# Normas de seguridad: ISO 27001, SOC 2 (FAQ)

> 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2, en lenguaje claro: qué comprobar, qué muestra NetSenX y qué no ve un sensor.

Source page: https://netsenx.com/es/faq/standards

## ¿Qué es la ISO/IEC 27001, explicada de forma sencilla?

La ISO/IEC 27001 es la norma internacional para gestionar un sistema de gestión de la seguridad de la información: una forma repetible de que una organización decida qué riesgos de seguridad importan, los trate y mejore de forma continua. No impone un conjunto de herramientas. Exige entender el contexto y las obligaciones, comprometer a la dirección y asignar responsabilidades, evaluar los riesgos, elegir controles para tratarlos, aplicarlos, medir cómo funcionan, realizar auditorías internas y revisiones por la dirección, y corregir lo que falle. Su anexo enumera controles de referencia, desde políticas y gestión de proveedores hasta registro, monitorización y seguridad de redes, y usted justifica cuáles aplica. Una organización puede hacer que un organismo de certificación acreditado la audite y le emita un certificado, que es lo que suelen pedir los clientes. La certificación cubre un alcance definido, así que compruebe siempre qué sedes, servicios y equipos incluye realmente el certificado. Para una empresa mediana es un proyecto serio, sobre todo de personas y procesos más que de tecnología.

https://netsenx.com/es/faq/what-is-iso-27001

## ¿Qué es un sistema de gestión de la seguridad de la información?

Es el conjunto de políticas, funciones, procesos y registros con el que una organización gestiona la seguridad de la información de forma deliberada y no por casualidad. Un sistema de gestión de la seguridad de la información (SGSI) responde de forma continua a varias preguntas: qué información y qué sistemas importan, qué riesgos los amenazan, qué medidas tomamos, quién es responsable, cómo sabemos que las medidas funcionan y cómo mejoramos cuando no lo hacen. En concreto consta de documentos como una política de seguridad, una evaluación de riesgos y un plan de tratamiento, una declaración de los controles aplicables, procedimientos para incidentes y proveedores, y de pruebas de que se cumplen: registros de formación, revisiones de accesos, resultados de auditoría y actas de revisión por la dirección. Se llama sistema porque funciona en un ciclo de planificar, hacer, verificar y actuar. La ISO/IEC 27001 fija sus requisitos, pero incluso las empresas que nunca buscan la certificación se benefician de la estructura, y las obligaciones de gestión de riesgos de NIS2 encajan en ella con naturalidad. Una herramienta de vigilancia es un control dentro del sistema y una fuente de pruebas, no el sistema en sí.

https://netsenx.com/es/faq/what-is-an-isms

## ¿Qué es la declaración de aplicabilidad en la ISO 27001?

Es el documento que enumera cada control de referencia del anexo de la norma e indica, para cada uno, si lo aplica, por qué y cómo está implantado. La declaración de aplicabilidad (SoA) une su evaluación de riesgos con sus controles: un control se incluye porque trata un riesgo identificado o cumple una obligación legal o contractual, y solo se excluye con un motivo explícito, por ejemplo porque no tiene instalaciones propias. Los auditores la usan como mapa de su SGSI y prueban los controles que declara; los clientes a veces la piden para entender qué cubre de verdad su certificado. Manténgala breve y objetiva, indique la prueba de cada control implantado y actualícela cuando cambien sus riesgos o su entorno. Una buena entrada sobre vigilancia nombra la herramienta, los sistemas cubiertos, quién revisa los resultados y dónde se guardan los registros. Si NetSenX forma parte de su vigilancia, su mapa de red, su historial de alertas y su registro de auditoría pueden citarse como pruebas; la declaración en sí es documento suyo.

https://netsenx.com/es/faq/what-is-a-statement-of-applicability

## ¿Qué es SOC 2 y por qué lo piden los clientes?

SOC 2 es un informe de atestación, definido por el AICPA, el organismo profesional de los auditores estadounidenses, en el que un auditor independiente examina los controles de una organización de servicios frente a los Trust Services Criteria. La seguridad siempre está incluida; se pueden añadir disponibilidad, integridad del procesamiento, confidencialidad y privacidad. El informe describe el sistema, los controles que declara la empresa, las pruebas del auditor y las excepciones encontradas, y normalmente se comparte con los clientes bajo un acuerdo de confidencialidad. Los clientes, sobre todo en Norteamérica, lo piden porque les permite apoyarse en una revisión independiente en lugar de auditar ellos mismos a cada proveedor. No es una certificación ni tiene nota de aprobado: se lee la opinión del auditor, el alcance y las excepciones. Cuando un proveedor le envíe uno, revise el periodo cubierto, qué servicios y sedes entran en el alcance, qué criterios se incluyeron y qué controles complementarios se espera que usted aplique por su parte. NetSenX no tiene hoy un informe SOC 2; el SOC 2 Tipo I está en preparación.

https://netsenx.com/es/faq/what-is-soc-2

## ¿Qué diferencia hay entre un informe SOC 2 Tipo 1 y uno Tipo 2?

Un informe Tipo 1 analiza si los controles están adecuadamente diseñados e implantados en una fecha concreta; un informe Tipo 2 comprueba además si funcionaron eficazmente durante un periodo, normalmente varios meses. El Tipo 1 responde a «¿tiene los controles correctos en esta fecha?» y el Tipo 2 a «¿funcionaron de verdad todo el tiempo?», por eso los clientes que dependen de un proveedor suelen preferirlo. Un Tipo 2 requiere pruebas reunidas durante todo el periodo: revisiones de accesos hechas a tiempo, cambios aprobados antes de su puesta en producción, incidentes gestionados según el procedimiento, alertas de vigilancia revisadas. Muchas empresas empiezan por un Tipo 1 para ajustar el diseño y luego operan los controles y reúnen pruebas para un Tipo 2. Al leer cualquiera de los dos, revise las fechas, el alcance, los criterios cubiertos y cada excepción que señale el auditor, y pregunte cómo se corrigió. NetSenX dice claramente su situación: el SOC 2 Tipo I está en preparación, no se ha emitido ningún informe SOC 2 de ningún tipo, y el Tipo II llegaría cuando los controles hayan funcionado durante un periodo.

https://netsenx.com/es/faq/soc-2-type-1-vs-type-2

## ¿Necesitamos la ISO 27001 o SOC 2?

Depende sobre todo de quiénes son sus clientes y qué piden. La ISO/IEC 27001 es una certificación internacional de su sistema de gestión, muy reconocida en Europa y en la contratación pública; SOC 2 es un informe de atestación basado en normas de auditoría estadounidenses, habitual en la venta de software en Norteamérica. A muchas empresas medianas europeas se les pide primero la ISO 27001, mientras que las que venden software en Estados Unidos se encuentran con cuestionarios SOC 2. Ambos examinan en gran parte los mismos controles, así que el trabajo de fondo se solapa mucho: evaluación de riesgos, control de accesos, gestión de cambios, gestión de proveedores, respuesta a incidentes, registro y vigilancia. Si con el tiempo necesita los dos, construya un único conjunto de controles y vincúlelo a cada marco en lugar de llevar dos programas. Antes de empezar, pregunte a sus mayores clientes y potenciales clientes qué aceptan, compruebe si de momento basta un cuestionario de seguridad completado y defina un alcance lo bastante acotado para terminarlo. Ninguno sustituye las obligaciones de NIS2. NetSenX no tiene hoy ninguno de los dos: el SOC 2 Tipo I y la ISO/IEC 42001 están en preparación.

https://netsenx.com/es/faq/iso-27001-or-soc-2-which-do-we-need

## ¿Qué es la ISO/IEC 42001?

La ISO/IEC 42001 es la norma internacional para un sistema de gestión de la inteligencia artificial: las políticas, funciones, evaluaciones de riesgos y controles con los que una organización desarrolla, suministra o usa IA de forma responsable. Sigue la misma estructura de sistema de gestión que la ISO/IEC 27001, de modo que las empresas que ya tienen un SGSI reconocerán el ciclo de contexto, liderazgo, planificación, operación, evaluación y mejora. Lo propio de la IA es el contenido: evaluar el impacto de los sistemas de IA en las personas y la sociedad, gestionar los datos de entrenamiento y prueba, documentar los sistemas a lo largo de su ciclo de vida, definir la supervisión humana y tratar los componentes de IA de terceros. Puede certificarla un organismo acreditado. No es la Ley de IA de la UE, y tenerla no demuestra por sí sola que se cumplan sus requisitos, aunque buena parte del trabajo de gobierno que exige los respalda. Para una empresa que solo usa herramientas de IA, un sistema de gestión completo puede ser excesivo; un inventario, una política de uso y la formación del personal son un buen comienzo. NetSenX se prepara para la ISO/IEC 42001; no se le ha concedido.

https://netsenx.com/es/faq/what-is-iso-42001

## ¿Qué es la IEC 62443 y la necesitamos?

La IEC 62443 es una serie de normas internacionales sobre la seguridad de los sistemas de automatización y control industrial, la tecnología operativa (OT) que gobierna máquinas, plantas e instalaciones de edificios. Reparte las responsabilidades entre los propietarios de los activos que operan los sistemas, los integradores que los montan en una planta y los proveedores de productos que fabrican los componentes, y fija requisitos propios para cada uno. Sus ideas centrales son dividir la red de la planta en zonas con conexiones controladas entre ellas, llamadas conductos; fijar para cada zona niveles de seguridad objetivo según la amenaza; y mantener la seguridad durante todo el ciclo de vida, del diseño a la retirada. La necesita si se la piden clientes, aseguradoras o reguladores de su sector, o si construye o suministra componentes industriales; muchos operadores la usan además como estructura para su propia seguridad OT sin buscar la certificación. La vigilancia de red encaja con su énfasis en saber qué se comunica con qué entre zonas. Desde el plan Pro, NetSenX lee de forma pasiva Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP y S7comm y nunca sondea los dispositivos OT; no es un sistema de seguridad funcional ni actúa sobre el proceso.

https://netsenx.com/es/faq/what-is-iec-62443

## ¿Significa un certificado ISO 27001 que cumplimos NIS2?

No automáticamente, aunque cubre buena parte del terreno. La ISO/IEC 27001 aporta un sistema de gestión basado en riesgos y controles que se solapan mucho con las medidas de gestión de riesgos de ciberseguridad que exige NIS2, como la gestión de incidentes, la continuidad de negocio, la seguridad de la cadena de suministro, el control de accesos y la criptografía. Pero NIS2 es ley y el certificado se refiere a una norma voluntaria, y en algunos puntos difieren. NIS2 tiene su propia notificación de incidentes por fases a una autoridad nacional según el artículo 23, obligaciones específicas de los órganos de dirección, incluidas la formación y la responsabilidad, un registro ante la autoridad y normas nacionales que pueden ir más allá. Además, un certificado solo cubre su alcance declarado, que puede dejar fuera precisamente los servicios a los que se aplica NIS2. Use su SGSI como columna vertebral: vincule cada medida de NIS2 con sus controles, cierre las carencias como el procedimiento de notificación y la formación de la dirección, y asegúrese de que el alcance incluye todos los servicios afectados. Revise su ley nacional de transposición y si remite a normas. NetSenX sigue los plazos de notificación de NIS2 por incidente; no evalúa su certificado ni su situación respecto a NIS2.

https://netsenx.com/es/faq/does-iso-27001-cover-nis2

## ¿En qué controles de la ISO 27001 ayuda la vigilancia de la red?

Sobre todo en los controles de registro y de actividades de seguimiento, y en los de seguridad de redes y gestión de incidentes que los rodean. En la edición de 2022 del anexo, el registro (8.15) pide generar, proteger y analizar registros de actividad, y las actividades de seguimiento (8.16) piden vigilar redes, sistemas y aplicaciones en busca de comportamientos anómalos y actuar en consecuencia. La detección en la red aporta pruebas directas para ambos. También apoya la seguridad de redes (8.20), al mostrar qué dispositivos se comunican entre segmentos, y los controles de gestión de incidentes, al ofrecer un punto de partida fechado para evaluar los eventos, responder y reunir pruebas. El inventario de activos también se beneficia, porque un mapa de red muestra dispositivos que no están en su lista. La vigilancia no cubre derechos de acceso, copias de seguridad, desarrollo seguro ni contratos con proveedores, así que no fuerce la correspondencia. En su declaración de aplicabilidad, nombre la herramienta, los segmentos cubiertos, quién revisa las alertas y dónde se guardan los registros. El mapa de red, el historial de alertas y el registro de auditoría de NetSenX, en todos los planes, y sus informes de cumplimiento en PDF, desde el plan Starter, pueden servir como esas pruebas.

https://netsenx.com/es/faq/which-iso-27001-controls-does-network-monitoring-support

## ¿Tiene NetSenX la certificación ISO 27001 o un informe SOC 2?

Hoy no, y lo decimos claramente. NetSenX no tiene certificado ISO/IEC 27001 ni informe SOC 2. El SOC 2 Tipo I y la ISO/IEC 42001 están en preparación, lo que significa que el trabajo está en marcha y no se ha concedido nada; actualizaremos esta página cuando un organismo independiente emita algo que usted pueda verificar. Lo que puede comprobar ya: el contrato de encargo del tratamiento publicado en la web, con la lista de subencargados y sus ubicaciones; dónde se guardan los datos de los clientes, con la base de datos en Irlanda y la API en Fráncfort y París; la página de seguridad; y nuestra política de divulgación responsable de vulnerabilidades. Respondemos cuestionarios de seguridad, y si su proceso de compra exige un certificado que aún no podemos aportar, díganoslo pronto para que decida con toda la información en lugar de descubrirlo tarde. Algunos de nuestros subencargados tienen sus propias certificaciones, que el contrato de encargo enumera; cubren sus servicios, no NetSenX. Si un proveedor alega un certificado, pida el certificado en sí, su alcance y el organismo emisor, y compruébelo con ese organismo.

https://netsenx.com/es/faq/what-certifications-does-netsenx-hold

## ¿Qué es el NIST Cybersecurity Framework 2.0?

Es un marco gratuito del National Institute of Standards and Technology (NIST) de Estados Unidos que describe los resultados de ciberseguridad a los que debería aspirar una organización, organizados en las funciones Govern, Identify, Protect, Detect, Respond y Recover. La versión 2.0 añadió Govern, que abarca estrategia, funciones, políticas, gestión de riesgos y riesgo de la cadena de suministro, y amplió el marco de las infraestructuras críticas a organizaciones de cualquier tamaño y sector. No es una certificación ni prescribe herramientas; usted describe su perfil actual, fija un perfil objetivo y planifica cómo cerrar la brecha, mientras los niveles de implantación describen la madurez de su enfoque. Empresas europeas lo usan como estructura clara aunque no sea derecho de la UE, a menudo junto a la ISO/IEC 27001 y NIS2, con las que se corresponde bien. La detección en la red pertenece sobre todo a Detect, mediante la vigilancia continua y el análisis de eventos adversos, y apoya Respond con información sobre lo ocurrido. NetSenX cubre parte de Detect en los segmentos que observa: beaconing, escaneos, movimiento lateral y volúmenes de salida inusuales, en todos los planes. Govern, Protect y Recover requieren otras medidas.

https://netsenx.com/es/faq/what-is-nist-csf-2

## ¿Qué es el IT-Grundschutz de la BSI?

El IT-Grundschutz es la metodología de seguridad de la Oficina Federal de Seguridad de la Información de Alemania (BSI), muy usada por organismos públicos y empresas alemanes. Se compone de estándares de la BSI que describen cómo construir un sistema de gestión de la seguridad de la información, determinar las necesidades de protección y tratar los riesgos, y de un compendio de módulos con requisitos concretos para componentes típicos como servidores, redes, aplicaciones, edificios y procesos. En lugar de empezar cada análisis de riesgos desde cero, usted modela su entorno con los módulos pertinentes y aplica sus requisitos, y solo analiza los riesgos por separado donde las necesidades de protección son altas o ningún módulo encaja. A través de la BSI puede obtenerse una certificación ISO 27001 basada en IT-Grundschutz, que combina ambos enfoques. Es detallado y puede resultar pesado para una empresa pequeña, pero sus módulos son una lista de comprobación gratuita y práctica aunque nunca busque la certificación, y ayudan con las obligaciones NIS2 alemanas derivadas de la BSIG. Sus módulos de red incluyen requisitos de registro y detección que la vigilancia de red ayuda a acreditar. NetSenX no evalúa la conformidad con el Grundschutz.

https://netsenx.com/es/faq/what-is-bsi-it-grundschutz

## ¿Qué diferencia hay entre una certificación y un informe de atestación?

Una certificación es la decisión de un organismo acreditado de que usted cumple una norma, plasmada en un certificado; un informe de atestación es la opinión de un auditor sobre sus controles, con el detalle de lo que se probó. La ISO/IEC 27001 funciona por certificación: un organismo de certificación acreditado audita su sistema de gestión, emite un certificado para un alcance definido y sigue comprobándolo con auditorías de seguimiento hasta la recertificación. SOC 2 funciona por atestación: un auditor independiente prueba sus controles frente a unos criterios y redacta un informe con su opinión y las excepciones, que usted comparte bajo un acuerdo de confidencialidad. En la práctica, un certificado es fácil de verificar y comparar pero dice poco del detalle; un informe dice mucho más, pero hay que leerlo, incluidos su alcance, periodo, excepciones y los controles que le corresponde aplicar a usted. Ambos solo sirven si su alcance coincide con el servicio que compra. Desconfíe de los proveedores que presentan una autoevaluación, una política o una revisión de preparación de un consultor como una cosa u otra. NetSenX no tiene hoy ninguno de los dos; el SOC 2 Tipo I y la ISO/IEC 42001 están en preparación.

https://netsenx.com/es/faq/certification-vs-attestation-what-is-the-difference

## ¿Cómo preparamos nuestra primera auditoría de certificación ISO 27001?

Empiece por el alcance y las pruebas, no por los documentos en sí mismos. Primero fije el alcance: qué organización, sedes, servicios y sistemas cubrirá el certificado, elegidos para que importen a los clientes y se puedan terminar. Después haga el trabajo central que exige la norma: evaluación y plan de tratamiento de riesgos, declaración de aplicabilidad, políticas y procedimientos obligatorios, funciones asignadas, concienciación del personal y controles que funcionen de verdad. Déjelos funcionar el tiempo suficiente para que generen registros, como revisiones de accesos, aprobaciones de cambios, tickets de incidentes, comprobaciones de proveedores y revisiones de la vigilancia, porque los auditores comprueban pruebas de funcionamiento, no intenciones. Haga una auditoría interna y una revisión por la dirección antes de la auditoría externa, y corrija lo que encuentren. Las auditorías de certificación suelen hacerse en dos fases: primero una revisión de la documentación y la preparación, luego una evaluación de si el sistema funciona en la práctica. Elija un organismo de certificación acreditado y mantenga separado al consultor que le ayuda del auditor. Para los controles de vigilancia, el mapa de red, el historial de alertas, el registro de auditoría y los informes de cumplimiento en PDF de NetSenX pueden formar parte de sus pruebas; NetSenX no audita ni certifica nada.

https://netsenx.com/es/faq/how-to-prepare-for-a-first-iso-27001-audit

FAQ: https://netsenx.com/es/faq