{"id":2030,"date":"2026-03-04T08:05:37","date_gmt":"2026-03-04T07:05:37","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/dora-articulo-28-mapeo-de-controles-y-evidencia\/"},"modified":"2026-03-26T09:33:28","modified_gmt":"2026-03-26T08:33:28","slug":"dora-article-28-controls-evidence-mapping","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/es\/regulatory-frameworks-es\/dora-article-28-controls-evidence-mapping\/","title":{"rendered":"DORA Art\u00edculo 28 \u2014 Mapeo de Controles y Evidencia"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">Introducci\u00f3n<\/h2>\n\n\n\n<p>Este art\u00edculo conecta las obligaciones del Art\u00edculo 28 de DORA con controles t\u00e9cnicos concretos y la evidencia que los auditores esperan verificar. Une dos perspectivas complementarias:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Desde las herramientas hasta la evidencia<\/strong>: c\u00f3mo las herramientas comunes de DevSecOps empresarial y CI\/CD aplican controles y producen salidas listas para auditor\u00eda.<\/li>\n\n\n\n<li><strong>Desde la regulaci\u00f3n hasta la evidencia<\/strong>: c\u00f3mo cada requisito del Art\u00edculo 28 se mapea a controles implementables y evidencia verificable.<\/li>\n<\/ul>\n\n\n\n<p>El objetivo es eliminar la ambig\u00fcedad entre el texto regulatorio, las herramientas, la gobernanza y el cumplimiento \u2014 y proporcionar una referencia \u00fanica para la preparaci\u00f3n de auditor\u00edas y el cumplimiento continuo.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Mapeo por Obligaci\u00f3n del Art\u00edculo 28<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">1. Identificaci\u00f3n de Terceros ICT<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Las entidades financieras deber\u00e1n identificar y mantener un inventario de todos los proveedores de servicios ICT de terceros.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Inventario centralizado de proveedores ICT<\/td><td>Exportaci\u00f3n del registro de proveedores<\/td><\/tr><tr><td>Registro obligatorio de herramientas CI\/CD, nube y SaaS<\/td><td>Registros de inventario incluyendo herramientas CI\/CD<\/td><\/tr><tr><td>Mapeo de propiedad y negocio<\/td><td>Mapeo proveedor \u2192 servicio de negocio<\/td><\/tr><tr><td>Revisi\u00f3n peri\u00f3dica del inventario<\/td><td>Actas \/ registros de reuniones de revisi\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">2. Clasificaci\u00f3n de Criticidad<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Los proveedores ICT de terceros deber\u00e1n clasificarse seg\u00fan la criticidad y el riesgo.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Marco de clasificaci\u00f3n de proveedores basado en riesgo<\/td><td>Metodolog\u00eda de clasificaci\u00f3n<\/td><\/tr><tr><td>Identificaci\u00f3n de proveedores ICT cr\u00edticos<\/td><td>Lista de proveedores cr\u00edticos<\/td><\/tr><tr><td>Herramientas CI\/CD clasificadas cuando soportan servicios cr\u00edticos<\/td><td>Mapeo CI\/CD \u2192 servicio<\/td><\/tr><tr><td>Escalada de gobernanza para proveedores cr\u00edticos<\/td><td>Registros del comit\u00e9 de riesgo<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">3. Diligencia Debida Pre-Contractual<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Se deber\u00e1n realizar evaluaciones de riesgo antes de entrar en acuerdos contractuales.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Proceso de diligencia debida en seguridad<\/td><td>Informes de diligencia debida<\/td><\/tr><tr><td>Evaluaci\u00f3n de riesgo que cubre riesgo ICT y operacional<\/td><td>Documentos de evaluaci\u00f3n de riesgo<\/td><\/tr><tr><td>Revisi\u00f3n de divulgaci\u00f3n de subprocesadores<\/td><td>Divulgaciones del proveedor<\/td><\/tr><tr><td>Aprobaci\u00f3n formal antes de la incorporaci\u00f3n<\/td><td>Registros de aprobaci\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">4. Salvaguardas Contractuales<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Los contratos deber\u00e1n incluir disposiciones m\u00ednimas de seguridad, auditor\u00eda y salida.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Cl\u00e1usulas contractuales est\u00e1ndar para proveedores ICT<\/td><td>Extractos de cl\u00e1usulas del contrato<\/td><\/tr><tr><td>Derechos de auditor\u00eda e inspecci\u00f3n<\/td><td>Contratos firmados<\/td><\/tr><tr><td>SLAs de notificaci\u00f3n de incidentes<\/td><td>Documentaci\u00f3n de SLA<\/td><\/tr><tr><td>Obligaciones de retenci\u00f3n de evidencia<\/td><td>T\u00e9rminos del contrato<\/td><\/tr><tr><td>Cl\u00e1usulas de salida y terminaci\u00f3n<\/td><td>Disposiciones de salida<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">5. Control de Acceso y Segregaci\u00f3n de Funciones<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> El acceso a los servicios ICT deber\u00e1 controlarse apropiadamente.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Control de acceso basado en roles (RBAC)<\/td><td>Exportaciones de configuraci\u00f3n IAM<\/td><\/tr><tr><td>Segregaci\u00f3n de funciones en CI\/CD<\/td><td>Matriz de acceso<\/td><\/tr><tr><td>Monitorizaci\u00f3n de acceso privilegiado<\/td><td>Registros de acceso<\/td><\/tr><tr><td>Revisiones peri\u00f3dicas de acceso<\/td><td>Informes de revisi\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">6. Controles de Aplicaci\u00f3n CI\/CD<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Los controles deber\u00e1n prevenir cambios no autorizados y garantizar la integridad.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Aprobaciones obligatorias y puertas de pol\u00edtica<\/td><td>Configuraciones de pipeline<\/td><\/tr><tr><td>Aplicaci\u00f3n de pol\u00edtica como c\u00f3digo<\/td><td>Definiciones de pol\u00edtica<\/td><\/tr><tr><td>Runners CI\/CD controlados<\/td><td>Configuraci\u00f3n de runner<\/td><\/tr><tr><td>Protecci\u00f3n de integridad de artefactos<\/td><td>SBOM, informes de firma<\/td><\/tr><tr><td>Trazabilidad de cambios<\/td><td>Registros de auditor\u00eda CI\/CD<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">7. Monitorizaci\u00f3n y Gesti\u00f3n de Incidentes<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Los riesgos ICT de terceros deber\u00e1n monitorizarse continuamente.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Monitorizaci\u00f3n continua de servicios ICT<\/td><td>Paneles de monitorizaci\u00f3n<\/td><\/tr><tr><td>Alertas sobre fallos de terceros<\/td><td>Registros de alertas<\/td><\/tr><tr><td>Seguimiento de incidentes<\/td><td>Tickets de incidentes<\/td><\/tr><tr><td>Procedimientos de escalada de incidentes<\/td><td>Flujos de trabajo de incidentes<\/td><\/tr><tr><td>Revisiones post-incidente<\/td><td>Informes RCA<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">8. Gobernanza de Subprocesadores<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Los riesgos derivados de las cadenas de subcontrataci\u00f3n deber\u00e1n gestionarse.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Visibilidad de los subprocesadores<\/td><td>Divulgaciones del proveedor<\/td><\/tr><tr><td>Proceso de aprobaci\u00f3n de subprocesadores<\/td><td>Registros de aprobaci\u00f3n<\/td><\/tr><tr><td>Evaluaciones de riesgo para subprocesadores<\/td><td>Informes de riesgo<\/td><\/tr><tr><td>Monitorizaci\u00f3n de cambios en subprocesadores<\/td><td>Notificaciones de cambios<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">9. Estrategia de Salida y Resiliencia<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> Las estrategias de salida deber\u00e1n garantizar la continuidad en caso de fallo del proveedor.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Estrategias de salida documentadas<\/td><td>Planes de salida<\/td><\/tr><tr><td>Evaluaciones de viabilidad<\/td><td>Informes de viabilidad<\/td><\/tr><tr><td>Pruebas de salida o alternativas<\/td><td>Informes de prueba<\/td><\/tr><tr><td>Revisi\u00f3n peri\u00f3dica de planes de salida<\/td><td>Registros de revisi\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">10. Gesti\u00f3n y Retenci\u00f3n de Evidencia<\/h3>\n\n\n\n<p><strong>Requisito del Art\u00edculo 28:<\/strong> La evidencia deber\u00e1 estar disponible, protegida y conservada.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles implementados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Repositorio centralizado de evidencia<\/td><td>Almacenamiento de evidencia<\/td><\/tr><tr><td>Registros con marca de tiempo e inmutables<\/td><td>Configuraci\u00f3n de logging<\/td><\/tr><tr><td>Pol\u00edticas de retenci\u00f3n aplicadas<\/td><td>Documentos de pol\u00edtica de retenci\u00f3n<\/td><\/tr><tr><td>Acceso controlado a la evidencia<\/td><td>Registros de acceso<\/td><\/tr><tr><td>Producci\u00f3n de evidencia bajo demanda<\/td><td>Extractos de auditor\u00eda<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Mapeo por Categor\u00eda de Herramientas<\/h2>\n\n\n\n<p>La siguiente secci\u00f3n mapea las herramientas comunes de DevSecOps empresarial a los controles que aplican y la evidencia que producen bajo el Art\u00edculo 28 de DORA.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1. Gesti\u00f3n de C\u00f3digo Fuente (Plataformas Git)<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> GitHub Enterprise, GitLab, Bitbucket<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Control de acceso basado en roles<\/td><td>Registros de acceso al repositorio<\/td><\/tr><tr><td>Segregaci\u00f3n de funciones (PR vs. fusi\u00f3n)<\/td><td>Reglas de rama protegida<\/td><\/tr><tr><td>Revisiones y aprobaciones obligatorias<\/td><td>Historial de pull requests<\/td><\/tr><tr><td>Trazabilidad de cambios<\/td><td>Historial de commits<\/td><\/tr><tr><td>Gobernanza de acceso de terceros<\/td><td>Registros de auditor\u00eda de usuarios y tokens<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Las plataformas Git son proveedores ICT de terceros que influyen en la integridad del c\u00f3digo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">2. Plataformas de Orquestaci\u00f3n CI\/CD<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> GitHub Actions, GitLab CI, Jenkins (gestionado), Azure DevOps Pipelines<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Puertas de aprobaci\u00f3n del pipeline<\/td><td>Exportaciones de configuraci\u00f3n de pipeline<\/td><\/tr><tr><td>Aplicaci\u00f3n de pol\u00edtica como c\u00f3digo<\/td><td>Definiciones de pol\u00edtica<\/td><\/tr><tr><td>Entornos de ejecuci\u00f3n controlados<\/td><td>Configuraci\u00f3n de runner<\/td><\/tr><tr><td>Tokens de pipeline con m\u00ednimo privilegio<\/td><td>Configuraci\u00f3n de alcance de tokens<\/td><\/tr><tr><td>Registro de cambios del pipeline<\/td><td>Registros de auditor\u00eda CI\/CD<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Las plataformas CI\/CD SaaS deben gobernarse como proveedores ICT cr\u00edticos.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3. Seguridad de Compilaci\u00f3n y Dependencias (SCA \/ SBOM)<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> Snyk, Dependency-Check, Mend, GitHub Dependabot, Syft \/ CycloneDX<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>An\u00e1lisis de riesgo de dependencias<\/td><td>Informes SCA<\/td><\/tr><tr><td>Generaci\u00f3n de SBOM<\/td><td>Archivos SBOM<\/td><\/tr><tr><td>Seguimiento de procedencia<\/td><td>Metadatos de compilaci\u00f3n<\/td><\/tr><tr><td>Monitorizaci\u00f3n de vulnerabilidades<\/td><td>Alertas e informes<\/td><\/tr><tr><td>Transparencia de la cadena de suministro<\/td><td>Inventarios de dependencias<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Proporciona visibilidad sobre los riesgos de software de terceros y los subprocesadores.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">4. Repositorios y Registros de Artefactos<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> Artifactory, Nexus, registros Docker, registros de contenedores en la nube<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Control de acceso a artefactos<\/td><td>Registros de acceso al repositorio<\/td><\/tr><tr><td>Inmutabilidad de artefactos<\/td><td>Configuraci\u00f3n del repositorio<\/td><\/tr><tr><td>Firma de artefactos<\/td><td>Verificaci\u00f3n de firmas<\/td><\/tr><tr><td>Verificaci\u00f3n de procedencia<\/td><td>Registros de attestation<\/td><\/tr><tr><td>Pol\u00edticas de retenci\u00f3n<\/td><td>Configuraci\u00f3n de retenci\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Protege la integridad de los entregables proporcionados por sistemas de terceros.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">5. Plataformas en Tiempo de Ejecuci\u00f3n y Nube<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> AWS \/ Azure \/ GCP, plataformas Kubernetes, servicios PaaS gestionados<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>IAM y separaci\u00f3n de roles<\/td><td>Exportaciones de pol\u00edtica IAM<\/td><\/tr><tr><td>Aislamiento de red<\/td><td>Configuraciones de grupos de seguridad<\/td><\/tr><tr><td>Monitorizaci\u00f3n en tiempo de ejecuci\u00f3n<\/td><td>Registros y m\u00e9tricas<\/td><\/tr><tr><td>Detecci\u00f3n de incidentes<\/td><td>Alertas<\/td><\/tr><tr><td>Monitorizaci\u00f3n de disponibilidad<\/td><td>Informes de SLA<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Los proveedores de nube son proveedores de servicios ICT de terceros cr\u00edticos.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">6. Gesti\u00f3n de Secretos<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> HashiCorp Vault, gestores de secretos nativos de la nube, almacenes de secretos CI\/CD<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Almacenamiento centralizado de secretos<\/td><td>Inventario de secretos<\/td><\/tr><tr><td>Restricci\u00f3n de acceso<\/td><td>Registros de acceso<\/td><\/tr><tr><td>Rotaci\u00f3n de secretos<\/td><td>Registros de rotaci\u00f3n<\/td><\/tr><tr><td>Prevenci\u00f3n de secretos codificados<\/td><td>Informes de an\u00e1lisis<\/td><\/tr><tr><td>Auditabilidad<\/td><td>Rastros de acceso a secretos<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Controla el acceso a datos sensibles gestionados por plataformas de terceros.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">7. Monitorizaci\u00f3n, Logging y SIEM<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> Splunk, Elastic, Datadog, logging nativo de la nube<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Recolecci\u00f3n centralizada de registros<\/td><td>Registros de ingesta de logs<\/td><\/tr><tr><td>Monitorizaci\u00f3n de servicios de terceros<\/td><td>Paneles<\/td><\/tr><tr><td>Alertas sobre incidentes<\/td><td>Registros de alertas<\/td><\/tr><tr><td>Correlaci\u00f3n de incidentes<\/td><td>Tickets de incidentes<\/td><\/tr><tr><td>Retenci\u00f3n de evidencia<\/td><td>Pol\u00edticas de retenci\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Apoya las obligaciones de monitorizaci\u00f3n continua y evidencia de incidentes.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">8. Gesti\u00f3n de Identidades y Accesos (IAM)<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> IAM empresarial, IAM en la nube, plataformas SSO<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Gesti\u00f3n centralizada de identidades<\/td><td>Inventarios de usuarios<\/td><\/tr><tr><td>Aplicaci\u00f3n de MFA<\/td><td>Registros de autenticaci\u00f3n<\/td><\/tr><tr><td>Separaci\u00f3n de roles<\/td><td>Definiciones de roles<\/td><\/tr><tr><td>Revisiones de acceso<\/td><td>Registros de revisi\u00f3n<\/td><\/tr><tr><td>Revocaci\u00f3n de acceso<\/td><td>Registros de baja<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Garantiza el acceso controlado a las plataformas ICT de terceros.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">9. Plataformas de Gobernanza y Gesti\u00f3n de Riesgos<\/h3>\n\n\n\n<p><strong>Herramientas t\u00edpicas:<\/strong> Plataformas GRC, CMDB, registros de riesgos<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Controles aplicados<\/th><th>Evidencia producida<\/th><\/tr><\/thead><tbody><tr><td>Inventario de proveedores<\/td><td>Registros de proveedores<\/td><\/tr><tr><td>Evaluaciones de riesgo<\/td><td>Informes de riesgo<\/td><\/tr><tr><td>Clasificaci\u00f3n de criticidad<\/td><td>Registros de clasificaci\u00f3n<\/td><\/tr><tr><td>Propiedad de controles<\/td><td>Documentaci\u00f3n RACI<\/td><\/tr><tr><td>Preparaci\u00f3n de auditor\u00edas<\/td><td>Repositorios de evidencia<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><strong>Relevancia para el Art\u00edculo 28:<\/strong> Proporciona la columna vertebral de gobernanza para la gesti\u00f3n de riesgos ICT de terceros.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Visi\u00f3n de Extremo a Extremo<\/h2>\n\n\n\n<p>Bajo el Art\u00edculo 28 de DORA:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Las herramientas<\/strong> no equivalen a cumplimiento.<\/li>\n\n\n\n<li><strong>Los controles<\/strong> crean cumplimiento.<\/li>\n\n\n\n<li><strong>La evidencia<\/strong> demuestra el cumplimiento.<\/li>\n<\/ul>\n\n\n\n<p>Las herramientas son aceptables solo si aplican controles y generan evidencia verificable.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo Utilizan los Auditores este Mapeo<\/h2>\n\n\n\n<p>Los auditores t\u00edpicamente:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Parten de los <strong>requisitos del Art\u00edculo 28<\/strong> (mapeo de obligaciones).<\/li>\n\n\n\n<li>Identifican el <strong>proveedor ICT de terceros<\/strong> y su categor\u00eda de herramientas.<\/li>\n\n\n\n<li>Verifican que los <strong>controles existen y operan<\/strong> a trav\u00e9s de las herramientas.<\/li>\n\n\n\n<li>Solicitan <strong>salidas de evidencia directas<\/strong> para cada control.<\/li>\n\n\n\n<li>Validan la <strong>consistencia a lo largo del tiempo<\/strong>.<\/li>\n<\/ol>\n\n\n\n<p>Cualquier eslab\u00f3n faltante entre obligaci\u00f3n \u2192 control \u2192 evidencia, o entre herramienta \u2192 control \u2192 evidencia, es un hallazgo potencial. Si un control no puede producir evidencia, se considera ineficaz.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Conclusi\u00f3n Clave<\/h2>\n\n\n\n<p>El cumplimiento del Art\u00edculo 28 de DORA se logra cuando cada requisito regulatorio es trazable a controles, y cada control produce evidencia \u2014 independientemente de qu\u00e9 herramientas se utilicen.<\/p>\n\n\n\n<p>Este doble mapeo (por obligaci\u00f3n y por herramienta) proporciona la columna vertebral para:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>preparaci\u00f3n de auditor\u00edas,<\/li>\n\n\n\n<li>cumplimiento continuo,<\/li>\n\n\n\n<li>gobernanza CI\/CD en entornos regulados.<\/li>\n<\/ul>\n\n\n\n<p>Un entorno CI\/CD alineado con DORA es aquel donde cada herramienta de terceros est\u00e1 gobernada, cada control se aplica t\u00e9cnicamente y cada control produce evidencia autom\u00e1ticamente.<\/p>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Contenido Relacionado Recomendado<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/regulated-devsecops.com\/es\/regulatory-frameworks-es\/dora-article-28-evidence-pack\/\" data-type=\"post\" data-id=\"366\">DORA Article 28 \u2014 Evidence Pack (Auditor &amp; Engineer Views)<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/regulated-devsecops.com\/compliance\/dora-article-28-auditor-checklist-yes-no-evidence\/\" data-type=\"post\" data-id=\"353\">DORA Article 28 \u2014 Auditor Checklist (Yes \/ No \/ Evidence)<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/regulated-devsecops.com\/regulatory-frameworks\/dora-article-28-architecture\/\" data-type=\"post\" data-id=\"364\">DORA Article 28 Architecture: Third-Party Risk Controls Across CI\/CD Pipelines<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/regulated-devsecops.com\/es\/regulatory-frameworks-es\/continuous-compliance-via-ci-cd\/\" data-type=\"post\" data-id=\"987\">Continuous Compliance via CI\/CD Pipelines<\/a><\/li>\n<\/ul>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n    <section class=\"rds-author-box rds-author-box--audit\"\r\n             dir=\"ltr\" lang=\"es\"\r\n             style=\"border:1px solid rgba(100,116,139,.35);border-radius:14px;padding:16px 18px;margin:26px 0 18px;background:rgba(148,163,184,.08);\">\r\n      <strong style=\"margin:0 0 8px; font-size:14px; font-weight:700; letter-spacing:.02em;\">Contexto \u201caudit-ready\u201d<\/strong>\r\n      <p style=\"margin:0; font-size:14px; line-height:1.55;\">Contenido pensado para entornos regulados: controles antes que herramientas, enforcement en CI\/CD y evidencia por dise\u00f1o para auditor\u00edas.<\/p>\r\n      <p style=\"margin:0; font-size:14px; line-height:1.55;\">Enfoque en trazabilidad, aprobaciones, gobernanza de excepciones y retenci\u00f3n de evidencia de extremo a extremo.<\/p>\r\n      <p style=\"margin:0; font-size:14px; line-height:1.55;\">\r\n        <a href=\"https:\/\/regulated-devsecops.com\/es\/es\/about\/\">Ver la metodolog\u00eda en la p\u00e1gina About.<\/a>\r\n      <\/p>\r\n    <\/section>\r\n    \n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Este art\u00edculo conecta las obligaciones del Art\u00edculo 28 de DORA con controles t\u00e9cnicos concretos y la evidencia que los auditores esperan verificar. Mapea desde la regulaci\u00f3n hasta la evidencia y desde las herramientas hasta la evidencia \u2014 una referencia \u00fanica para la preparaci\u00f3n de auditor\u00edas y el cumplimiento continuo.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[135],"tags":[],"post_folder":[],"class_list":["post-2030","post","type-post","status-publish","format-standard","hentry","category-regulatory-frameworks-es"],"_links":{"self":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts\/2030","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/comments?post=2030"}],"version-history":[{"count":0,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/posts\/2030\/revisions"}],"wp:attachment":[{"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/media?parent=2030"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/categories?post=2030"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/tags?post=2030"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/es\/wp-json\/wp\/v2\/post_folder?post=2030"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}