{"id":1998,"date":"2025-12-31T00:33:44","date_gmt":"2025-12-30T23:33:44","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/auditoria-de-seguridad-ci-cd-mapeo-de-cumplimiento-iso-27001-soc-2-dora\/"},"modified":"2026-07-07T11:20:08","modified_gmt":"2026-07-07T10:20:08","slug":"ci-cd-security-audit-compliance-mapping-iso-27001-soc-2-dora","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/es\/ci-cd-governance-es\/ci-cd-security-audit-compliance-mapping-iso-27001-soc-2-dora\/","title":{"rendered":"Auditor\u00eda de seguridad de CI\/CD \u2014 mapeo de cumplimiento entre ISO 27001, SOC 2, DORA, NIS2 y PCI DSS"},"content":{"rendered":"\n

Esta tabla de correspondencias de auditor\u00eda orientada al cumplimiento conecta los controles esenciales de seguridad de CI\/CD<\/a> con los marcos regulatorios y de aseguramiento que rigen con m\u00e1s frecuencia los pipelines de entrega regulados: ISO 27001, SOC 2, DORA, la Directiva NIS2 y PCI DSS.
Est\u00e1 pensada para respaldar auditor\u00edas internas, evaluaciones externas y la preparaci\u00f3n regulatoria en entornos empresariales, desde la certificaci\u00f3n de seguridad de la informaci\u00f3n hasta la gesti\u00f3n de riesgos de TIC, las obligaciones de infraestructuras cr\u00edticas y la seguridad de los pagos.<\/p>\n\n\n\n

En lugar de tratar cada marco de forma aislada, la tabla agrupa los mismos controles de pipeline subyacentes \u2014identidad y acceso, gesti\u00f3n de secretos, integridad de artefactos, integraciones de terceros, registro y gobernanza de cambios\u2014 y muestra d\u00f3nde cada uno satisface los requisitos de un marco determinado. Un \u00fanico control bien ejecutado responde con frecuencia a varios marcos a la vez, lo que constituye la base pr\u00e1ctica de un enfoque unificado de cumplimiento<\/a> en el que la evidencia se recopila una vez y se reutiliza en todas las evaluaciones.<\/p>\n\n\n\n

\n\n\n\n

ISO 27001<\/h2>\n\n\n\n

ISO\/IEC 27001:2022 eval\u00faa si los controles de CI\/CD operan dentro de un sistema de gesti\u00f3n de seguridad de la informaci\u00f3n (SGSI) en funcionamiento, no solo si existe la configuraci\u00f3n de una herramienta. Los auditores esperan una propiedad de los controles documentada, una Declaraci\u00f3n de Aplicabilidad precisa y evidencia de que los controles se monitorizan y mejoran con el tiempo. Para los pipelines, las referencias m\u00e1s relevantes del Anexo A se encuentran en el control de acceso, el desarrollo seguro y las relaciones con proveedores. Expectativas de evidencia:<\/strong> la Declaraci\u00f3n de Aplicabilidad, los registros de revisi\u00f3n de accesos, los procedimientos de desarrollo seguro y los registros que muestran que cada control se ejecut\u00f3 como se describe.<\/p>\n\n\n\n

Dominio<\/strong><\/th>Control<\/strong><\/th>ISO 27001 (Anexo A)<\/strong><\/th>S\u00ed<\/strong><\/th>No<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Privilegio m\u00ednimo aplicado a las cuentas de servicio de CI\/CD<\/td>A.8.2 \/ A.5.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Segregaci\u00f3n entre identidades humanas y de pipeline<\/td>A.6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Acceso basado en roles para la configuraci\u00f3n del pipeline<\/td>A.5.18<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA aplicado a los administradores de CI\/CD<\/td>A.5.17<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Aprobaci\u00f3n requerida para acciones privilegiadas del pipeline<\/td>A.5.19<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Los secretos no se almacenan en el control de c\u00f3digo fuente<\/td>A.8.12<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Inyecci\u00f3n de secretos en tiempo de ejecuci\u00f3n<\/td>A.8.24<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Secretos limitados por entorno<\/td>A.5.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Rotaci\u00f3n peri\u00f3dica de secretos<\/td>A.8.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Valores de secretos excluidos de los registros<\/td>A.8.16<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Entornos de compilaci\u00f3n de CI\/CD reforzados<\/td>A.8.20<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Firma de artefactos aplicada<\/td>A.8.23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Procedencia que vincula c\u00f3digo, pipeline y artefacto<\/td>A.8.9<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Los repositorios de artefactos imponen inmutabilidad<\/td>A.8.10<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Promoci\u00f3n limitada a artefactos de confianza<\/td>A.8.21<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Complementos de CI\/CD de terceros aprobados formalmente<\/td>A.5.22<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Integraciones fijadas a versiones espec\u00edficas<\/td>A.8.8<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Verificaci\u00f3n de integridad de las acciones externas<\/td>A.8.23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Restricci\u00f3n de complementos mantenidos por la comunidad<\/td>A.5.23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Monitorizaci\u00f3n del uso de integraciones<\/td>A.8.16<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Actividad del pipeline de CI\/CD totalmente registrada<\/td>A.8.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Los registros incluyen aprobaciones y comprobaciones de seguridad<\/td>A.8.14<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Recopilaci\u00f3n centralizada de registros<\/td>A.8.16<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Conservaci\u00f3n de registros alineada con la pol\u00edtica<\/td>A.5.34<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>La evidencia respalda auditor\u00edas e investigaciones<\/td>A.5.31<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Cambios revisados y aprobados a trav\u00e9s del pipeline<\/td>A.8.32<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Separaci\u00f3n entre los roles de compilaci\u00f3n y despliegue<\/td>A.6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Aplicaci\u00f3n de pol\u00edticas mediante puertas automatizadas<\/td>A.5.19<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Excepciones aprobadas y registradas formalmente<\/td>A.5.31<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Gobernanza de CI\/CD revisada peri\u00f3dicamente<\/td>A.5.36<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

SOC 2<\/h2>\n\n\n\n

SOC 2 eval\u00faa los controles de CI\/CD frente a los Trust Services Criteria, principalmente los Common Criteria (la serie CC) para seguridad. Dado que SOC 2 es una atestaci\u00f3n sobre un per\u00edodo, los auditores esperan evidencia de que cada control oper\u00f3 de forma consistente durante toda la ventana de revisi\u00f3n, en lugar de una \u00fanica captura de pantalla puntual. El muestreo es habitual: un evaluador puede seleccionar varias versiones y rastrear las aprobaciones, los an\u00e1lisis y los registros de despliegue de cada una. Expectativas de evidencia:<\/strong> tickets de gesti\u00f3n de cambios, registros de aprobaci\u00f3n, registros de excepciones y salidas de monitorizaci\u00f3n que cubran todo el per\u00edodo de auditor\u00eda.<\/p>\n\n\n\n

Dominio<\/strong><\/th>Control<\/strong><\/th>SOC 2 (Criterios comunes)<\/strong><\/th>S\u00ed<\/strong><\/th>No<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Privilegio m\u00ednimo aplicado a las cuentas de servicio de CI\/CD<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Segregaci\u00f3n entre identidades humanas y de pipeline<\/td>CC6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Acceso basado en roles para la configuraci\u00f3n del pipeline<\/td>CC6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA aplicado a los administradores de CI\/CD<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Aprobaci\u00f3n requerida para acciones privilegiadas del pipeline<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Los secretos no se almacenan en el control de c\u00f3digo fuente<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Inyecci\u00f3n de secretos en tiempo de ejecuci\u00f3n<\/td>CC6.7<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Secretos limitados por entorno<\/td>CC6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Rotaci\u00f3n peri\u00f3dica de secretos<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Valores de secretos excluidos de los registros<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Entornos de compilaci\u00f3n de CI\/CD reforzados<\/td>CC6.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Firma de artefactos aplicada<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Procedencia que vincula c\u00f3digo, pipeline y artefacto<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Los repositorios de artefactos imponen inmutabilidad<\/td>CC6.5<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Promoci\u00f3n limitada a artefactos de confianza<\/td>CC6.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Complementos de CI\/CD de terceros aprobados formalmente<\/td>CC6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Integraciones fijadas a versiones espec\u00edficas<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Verificaci\u00f3n de integridad de las acciones externas<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Restricci\u00f3n de complementos mantenidos por la comunidad<\/td>CC6.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Monitorizaci\u00f3n del uso de integraciones<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Actividad del pipeline de CI\/CD totalmente registrada<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Los registros incluyen aprobaciones y comprobaciones de seguridad<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Recopilaci\u00f3n centralizada de registros<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Conservaci\u00f3n de registros alineada con la pol\u00edtica<\/td>CC7.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>La evidencia respalda auditor\u00edas e investigaciones<\/td>CC2.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Cambios revisados y aprobados a trav\u00e9s del pipeline<\/td>CC8.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Separaci\u00f3n entre los roles de compilaci\u00f3n y despliegue<\/td>CC6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Aplicaci\u00f3n de pol\u00edticas mediante puertas automatizadas<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Excepciones aprobadas y registradas formalmente<\/td>CC2.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Gobernanza de CI\/CD revisada peri\u00f3dicamente<\/td>CC1.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

DORA<\/h2>\n\n\n\n

El Reglamento de Resiliencia Operativa Digital (DORA) enmarca CI\/CD como parte de las obligaciones de gesti\u00f3n de riesgos de TIC y de riesgo de terceros de una entidad financiera dentro de su \u00e1mbito de aplicaci\u00f3n. Su \u00e9nfasis est\u00e1 en la resiliencia, la trazabilidad y la supervisi\u00f3n de los proveedores de TIC, m\u00e1s que en cl\u00e1usulas numeradas, por lo que las referencias siguientes asignan los controles a los temas de DORA. Los supervisores esperan que los pipelines est\u00e9n cubiertos por el marco de riesgos de TIC, con una resiliencia probada y una clara rendici\u00f3n de cuentas de los proveedores. Expectativas de evidencia:<\/strong> la documentaci\u00f3n de riesgos de TIC, el registro de informaci\u00f3n de los proveedores externos y los resultados de las pruebas de resiliencia y de salida.<\/p>\n\n\n\n

Dominio<\/strong><\/th>Control<\/strong><\/th>DORA (\u00e1rea de TIC)<\/strong><\/th>S\u00ed<\/strong><\/th>No<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Privilegio m\u00ednimo aplicado a las cuentas de servicio de CI\/CD<\/td>Gesti\u00f3n de riesgos de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Segregaci\u00f3n entre identidades humanas y de pipeline<\/td>Gobernanza<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Acceso basado en roles para la configuraci\u00f3n del pipeline<\/td>Control de acceso<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA aplicado a los administradores de CI\/CD<\/td>Seguridad de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Aprobaci\u00f3n requerida para acciones privilegiadas del pipeline<\/td>Gesti\u00f3n de cambios<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Los secretos no se almacenan en el control de c\u00f3digo fuente<\/td>Seguridad de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Inyecci\u00f3n de secretos en tiempo de ejecuci\u00f3n<\/td>Gesti\u00f3n de riesgos de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Secretos limitados por entorno<\/td>Gobernanza<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Rotaci\u00f3n peri\u00f3dica de secretos<\/td>Seguridad de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Valores de secretos excluidos de los registros<\/td>Monitorizaci\u00f3n<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Entornos de compilaci\u00f3n de CI\/CD reforzados<\/td>Resiliencia de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Firma de artefactos aplicada<\/td>Cadena de suministro<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Procedencia que vincula c\u00f3digo, pipeline y artefacto<\/td>Trazabilidad<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Los repositorios de artefactos imponen inmutabilidad<\/td>Seguridad de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Promoci\u00f3n limitada a artefactos de confianza<\/td>Gesti\u00f3n de cambios<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Complementos de CI\/CD de terceros aprobados formalmente<\/td>Riesgo de terceros<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Integraciones fijadas a versiones espec\u00edficas<\/td>Cadena de suministro<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Verificaci\u00f3n de integridad de las acciones externas<\/td>Seguridad de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Restricci\u00f3n de complementos mantenidos por la comunidad<\/td>Gesti\u00f3n de riesgos<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Monitorizaci\u00f3n del uso de integraciones<\/td>Monitorizaci\u00f3n<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Actividad del pipeline de CI\/CD totalmente registrada<\/td>Monitorizaci\u00f3n<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Los registros incluyen aprobaciones y comprobaciones de seguridad<\/td>Gobernanza<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Recopilaci\u00f3n centralizada de registros<\/td>Gesti\u00f3n de riesgos de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Conservaci\u00f3n de registros alineada con la pol\u00edtica<\/td>Conservaci\u00f3n de registros<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>La evidencia respalda auditor\u00edas e investigaciones<\/td>Cumplimiento<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Cambios revisados y aprobados a trav\u00e9s del pipeline<\/td>Gesti\u00f3n de cambios<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Separaci\u00f3n entre los roles de compilaci\u00f3n y despliegue<\/td>Gobernanza<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Aplicaci\u00f3n de pol\u00edticas mediante puertas automatizadas<\/td>Seguridad de TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Excepciones aprobadas y registradas formalmente<\/td>Cumplimiento<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Gobernanza de CI\/CD revisada peri\u00f3dicamente<\/td>Supervisi\u00f3n<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

Directiva NIS2<\/h2>\n\n\n\n

La Directiva NIS2 exige que las entidades esenciales e importantes gestionen el riesgo de ciberseguridad en todas sus operaciones, incluidos los sistemas de entrega de software que compilan y despliegan cambios en producci\u00f3n. El Art\u00edculo 21(2) enumera las medidas b\u00e1sicas de gesti\u00f3n de riesgos y el Art\u00edculo 23 regula la notificaci\u00f3n de incidentes; ambos se corresponden claramente con los controles de CI\/CD de acceso, cadena de suministro y registro. Los auditores esperan que CI\/CD aparezca expl\u00edcitamente dentro de las medidas de gesti\u00f3n de riesgos de la organizaci\u00f3n, con rendici\u00f3n de cuentas por parte de la direcci\u00f3n. Expectativas de evidencia:<\/strong> la pol\u00edtica de gesti\u00f3n de riesgos que hace referencia al pipeline, las medidas de seguridad de la cadena de suministro y los procedimientos documentados de gesti\u00f3n de incidentes.<\/p>\n\n\n\n

Dominio<\/strong><\/th>Control<\/strong><\/th>NIS2 (Art\u00edculo)<\/strong><\/th>S\u00ed<\/strong><\/th>No<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Privilegio m\u00ednimo aplicado a las cuentas de servicio de CI\/CD<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Separaci\u00f3n de identidades humanas y de pipeline<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>RBAC aplicado a los sistemas de CI\/CD<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA aplicado a los administradores de CI\/CD<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Las acciones privilegiadas requieren aprobaci\u00f3n<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Los secretos no se almacenan en el c\u00f3digo fuente<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Inyecci\u00f3n de secretos en tiempo de ejecuci\u00f3n<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Credenciales limitadas por entorno<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Rotaci\u00f3n peri\u00f3dica de secretos<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Secretos excluidos de los registros<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Entornos de compilaci\u00f3n de CI\/CD reforzados<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Firma de artefactos aplicada<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Procedencia y trazabilidad de artefactos<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Los repositorios de artefactos son inmutables<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Solo se promocionan artefactos de confianza<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Herramientas de CI\/CD de terceros aprobadas formalmente<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Acciones de terceros fijadas a versiones<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Integridad de los componentes externos de CI\/CD verificada<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Complementos de la comunidad restringidos<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Actividad de integraci\u00f3n monitorizada<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Actividad del pipeline de CI\/CD totalmente registrada<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Los registros incluyen aprobaciones y eventos de seguridad<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Registro centralizado habilitado<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Conservaci\u00f3n de registros alineada con la pol\u00edtica<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Los registros de CI\/CD respaldan la investigaci\u00f3n de incidentes<\/td>Art. 23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>CI\/CD incluido en la gesti\u00f3n de riesgos de ciberseguridad<\/td>Art. 21<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Segregaci\u00f3n de funciones aplicada<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Aprobaciones de cambios aplicadas a trav\u00e9s de los pipelines<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Excepciones aprobadas y documentadas formalmente<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Postura de seguridad de CI\/CD revisada peri\u00f3dicamente<\/td>Art. 21(2)(f)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

PCI DSS<\/h2>\n\n\n\n

PCI DSS se aplica dondequiera que CI\/CD compile o despliegue sistemas dentro del \u00e1mbito del entorno de datos de titulares de tarjeta (CDE). El Requisito 6 (software seguro y control de cambios), los Requisitos 7 y 8 (acceso) y el Requisito 10 (registro) conllevan la mayor\u00eda de las obligaciones relevantes para el pipeline. Un Asesor de Seguridad Cualificado (QSA) prueba los controles directamente en cada sistema dentro del \u00e1mbito y no aceptar\u00e1 \u00fanicamente una declaraci\u00f3n de pol\u00edtica. Expectativas de evidencia:<\/strong> registros de control de cambios, configuraciones de acceso y registros centralizados conservados durante el per\u00edodo requerido.<\/p>\n\n\n\n

Dominio<\/strong><\/th>Control<\/strong><\/th>PCI DSS (Requisito)<\/strong><\/th>S\u00ed<\/strong><\/th>No<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Privilegio m\u00ednimo aplicado a las cuentas de servicio de CI\/CD<\/td>Req. 7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Separaci\u00f3n de identidades humanas y de pipeline<\/td>Req. 7.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>RBAC aplicado a los sistemas de CI\/CD<\/td>Req. 7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA aplicado a los administradores de CI\/CD<\/td>Req. 8.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Las acciones privilegiadas requieren aprobaci\u00f3n<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Los secretos no se almacenan en el c\u00f3digo fuente<\/td>Req. 3.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Inyecci\u00f3n de secretos en tiempo de ejecuci\u00f3n<\/td>Req. 3.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Credenciales limitadas por entorno<\/td>Req. 7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Rotaci\u00f3n peri\u00f3dica de secretos<\/td>Req. 3.6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secretos<\/td>Secretos excluidos de los registros<\/td>Req. 10.5<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Entornos de compilaci\u00f3n de CI\/CD reforzados<\/td>Req. 6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Firma de artefactos aplicada<\/td>Req. 6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Procedencia y trazabilidad de artefactos<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Los repositorios de artefactos son inmutables<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integridad de artefactos<\/td>Solo se promocionan artefactos de confianza<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Herramientas de CI\/CD de terceros aprobadas formalmente<\/td>Req. 12.8<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Acciones de terceros fijadas a versiones<\/td>Req. 6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Integridad de los componentes externos de CI\/CD verificada<\/td>Req. 6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Complementos de la comunidad restringidos<\/td>Req. 6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Integraciones de terceros<\/td>Actividad de integraci\u00f3n monitorizada<\/td>Req. 10.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Actividad del pipeline de CI\/CD totalmente registrada<\/td>Req. 10.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Los registros incluyen aprobaciones y eventos de seguridad<\/td>Req. 10.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Registro centralizado habilitado<\/td>Req. 10.5<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Conservaci\u00f3n de registros alineada con la pol\u00edtica<\/td>Req. 10.7<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Registro y monitorizaci\u00f3n<\/td>Los registros de CI\/CD respaldan la investigaci\u00f3n de incidentes<\/td>Req. 12.10<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>CI\/CD incluido en la gesti\u00f3n de riesgos de ciberseguridad<\/td>Req. 12.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Segregaci\u00f3n de funciones aplicada<\/td>Req. 7.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Aprobaciones de cambios aplicadas a trav\u00e9s de los pipelines<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Excepciones aprobadas y documentadas formalmente<\/td>Req. 12.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Cambios y gobernanza<\/td>Postura de seguridad de CI\/CD revisada peri\u00f3dicamente<\/td>Req. 12.11<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

Uso de esta tabla de correspondencias en una auditor\u00eda<\/h2>\n\n\n\n

La tabla de correspondencias es m\u00e1s eficaz cuando se trata como un documento de trabajo vivo a lo largo de un ciclo de auditor\u00eda, en lugar de como una referencia est\u00e1tica. El flujo de trabajo pr\u00e1ctico consiste en evidenciar cada control de pipeline una vez y, despu\u00e9s, reutilizar esa evidencia frente a cada marco que satisface.<\/p>\n\n\n\n