3

Protección de Datos

Desarrollar procesos y controles técnicos para identificar, clasificar, manejar de forma segura, retener y eliminar datos.

Salvaguardas (14)

ID Título Función IG Elementos de Verificación Evidencia
3.1 Establecer y Mantener un Proceso de Gestión de Datos Identificar
IG1 IG2 IG3
5 3
3.2 Establecer y Mantener un Inventario de Datos Identificar
IG1 IG2 IG3
5 3
3.3 Configurar Listas de Control de Acceso a Datos Proteger
IG1 IG2 IG3
5 3
3.4 Aplicar Retención de Datos Proteger
IG1 IG2 IG3
5 3
3.5 Eliminar Datos de Forma Segura Proteger
IG1 IG2 IG3
5 3
3.6 Cifrar Datos en Dispositivos de Usuario Final Proteger
IG1 IG2 IG3
5 3
3.7 Establecer y Mantener un Esquema de Clasificación de Datos Identificar
IG2 IG3
5 3
3.8 Documentar Flujos de Datos Identificar
IG2 IG3
5 3
3.9 Cifrar Datos en Medios Extraíbles Proteger
IG2 IG3
5 3
3.10 Cifrar Datos Sensibles en Tránsito Proteger
IG2 IG3
5 3
3.11 Cifrar Datos Sensibles en Reposo Proteger
IG2 IG3
5 3
3.12 Segmentar el Procesamiento y Almacenamiento de Datos según su Sensibilidad Proteger
IG2 IG3
5 3
3.13 Implementar una Solución de Prevención de Pérdida de Datos Proteger
IG3
5 3
3.14 Registrar el Acceso a Datos Sensibles Detectar
IG3
6 3

Detalles de Verificación de Auditoría

3.1 Establecer y Mantener un Proceso de Gestión de Datos
IG1 IG2 IG3
5 elementos

Establecer y mantener un proceso de gestión de datos. En el proceso, abordar la sensibilidad de los datos, el propietario de los datos, el manejo de datos, los límites de retención de datos y los requisitos de eliminación, basándose en los estándares de sensibilidad y retención de la empresa. Revisar y actualizar la documentación anualmente o cuando ocurran cambios empresariales significativos que puedan impactar esta Salvaguarda.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Operativo

Se mantiene un inventario o catálogo que es preciso y completo.

Exportación del inventario con marcas de tiempo que muestren actualizaciones recientes

El inventario se revisa y concilia según el calendario definido.

Minutas de reunión de revisión, registros de firma o registros de cambios

Los nuevos activos/elementos se agregan al inventario dentro del período de incorporación definido.

Muestra de activos recientemente incorporados con marcas de tiempo del inventario

Tipo Elemento de Evidencia Frecuencia
Documento Documentación del inventario o catálogo actual Mantenido continuamente, revisado trimestralmente
Documento Documentación de procesos/procedimientos para actividades de identificación Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.2 Establecer y Mantener un Inventario de Datos
IG1 IG2 IG3
5 elementos

Establecer y mantener un inventario de datos, basándose en el proceso de gestión de datos de la empresa. Inventariar los datos sensibles, como mínimo. Revisar y actualizar el inventario anualmente, como mínimo, con prioridad en los datos sensibles.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Operativo

Se mantiene un inventario o catálogo que es preciso y completo.

Exportación del inventario con marcas de tiempo que muestren actualizaciones recientes

El inventario se revisa y concilia según el calendario definido.

Minutas de reunión de revisión, registros de firma o registros de cambios

Los nuevos activos/elementos se agregan al inventario dentro del período de incorporación definido.

Muestra de activos recientemente incorporados con marcas de tiempo del inventario

Tipo Elemento de Evidencia Frecuencia
Documento Documentación del inventario o catálogo actual Mantenido continuamente, revisado trimestralmente
Documento Documentación de procesos/procedimientos para actividades de identificación Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.3 Configurar Listas de Control de Acceso a Datos
IG1 IG2 IG3
5 elementos

Configurar listas de control de acceso a datos basándose en la necesidad de conocer del usuario. Aplicar listas de control de acceso a datos, también conocidas como permisos de acceso, a sistemas de archivos locales y remotos, bases de datos y aplicaciones.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.4 Aplicar Retención de Datos
IG1 IG2 IG3
5 elementos

Retener datos de acuerdo con el proceso de gestión de datos de la empresa. La retención de datos debe incluir plazos mínimos y máximos.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.5 Eliminar Datos de Forma Segura
IG1 IG2 IG3
5 elementos

Eliminar datos de forma segura según lo descrito en el proceso de gestión de datos de la empresa. Asegurar que el proceso y método de eliminación sean proporcionales a la sensibilidad de los datos.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.6 Cifrar Datos en Dispositivos de Usuario Final
IG1 IG2 IG3
5 elementos

Cifrar datos en dispositivos de usuario final que contengan datos sensibles. Los ejemplos de implementación pueden incluir: Windows BitLocker®, Apple FileVault®, Linux® dm-crypt.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.7 Establecer y Mantener un Esquema de Clasificación de Datos
IG2 IG3
5 elementos

Establecer y mantener un esquema general de clasificación de datos para la empresa. Las empresas pueden usar etiquetas como "Sensible", "Confidencial" y "Público", y clasificar sus datos de acuerdo con esas etiquetas. Revisar y actualizar el esquema de clasificación anualmente o cuando ocurran cambios empresariales significativos que puedan impactar esta Salvaguarda.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Operativo

Se mantiene un inventario o catálogo que es preciso y completo.

Exportación del inventario con marcas de tiempo que muestren actualizaciones recientes

El inventario se revisa y concilia según el calendario definido.

Minutas de reunión de revisión, registros de firma o registros de cambios

Los nuevos activos/elementos se agregan al inventario dentro del período de incorporación definido.

Muestra de activos recientemente incorporados con marcas de tiempo del inventario

Tipo Elemento de Evidencia Frecuencia
Documento Documentación del inventario o catálogo actual Mantenido continuamente, revisado trimestralmente
Documento Documentación de procesos/procedimientos para actividades de identificación Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.8 Documentar Flujos de Datos
IG2 IG3
5 elementos

Documentar los flujos de datos. La documentación de flujos de datos incluye los flujos de datos de proveedores de servicios y debe basarse en el proceso de gestión de datos de la empresa. Revisar y actualizar la documentación anualmente o cuando ocurran cambios empresariales significativos que puedan impactar esta Salvaguarda.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Operativo

Se mantiene un inventario o catálogo que es preciso y completo.

Exportación del inventario con marcas de tiempo que muestren actualizaciones recientes

El inventario se revisa y concilia según el calendario definido.

Minutas de reunión de revisión, registros de firma o registros de cambios

Los nuevos activos/elementos se agregan al inventario dentro del período de incorporación definido.

Muestra de activos recientemente incorporados con marcas de tiempo del inventario

Tipo Elemento de Evidencia Frecuencia
Documento Documentación del inventario o catálogo actual Mantenido continuamente, revisado trimestralmente
Documento Documentación de procesos/procedimientos para actividades de identificación Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.9 Cifrar Datos en Medios Extraíbles
IG2 IG3
5 elementos

Cifrar datos en medios extraíbles.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.10 Cifrar Datos Sensibles en Tránsito
IG2 IG3
5 elementos

Cifrar datos sensibles en tránsito. Los ejemplos de implementación pueden incluir: Transport Layer Security (TLS) y Open Secure Shell (OpenSSH).

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.11 Cifrar Datos Sensibles en Reposo
IG2 IG3
5 elementos

Cifrar datos sensibles en reposo en servidores, aplicaciones y bases de datos que contengan datos sensibles. El cifrado en la capa de almacenamiento, también conocido como cifrado del lado del servidor, cumple con el requisito mínimo de esta Salvaguarda. Los métodos de cifrado adicionales pueden incluir cifrado en la capa de aplicación, también conocido como cifrado del lado del cliente, donde el acceso al dispositivo(s) de almacenamiento de datos no permite el acceso a los datos en texto claro.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.12 Segmentar el Procesamiento y Almacenamiento de Datos según su Sensibilidad
IG2 IG3
5 elementos

Segmentar el procesamiento y almacenamiento de datos según la sensibilidad de los datos. No procesar datos sensibles en activos empresariales destinados a datos de menor sensibilidad.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.13 Implementar una Solución de Prevención de Pérdida de Datos
IG3
5 elementos

Implementar una herramienta automatizada, como una herramienta de Prevención de Pérdida de Datos (DLP) basada en host, para identificar todos los datos sensibles almacenados, procesados o transmitidos a través de activos empresariales, incluyendo aquellos ubicados en el sitio o en un proveedor de servicios remoto, y actualizar el inventario de datos sensibles de la empresa.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Los controles de protección requeridos están implementados y configurados según la línea base aprobada.

Exportaciones de configuración, capturas de pantalla o resultados de escaneo de cumplimiento

La efectividad del control ha sido validada mediante pruebas.

Resultados de pruebas, informes de validación o salida de escaneo

Operativo

Los cambios en los controles de protección siguen el proceso de gestión de cambios.

Tickets de cambio, registros de aprobación

Tipo Elemento de Evidencia Frecuencia
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente
3.14 Registrar el Acceso a Datos Sensibles
IG3
6 elementos

Registrar el acceso a datos sensibles, incluyendo modificación y eliminación.

Lista de Verificación de Auditoría

Gobernanza

Existe una política o procedimiento vigente, aprobado por la dirección, y revisado en los últimos 12 meses.

Documento de política firmado/aprobado con fecha de revisión

Los roles y responsabilidades para esta salvaguarda están formalmente asignados y comunicados.

Matriz RACI, registros de asignación de roles o descripciones de puesto

Técnico

Las herramientas de detección están implementadas y recopilando datos activamente.

Capturas de pantalla del panel que muestran el estado del agente/sensor y el flujo de datos

Las alertas están configuradas con umbrales definidos y canales de notificación.

Exportaciones de configuración de reglas de alerta, configuración de canales de notificación

Operativo

Las alertas se revisan y clasifican dentro del SLA definido.

Registros de respuesta a alertas, registros de clasificación con marcas de tiempo

La cobertura de detección ha sido probada con eventos simulados.

Resultados de pruebas de detección, informes de ejercicios de purple team

Tipo Elemento de Evidencia Frecuencia
Técnico Evidencia de implementación de herramientas de detección (capturas de pantalla del panel, estado del agente) Capturado mensualmente
Técnico Muestra de salida de alerta/detección que demuestre la capacidad Capturado trimestralmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente