Una evidencia, varios frameworks.

Quien ha implantado ISO 27001 y después oye hablar de NIS2 se pregunta con razón si hay que empezar de cero. La respuesta es casi siempre: no. Gestión de riesgos, control de acceso, gestión de proveedores, gestión de incidentes, formación: estos temas aparecen en casi todas las normativas de seguridad de la información. Solo cambian de nombre y se auditan con distinta profundidad.

Mismo tema, otra perspectiva

Una norma ISO pregunta si su sistema de gestión ha planificado, aplicado, revisado y mejorado un tema. Una ley como NIS2 o DORA pregunta si se cumplen determinadas obligaciones y si se respetan los plazos. El RGPD se fija en los derechos de las personas cuyos datos usted trata. Un informe de auditoría como SOC 2 o un informe de atestación según C5 evalúa si los controles funcionan tal como se describen. El tema sigue siendo el mismo. Lo que cambia es la pregunta que hace el auditor.

Qué significan ● y ◐

Un punto lleno significa que el framework trata el tema de forma expresa y con requisitos propios. Un medio punto significa que el tema aparece, pero solo de forma marginal, con un fin más limitado o sin requisitos propios. Un guion no significa que el tema carezca de importancia. Solo que no es objeto propio de ese framework. Cada valoración es deliberadamente aproximada. Cuánto puede reutilizar realmente depende de su alcance: qué centros, procesos y sistemas incluye y lo buenas que sean hoy sus evidencias.

Una evidencia, varios frameworks

El mayor esfuerzo rara vez está en entender una norma, sino en mantener las evidencias. Una política de acceso, un acta de una prueba de restauración, un contrato con un proveedor con cláusulas de seguridad: estas pruebas suelen servir para varios frameworks a la vez. Quien las guarda en carpetas separadas por proyecto las mantiene varias veces y, en algún momento, pierde de vista qué versión es la válida.

En Sightadel, cada evidencia está una sola vez en la biblioteca de evidencias y se asigna a los controles correspondientes de varios frameworks. Si un documento caduca o cambia, verá qué frameworks se ven afectados. Para lo que un framework exige además, como los plazos de notificación de NIS2 o la evaluación de impacto relativa a la protección de datos del RGPD, añade evidencias complementarias de forma específica.

Dónde acaba la matriz

La matriz no sustituye un análisis de carencias. Muestra dónde buscar, no lo que le falta. Para el trabajo de detalle, repase uno a uno los controles de un framework. Precisamente para eso están pensadas las evaluaciones guiadas de Sightadel.