Cada control, mapeado con honestidad.

Política organizativaCC1.1 Compromiso de conducta · CC1.2 Supervisión del consejo · CC1.3 Líneas de reporte · CC2.1 Buena información de control · CC2.2 Comunicación de deberes al personal · CC2.3 Diálogo con terceros externos · CC3.1 Objetivos de riesgo · CC3.2 Ponderación de riesgos · CC3.3 Revisión del riesgo de fraude · CC3.4 Revisión del impacto de cambios · CC5.1 Controles que reducen el riesgo · CC5.2 Elección de controles tecnológicos · CC5.3 Políticas implantadas · CC9.1 Reducción del riesgo de interrupciones · P1.1 Aviso de privacidad · P2.1 Opciones de consentimiento · P3.1 Recogida lícita · P3.2 Consentimiento explícito sensible · P4.1 Límites de finalidad declarada · P6.1 Consentimiento antes de compartir · P6.2 Registros de comunicación · P6.3 Registros de comunicación no autorizada

Procesos operativosCC4.1 Revisiones continuas de controles · CC4.2 Notificación de debilidades · CC6.8 Bloqueo de software no deseado · CC7.3 Valoración de eventos · CC7.4 Pasos de respuesta a incidentes · CC7.5 Aprendizaje tras la recuperación · A1.1 Vigilancia de capacidad · A1.3 Pruebas de recuperación · PI1.1 Objetivos de tratamiento definidos · PI1.4 Revisión de la entrega de salidas · PI1.5 Integridad de elementos almacenados · P5.1 Respuestas a solicitudes de acceso · P5.2 Gestión de correcciones · P6.7 Contabilidad de comunicaciones · P7.1 Datos personales exactos · P8.1 Gestión de reclamaciones

Seguridad físicaCC6.4 Límites de entrada física · CC6.5 Eliminación de datos de activos

Contratos y proveedoresCC9.2 Gestión del riesgo de proveedores · P6.4 Compromisos de privacidad de proveedores · P6.5 Aviso de incidentes de proveedores

Personas y RR. HH.CC1.4 Contratación de personal capaz · CC1.5 Responsabilidad por deberes

Trámites regulatoriosP6.6 Avisos de brechas

Toevan aporta evidencia de apoyo para 2 de ellos.

Política organizativaA.5.1 Conjunto de políticas escritas · A.5.2 Responsables de roles de seguridad · A.5.4 Respaldo de la dirección · A.5.5 Contactos con autoridades · A.5.6 Contactos con grupos de expertos · A.5.8 Pasos de seguridad en proyectos · A.5.9 Lista de activos con responsable · A.5.10 Reglas de uso de activos · A.5.11 Devolución de activos · A.5.12 Clasificación por sensibilidad · A.5.13 Marcado por sensibilidad · A.5.14 Reglas de transferencia de datos · A.5.23 Reglas de uso de la nube · A.5.37 Pasos operativos escritos · A.6.7 Salvaguardas del trabajo remoto

Procesos operativosA.5.7 Seguimiento de noticias de atacantes · A.5.24 Preparación ante incidentes · A.5.25 Clasificación de eventos por gravedad · A.5.26 Pasos de respuesta a incidentes · A.5.27 Aprendizaje de incidentes · A.5.28 Recogida de evidencia de incidentes · A.5.29 Planes de seguridad ante interrupciones · A.5.30 Preparación para la recuperación · A.6.8 Avisos de problemas del personal · A.8.1 Protección de dispositivos de usuario · A.8.6 Planificación de capacidad · A.8.7 Defensa frente a malware · A.8.14 Capacidad de reserva · A.8.16 Vigilancia de comportamiento inusual · A.8.17 Sincronización de relojes · A.8.18 Límites a programas de utilidad · A.8.19 Aprobación de software en producción · A.8.21 Reglas de servicios de red · A.8.23 Filtrado de tráfico web

Seguridad físicaA.7.1 Perímetros seguros de instalaciones · A.7.2 Controles de entrada a instalaciones · A.7.3 Salas con llave · A.7.4 Vigilancia de instalaciones · A.7.5 Protección contra incendio e inundación · A.7.6 Reglas de zonas seguras · A.7.7 Escritorios despejados · A.7.8 Ubicación de equipos · A.7.9 Salvaguardas de activos fuera de sede · A.7.10 Cuidado de unidades de disco · A.7.11 Respaldo ante cortes de energía · A.7.12 Protección del cableado · A.7.13 Mantenimiento de equipos · A.7.14 Borrado seguro de equipos

Contratos y proveedoresA.5.19 Exigencias de seguridad a proveedores · A.5.20 Cláusulas de acuerdos con proveedores · A.5.21 Controles de la cadena de suministro · A.5.22 Revisión del servicio de proveedores · A.8.30 Supervisión de desarrolladores externos

Personas y RR. HH.A.6.1 Antecedentes al contratar · A.6.2 Deberes de seguridad por escrito · A.6.3 Formación en concienciación de seguridad · A.6.4 Consecuencias de incumplir las reglas · A.6.5 Deberes tras la salida · A.6.6 Compromisos de confidencialidad

Trámites regulatoriosA.5.31 Seguimiento de obligaciones legales · A.5.32 Registros de derechos de software · A.5.33 Custodia de registros · A.5.34 Obligaciones de privacidad

Evaluación externaA.5.35 Revisión independiente · A.5.36 Revisión del cumplimiento de políticas · A.8.34 Salvaguardas de auditoría

Política organizativaReq.1.1 Registro de la política de red · Req.1.5 Política de puentes en endpoints · Req.2.1 Registro de la política de bastionado · Req.3.1 Política de protección de datos · Req.4.1 Registro de la política de tránsito · Req.5.1 Registro de la política contra malware · Req.6.1 Registro de la política de desarrollo · Req.7.1 Registro de la política de acceso · Req.8.1 Política de inicio de sesión · Req.9.1 Registro de la política física · Req.10.1 Registro de la política de logs · Req.11.1 Registro de la política de pruebas · Req.12.1 Programa de política de seguridad · Req.12.2 Reglas de uso aceptable · Req.12.3 Revisión de riesgos específica · Req.12.4 Supervisión del cumplimiento · Req.12.5 Registro de definición del alcance

Procesos operativosReq.2.3 Revisión de redes inalámbricas · Req.3.7 Proceso del ciclo de vida de claves · Req.5.2 Defensa de endpoints contra malware · Req.5.3 Vigilancia de antimalware al día · Req.5.4 Defensas contra phishing · Req.10.4 Revisión periódica de logs · Req.10.6 Sincronización de relojes · Req.10.7 Proceso de detección de fallos · Req.11.2 Revisión de redes wifi ajenas · Req.11.5 Proceso de detección de intrusiones · Req.12.10 Plan de respuesta a incidentes

Seguridad físicaReq.9.2 Controles de entrada a instalaciones · Req.9.3 Registros de acceso de visitantes · Req.9.4 Reglas de manejo de soportes · Req.9.5 Revisión de manipulación de terminales

Contratos y proveedoresReq.12.8 Contratos con proveedores · Req.12.9 Deberes de soporte de proveedores

Personas y RR. HH.Req.12.6 Formación de concienciación · Req.12.7 Selección de personal

Evaluación externaReq.11.4 Pruebas de penetración

Toevan aporta evidencia de apoyo para 4 de ellos.

Política organizativaAC-1 Políticas y procedimientos · AT-1 Políticas y procedimientos · AU-1 Políticas y procedimientos · CA-1 Políticas y procedimientos · CM-1 Políticas y procedimientos · CP-1 Políticas y procedimientos · IA-1 Políticas y procedimientos · IR-1 Políticas y procedimientos · MA-1 Políticas y procedimientos · MP-1 Políticas y procedimientos · PE-1 Políticas y procedimientos · PL-1 Políticas y procedimientos · PL-2 Planes de seguridad y privacidad del sistema · PL-4 Reglas de comportamiento · PL-8 Arquitecturas de seguridad y privacidad · PL-10 Selección de línea base · PL-11 Adaptación de línea base · PS-1 Políticas y procedimientos · RA-1 Políticas y procedimientos · RA-2 Categorización de seguridad · RA-3 Evaluación de riesgos · RA-7 Respuesta al riesgo · RA-9 Análisis de criticidad · SA-1 Políticas y procedimientos · SA-2 Asignación de recursos · SA-3 Ciclo de vida de desarrollo del sistema · SA-5 Documentación del sistema · SA-8 Principios de ingeniería de seguridad y privacidad · SA-15 Proceso, estándares y herramientas de desarrollo · SA-22 Componentes del sistema sin soporte · SC-1 Políticas y procedimientos · SI-1 Políticas y procedimientos · SR-1 Políticas y procedimientos

Procesos operativosAC-8 Aviso de uso del sistema · AC-14 Acciones permitidas sin identificación ni autenticación · AC-18 Acceso inalámbrico · AC-19 Control de acceso para dispositivos móviles · AC-20 Uso de sistemas externos · AC-21 Intercambio de información · AC-22 Contenido de acceso público · AU-4 Capacidad de almacenamiento de logs de auditoría · AU-5 Respuesta a fallos del registro de auditoría · AU-6 Revisión, análisis y reporte de registros de auditoría · AU-7 Reducción de registros de auditoría y generación de informes · CM-4 Análisis de impacto · CM-8 Inventario de componentes del sistema · CM-9 Plan de gestión de configuración · CM-10 Restricciones de uso de software · CM-11 Software instalado por el usuario · CM-12 Ubicación de la información · CP-2 Plan de contingencia · CP-3 Formación de contingencia · CP-4 Pruebas del plan de contingencia · CP-6 Sitio alternativo de almacenamiento · CP-7 Sitio alternativo de procesamiento · CP-8 Servicios de telecomunicaciones · CP-10 Recuperación y reconstitución del sistema · IA-3 Identificación y autenticación de dispositivos · IA-7 Autenticación de módulos criptográficos · IA-11 Reautenticación · IA-12 Verificación de identidad · IR-2 Formación en respuesta a incidentes · IR-3 Pruebas de respuesta a incidentes · IR-4 Tratamiento de incidentes · IR-5 Monitorización de incidentes · IR-6 Notificación de incidentes · IR-7 Asistencia en respuesta a incidentes · IR-8 Plan de respuesta a incidentes · SC-2 Separación de funciones del sistema y del usuario · SC-4 Información en recursos compartidos del sistema · SC-5 Protección contra denegación de servicio · SC-10 Desconexión de red · SC-15 Dispositivos y aplicaciones de trabajo colaborativo · SC-17 Certificados de infraestructura de clave pública · SC-18 Código móvil · SC-20 Servicio seguro de resolución de nombres/direcciones (fuente autoritativa) · SC-21 Servicio seguro de resolución de nombres/direcciones (resolutor recursivo o de caché) · SC-22 Arquitectura y aprovisionamiento del servicio de resolución de nombres/direcciones · SC-39 Aislamiento de procesos · SI-3 Protección contra código malicioso · SI-4 Monitorización del sistema · SI-5 Alertas, avisos y directivas de seguridad · SI-8 Protección contra spam · SI-16 Protección de memoria

Seguridad físicaMA-2 Mantenimiento controlado · MA-3 Herramientas de mantenimiento · MA-4 Mantenimiento remoto · MA-5 Personal de mantenimiento · MA-6 Mantenimiento oportuno · MP-2 Acceso a soportes · MP-3 Marcado de soportes · MP-4 Almacenamiento de soportes · MP-5 Transporte de soportes · MP-6 Saneamiento de soportes · MP-7 Uso de soportes · PE-2 Autorizaciones de acceso físico · PE-3 Control de acceso físico · PE-4 Control de acceso a la transmisión · PE-5 Control de acceso a dispositivos de salida · PE-6 Monitorización del acceso físico · PE-8 Registros de acceso de visitantes · PE-9 Equipos de energía y cableado · PE-10 Apagado de emergencia · PE-11 Energía de emergencia · PE-12 Iluminación de emergencia · PE-13 Protección contra incendios · PE-14 Controles ambientales · PE-15 Protección contra daños por agua · PE-16 Entrega y retirada · PE-17 Sitio de trabajo alternativo

Contratos y proveedoresSA-4 Proceso de adquisición · SA-9 Servicios de sistemas externos · SR-2 Plan de gestión del riesgo de la cadena de suministro · SR-3 Controles y procesos de la cadena de suministro · SR-5 Estrategias, herramientas y métodos de adquisición · SR-6 Evaluaciones y revisiones de proveedores · SR-8 Acuerdos de notificación · SR-10 Inspección de sistemas o componentes · SR-12 Eliminación de componentes

Personas y RR. HH.AT-2 Formación y concienciación · AT-3 Formación por rol · AT-4 Registros de formación · PS-2 Designación de riesgo por puesto · PS-3 Selección de personal · PS-4 Baja de personal · PS-5 Traslado de personal · PS-6 Acuerdos de acceso · PS-7 Seguridad del personal externo · PS-8 Sanciones al personal · PS-9 Descripciones de puestos

Evaluación externaCA-2 Evaluaciones de controles · CA-3 Intercambio de información · CA-5 Plan de acción y hitos · CA-6 Autorización · CA-7 Monitorización continua · CA-9 Conexiones internas del sistema

Toevan aporta evidencia de apoyo para 2 de ellos.

Política organizativa164.308(a)(2) Responsabilidad de seguridad asignada · 164.310(b) Uso de estaciones de trabajo · 164.316(a) Políticas y procedimientos · 164.316(b)(1) Documentación · 164.506 Usos y divulgaciones para tratamiento, pago u operaciones sanitarias · 164.508 Usos y divulgaciones que requieren autorización · 164.509 Usos y divulgaciones que requieren una declaración · 164.510 Usos y divulgaciones que requieren dar oportunidad de aceptar u oponerse · 164.512 Usos y divulgaciones que no requieren autorización ni oportunidad de aceptar u oponerse · 164.520 Aviso de prácticas de privacidad de la información de salud protegida · 164.522 Derechos a solicitar protección de la privacidad de la información de salud protegida · 164.528 Contabilidad de las divulgaciones de información de salud protegida · 164.530 Requisitos administrativos

Procesos operativos164.308(a)(1) Proceso de gestión de la seguridad · 164.308(a)(6) Procedimientos ante incidentes de seguridad · 164.308(a)(7) Plan de contingencia · 164.524 Acceso de las personas a su información de salud protegida · 164.526 Modificación de la información de salud protegida

Seguridad física164.310(a)(1) Controles de acceso a instalaciones · 164.310(c) Seguridad de estaciones de trabajo · 164.310(d)(1) Controles de dispositivos y soportes

Contratos y proveedores164.308(b)(1) Contratos con asociados comerciales y otros acuerdos · 164.314(a)(1) Contratos con asociados comerciales u otros acuerdos · 164.314(b)(1) Requisitos para planes de salud colectivos · 164.504 Usos y divulgaciones: requisitos organizativos

Personas y RR. HH.164.308(a)(3) Seguridad del personal · 164.308(a)(5) Concienciación y formación en seguridad

Trámites regulatorios164.404 Notificación a las personas · 164.406 Notificación a los medios · 164.408 Notificación al Secretario · 164.410 Notificación por un asociado comercial · 164.412 Retraso por orden de las fuerzas de seguridad · 164.414 Requisitos administrativos y carga de la prueba

Evaluación externa164.308(a)(8) Evaluación

Toevan aporta evidencia de apoyo para 1 de ellos.

Política organizativaArt.6 Licitud del tratamiento · Art.7 Condiciones para el consentimiento · Art.8 Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información · Art.9 Tratamiento de categorías especiales de datos personales · Art.10 Tratamiento de datos personales relativos a condenas e infracciones penales · Art.11 Tratamiento que no requiere identificación · Art.24 Responsabilidad del responsable del tratamiento · Art.26 Corresponsables del tratamiento · Art.27 Representantes de responsables o encargados no establecidos en la Unión · Art.29 Tratamiento bajo la autoridad del responsable o del encargado · Art.30 Registro de las actividades de tratamiento · Art.31 Cooperación con la autoridad de control · Art.35 Evaluación de impacto relativa a la protección de datos · Art.36 Consulta previa · Art.37 Designación del delegado de protección de datos · Art.38 Posición del delegado de protección de datos · Art.39 Funciones del delegado de protección de datos

Procesos operativosArt.12 Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado · Art.13 Información que debe facilitarse cuando los datos personales se obtienen del interesado · Art.14 Información que debe facilitarse cuando los datos personales no se han obtenido del interesado · Art.15 Derecho de acceso del interesado · Art.16 Derecho de rectificación · Art.17 Derecho de supresión (“derecho al olvido”) · Art.18 Derecho a la limitación del tratamiento · Art.19 Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento · Art.20 Derecho a la portabilidad de los datos · Art.21 Derecho de oposición · Art.22 Decisiones individuales automatizadas, incluida la elaboración de perfiles

Contratos y proveedoresArt.28 Encargado del tratamiento

Trámites regulatoriosArt.33 Notificación de una violación de seguridad a la autoridad de control · Art.34 Comunicación de una violación de seguridad al interesado · Art.44 Principio general de las transferencias · Art.45 Transferencias basadas en una decisión de adecuación · Art.46 Transferencias mediante garantías adecuadas · Art.47 Normas corporativas vinculantes · Art.48 Transferencias o comunicaciones no autorizadas por el Derecho de la Unión · Art.49 Excepciones para situaciones específicas

Toevan aporta evidencia de apoyo para 1 de ellos.

Política organizativaArt.5 Gobernanza y organización · Art.6 Marco de gestión del riesgo de TIC · Art.16 Marco simplificado de gestión del riesgo de TIC · Art.24 Requisitos generales para realizar pruebas de resiliencia operativa digital · Art.28 Principios generales · Art.29 Evaluación preliminar del riesgo de concentración de TIC a nivel de entidad

Procesos operativosArt.11 Respuesta y recuperación · Art.13 Aprendizaje y evolución · Art.14 Comunicación · Art.17 Proceso de gestión de incidentes relacionados con las TIC · Art.18 Clasificación de incidentes relacionados con las TIC y ciberamenazas

Contratos y proveedoresArt.30 Disposiciones contractuales clave

Trámites regulatoriosArt.15 Mayor armonización de herramientas, métodos, procesos y políticas de gestión del riesgo de TIC · Art.19 Notificación de incidentes graves relacionados con las TIC y notificación voluntaria de ciberamenazas significativas · Art.20 Armonización del contenido y de las plantillas de notificación · Art.21 Centralización de la notificación de incidentes graves relacionados con las TIC · Art.22 Retroalimentación de supervisión · Art.23 Incidentes operativos o de seguridad relacionados con pagos que afectan a entidades de crédito, entidades de pago, proveedores de servicios de información sobre cuentas y entidades de dinero electrónico · Art.45 Acuerdos de intercambio de información sobre ciberamenazas e inteligencia

Evaluación externaArt.26 Pruebas avanzadas de herramientas, sistemas y procesos de TIC basadas en TLPT · Art.27 Requisitos para los probadores que realizan TLPT