Recurso gratuito

Glosario de seguridad y GRC

Definiciones claras de los términos de seguridad, GRC y cumplimiento que encontrará en el camino hacia SOC 2, ISO 27001, HIPAA y PCI-DSS. Sin jerga sin explicación.

Aceptación del riesgo: Decisión documentada y aprobada por la dirección de aceptar un riesgo residual en lugar de seguir tratándolo.
Acuerdo de socio comercial (BAA): Bajo HIPAA, contrato entre una entidad cubierta y un socio comercial que establece las obligaciones de cada parte para proteger la ePHI. Requerido antes de compartir ePHI.
Análisis de brechas: Revisión que compara sus controles actuales con los requisitos de un marco para identificar lo que falta antes de una auditoría formal.
CIS Benchmark: Normas prescriptivas de hardening de seguridad del Center for Internet Security. Nivel 1 = higiene básica; nivel 2 = más estricto, puede afectar a la usabilidad.
Control: Salvaguarda o contramedida (técnica, administrativa o física) que reduce el riesgo a un nivel aceptable.
Cumplimiento: Adhesión a leyes, regulaciones y normas. El cumplimiento es un mínimo, no una garantía de seguridad.
CVE (Common Vulnerabilities and Exposures): Catálogo público de vulnerabilidades de seguridad conocidas, cada una con un identificador único (p. ej. CVE-2024-12345).
CVSS (Common Vulnerability Scoring System): Puntuación de gravedad de 0 a 10 para vulnerabilidades. 9,0–10,0 = crítica, 7,0–8,9 = alta.
Defensa en profundidad: Superposición de varios controles de seguridad independientes de modo que, si uno falla, los demás sigan protegiendo el activo.
ePHI (información de salud protegida electrónica): Información de salud que identifica a una persona, almacenada o transmitida electrónicamente. Los datos que protege la Security Rule de HIPAA.
Evidencia (contexto de auditoría): Los artefactos — políticas, registros, capturas de pantalla, tickets, resultados de análisis — que demuestran que un control estuvo operando durante el periodo de auditoría.
Gestión de la superficie de ataque (ASM): Proceso continuo de descubrir, inventariar y supervisar los activos expuestos de una organización para identificar y reducir su exposición.
Gestión de vulnerabilidades: Ciclo continuo de descubrir, priorizar, remediar y verificar vulnerabilidades según SLA definidos.
GRC (gobernanza, riesgo y cumplimiento): Disciplina que alinea la gobernanza de la seguridad, la gestión de riesgos y el cumplimiento normativo en un único programa.
HIPAA: Ley estadounidense que regula la privacidad y la seguridad de la información de salud protegida, a través de su Privacy Rule y su Security Rule.
iASM (gestión interna de la superficie de ataque): Descubrimiento y supervisión continuos de los activos internos/cloud y sus rutas de ataque — la visión interna que las herramientas ASM suelen pasar por alto.
Inteligencia de amenazas: Información seleccionada sobre amenazas actuales y emergentes utilizada para orientar la detección y la defensa.
ISO 27001: La norma internacional para un sistema de gestión de seguridad de la información (SGSI); la revisión de 2022 actualizó su conjunto de controles del Anexo A.
Lista de control de acceso (ACL): Conjunto de reglas que definen qué usuarios o sistemas pueden acceder a un recurso y qué acciones pueden realizar. Los grupos de seguridad de AWS son un tipo de ACL.
MFA (autenticación multifactor): Exigir dos o más factores independientes para autenticarse, lo que reduce drásticamente el riesgo de robo de cuentas.
Mínimo privilegio: Conceder a usuarios y sistemas solo el acceso mínimo necesario para su función — un principio fundamental del control de acceso.
MITRE ATT&CK: Base de conocimiento de tácticas y técnicas reales de adversarios, ampliamente utilizada para mapear detecciones y resultados de BAS.
NIST CSF: El NIST Cybersecurity Framework — una estructura basada en el riesgo (gobernar, identificar, proteger, detectar, responder, recuperar) para gestionar el riesgo cibernético.
NVD (National Vulnerability Database): Repositorio del NIST de datos CVE enriquecidos con puntuaciones CVSS y otros metadatos.
OKF (Open Knowledge Format): Estándar abierto e independiente del proveedor de Google para empaquetar conocimiento como archivos Markdown enlazados en grafo con frontmatter YAML, que los agentes de IA leen de forma nativa. El OKF Context Engine de CATAAM exporta su grafo de cumplimiento como un bundle OKF para Claude (vía MCP) y auditores — sin dependencia del proveedor.
PCI DSS: La Payment Card Industry Data Security Standard — requisitos de seguridad para cualquier organización que almacene, procese o transmita datos de titulares de tarjeta.
Pista de auditoría: Registro cronológico de la actividad de un sistema que permite reconstruir los eventos. Exigida por ISO 27001 A.8.15, SOC 2 CC7.2, HIPAA §164.312(b) y PCI DSS req. 10.
Plan de continuidad del negocio (BCP): Documentación de cómo una organización sigue operando durante y después de una interrupción. Distinto de la recuperación ante desastres (DR), centrada en los sistemas de TI.
Plan de respuesta a incidentes (IRP): Procedimiento documentado y probado para detectar, contener, erradicar y recuperarse de incidentes de seguridad.
POA&M (Plan of Action & Milestones): Plan con seguimiento que documenta las debilidades conocidas, los pasos de remediación, los responsables y las fechas objetivo.
Pruebas de penetración: Ataque simulado por probadores cualificados para encontrar debilidades explotables; a menudo un requisito anual para SOC 2 y PCI DSS.
RBAC (control de acceso basado en roles): Asignar permisos a roles y, después, roles a usuarios — simplificando el mínimo privilegio a escala.
Registro de riesgos: Registro vivo de los riesgos identificados con sus puntuaciones, responsables, decisiones de tratamiento y estado.
Retención de registros: Cuánto tiempo se conservan los registros de seguridad y auditoría. Un año es un mínimo habitual (p. ej. PCI DSS req. 10).
Riesgo: Combinación de la probabilidad de que una amenaza explote una vulnerabilidad y del impacto si lo hace.
SAST (pruebas estáticas de seguridad de aplicaciones): Análisis del código fuente en busca de fallos de seguridad sin ejecutarlo — normalmente integrado en CI/CD.
SBOM (lista de materiales de software): Inventario formal de los componentes y dependencias de un software, utilizado para rastrear el riesgo de la cadena de suministro.
Simulación de brechas y ataques (BAS): Simulación continua y automatizada de técnicas de ataque reales contra su entorno para verificar que los controles realmente las detectan y detienen — no solo que existen.
SOC 2: Informe del AICPA sobre los controles de una organización de servicios según los Trust Services Criteria (seguridad, disponibilidad, confidencialidad, integridad del procesamiento, privacidad).
SOC 2 Type II: Informe SOC 2 que comprueba si los controles funcionaron de forma eficaz durante un periodo (normalmente de 6 a 12 meses), no solo en un momento concreto.
Superficie de ataque: La suma de todos los puntos por los que un atacante podría intentar entrar en un sistema o extraer datos de él. Reducirla es un principio básico de la defensa en profundidad.
Supervisión continua de controles (CCM): Comprobar de forma automática y repetida que los controles siguen funcionando de manera eficaz, en lugar de probarlos una vez al año — detectando la desviación en horas, no en la siguiente auditoría.
TLS (Transport Layer Security): El protocolo que cifra los datos en tránsito. Se espera TLS 1.2+; SSLv3/TLS 1.0–1.1 están obsoletos.
Trust Services Criteria (TSC): Las cinco categorías de SOC 2: seguridad (Common Criteria), disponibilidad, confidencialidad, integridad del procesamiento y privacidad.
Vulnerabilidad: Debilidad de un sistema que una amenaza podría explotar para causar daño.

Convierta estos términos en un programa listo para auditoría

CATAAM automatiza las evidencias, la supervisión y las pruebas de seguridad que hay detrás de cada término.

Reservar una demo de 5 min