario en dispositivos finales [NAME] organización o gestionados por el usuario (ej.: estaciones de trabajo asignadas, portátiles y dispositivos móviles) y en los componentes de la infraestructura de sistemas y redes TI. |  | X | X |  | X | X |  | X | X | X | X | X | S3.4.0   S3.10.0 | (S3.4.0) Procedures exist to protect against infection by computer viruses, malicious code, and unauthorized software.  (S3.10.0) Design, acquisition, implementation, configuration, modification, and management of infrastructure and software are consistent with defined system security policies to enable authorized access and to prevent unauthorized access. |  | G.20.12, I.2.5 |  | SA-15 |  | Art. 24 Anexo II: [op.exp.6] - Todos los niveles [mp.sw.2] - Nivel medio [mp.s.1] - Todos los niveles [mp.s.2] - Todos los niveles |  |  | Domain 10 | 6.03. (g) |  |  |  |  | A.10.4.2 A.12.2.2 | Commandment #1 Commandment #2 Commandment #3 Commandment #5 Commandment #11 |  | SC-18
Copyright © 2013 Cloud Security Alliance. All rights reserved. You may download, store, display on your computer, view, print, and link to the Cloud Security Alliance “Cloud Controls Matrix (CCM) Version 3.0” at http://www.cloudsecurityalliance.org subject to the following: (a) the Cloud Controls Matrix v3.0 may be used solely for your personal, informational, non-commercial use; (b) the Cloud Controls Matrix v3.0 may not be modified or altered in any way; (c) the Cloud Controls Matrix v3.0 may not be redistributed; and (d) the trademark, copyright or other notices may not be removed. You may quote portions of the Cloud Controls Matrix v3.0 as permitted by the Fair Use provisions of the United States Copyright Act, provided that you attribute the portions to the Cloud Security Alliance Cloud Controls Matrix Version 3.0 (2013). If you are interested in obtaining a license to this material for other usages not addressed in the copyright notice, please contact [EMAIL].