Derechos de acceso claros
Todos los marcos preguntan quién puede acceder a qué y quién lo aprobó. Por eso la gestión de identidad y acceso es nuestro tema central: sin roles ni aprobaciones documentadas no puede demostrar el control de acceso.
Guía de las normas
¿Qué normas aplican a su TI?Los marcos principales de un vistazo
Muchas empresas oyen hablar de HIPAA, la FTC Safeguards Rule, SOC 2 o CMMC al mismo tiempo, a menudo por un cuestionario de un cliente. Con frecuencia no está claro cuál aplica y qué significa para la TI. Esta página ordena seis normas y marcos habituales y muestra dónde se superponen. Después sabrá qué preguntas debe aclarar y dónde podemos encargarnos nosotros del trabajo técnico.
Seis marcos con un núcleo común
Estas normas vienen de direcciones distintas. HIPAA protege los datos de pacientes en la atención médica. La FTC Safeguards Rule, basada en la Gramm-Leach-Bliley Act, cubre a instituciones financieras no bancarias, como prestamistas y preparadores de impuestos. CMMC aplica a los contratistas del Department of Defense, y FDA 21 CFR Part 11 a los registros electrónicos en empresas reguladas por la FDA. SOC 2 no es una ley, sino un informe de auditoría que piden los clientes, y el NIST Cybersecurity Framework es un marco voluntario que muchas empresas usan para organizar su seguridad.
En la TI piden muchas de las mismas cosas. ¿Quién puede acceder a qué, se pueden restaurar los datos tras una caída, se pueden rastrear los cambios y puede usted demostrar todo esto? Si construye estas bases una sola vez y las documenta bien, cubre a la vez una gran parte de varios marcos.
Los marcos comparados
Este resumen no sustituye una revisión legal de su situación, pero muestra por dónde empezar.
| HIPAA Security Rule | Aplica a planes de salud, centros de intercambio de información de salud (clearinghouses) y proveedores de atención médica que transmiten información de salud de forma electrónica en transacciones estándar, y a sus socios comerciales (business associates), incluidos los proveedores de TI. Obligaciones clave de TI: análisis de riesgos documentado, controles de acceso, controles de auditoría, integridad y seguridad en la transmisión, plan de contingencia con respaldos y Business Associate Agreements. |
| FTC Safeguards Rule (GLBA) | Aplica a instituciones financieras no bancarias bajo la jurisdicción de la FTC, como corredores hipotecarios, financieras, agencias de cobranza y firmas de preparación de impuestos. Obligaciones clave de TI: programa escrito de seguridad de la información con una persona calificada (Qualified Individual), evaluación de riesgos escrita, autenticación multifactor, cifrado, pruebas periódicas y notificación a la FTC dentro de los 30 días posteriores a una filtración que afecte a 500 consumidores o más. |
| SOC 2 | No es una ley. Es un informe de atestación de una firma independiente de contadores públicos (CPA) según los AICPA Trust Services Criteria, que normalmente los clientes piden a sus proveedores de servicios. El Type 1 evalúa el diseño de los controles en un momento dado; el Type 2 además comprueba si los controles funcionaron durante un período. Obligaciones clave de TI: controles documentados y operativos para la seguridad y, según se elija, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. |
| CMMC 2.0 | Aplica a contratistas y subcontratistas del Department of Defense que manejan Federal Contract Information o Controlled Unclassified Information. Desde el 10 de noviembre de 2025 los contratos nuevos exigen autoevaluaciones. Las evaluaciones de terceros de la Fase 2 se suspendieron el 13 de julio de 2026 mientras se realiza una revisión. Obligaciones clave de TI: Level 1 con 15 requisitos básicos, Level 2 con los 110 requisitos de NIST SP 800-171. |
| FDA 21 CFR Part 11 | Aplica a empresas reguladas por la FDA, como fabricantes de medicamentos, productos biológicos y dispositivos, cuando los registros exigidos por las normas de la FDA se guardan o firman de forma electrónica. Obligaciones clave de TI: sistemas validados, registros de auditoría seguros y con marca de tiempo, acceso limitado a personas autorizadas, verificación de autoridad, protección de los registros durante el período de conservación y control de la documentación del sistema. |
| NIST Cybersecurity Framework 2.0 | Marco voluntario para organizaciones de cualquier tamaño y sector, publicado por el NIST el 26 de febrero de 2024. Organiza la seguridad en seis funciones: Govern, Identify, Protect, Detect, Respond y Recover. Obligaciones clave de TI: ninguna por ley, pero es una base habitual para programas de seguridad y cuestionarios de clientes. |
Una empresa puede estar sujeta a varias de estas normas a la vez. Las leyes estatales añaden más: todos los estados tienen una ley de notificación de filtraciones de datos, y algunos, como Nueva York con 23 NYCRR Part 500 para las entidades autorizadas por su Department of Financial Services, fijan sus propios requisitos de seguridad.
Lo que todas exigen
Inicio de sesión seguro
Autenticación multifactor para todas las cuentas, incluidos directivos y personal de campo, y cuentas separadas para tareas de administración. Las excepciones son lo primero que nota un auditor.
Respaldos probados
Un respaldo solo cuenta cuando se ha probado una restauración y se ha documentado el resultado. HIPAA, la FTC Safeguards Rule y Part 11 esperan que los datos se puedan recuperar.
Cambios rastreables
¿Quién cambió qué, cuándo y quién lo aprobó? Los registros y un proceso de cambios ordenado responden a esta pregunta antes de que la haga un auditor.
Un plan para incidentes
Tras una filtración empiezan a correr los plazos de notificación, por ejemplo 30 días ante la FTC según la Safeguards Rule. Quién decide, quién notifica y qué datos técnicos se necesitan debe estar definido antes de que ocurra.
Pruebas que puede mostrar
No basta con estar seguro: tiene que poder demostrarlo. Documentamos mientras implementamos, así que al final tiene registros que puede entregar a un auditor, inspector o cliente.
Cómo averiguar qué le aplica
- 01
Security Readiness Check
Empiece con nuestro Security Readiness Check, una evaluación gratuita. Le da una primera visión de dónde está su TI y qué marcos probablemente son relevantes para usted.
- 02
Llamada inicial
En 20 minutos, por Teams o por teléfono, hablamos de su situación, de los requisitos de sus clientes y de los plazos que tenga por delante.
- 03
Análisis de brechas
En la evaluación de seguridad, desde $7,900, comparamos su TI con los requisitos que le aplican. Recibe un informe escrito con medidas ordenadas por riesgo y esfuerzo, y el importe se acredita a un proyecto posterior.
- 04
Implementación y pruebas
Implementamos las medidas mientras su negocio sigue funcionando y le entregamos documentación que le pertenece.
Nuestro papel y el de sus asesores legales y auditores
Nosotros nos encargamos de la implementación técnica y de las pruebas. Si una norma le aplica legalmente lo decide su asesor legal, las opiniones de SOC 2 las emiten firmas independientes de CPA y las notificaciones a los reguladores las hace su empresa. Trabajamos con abogados, auditores y socios de validación y les damos la información técnica que necesitan.
De nuestros proyectos
Proveedor industrial, internacional · 2,000 usuarios
Implementación de una solución de gestión de identidad y acceso en un proveedor industrial internacional y familiar en Alemania. El proyecto incluyó la reorganización de las carpetas compartidas y un restablecimiento de contraseñas que los usuarios pueden hacer por sí mismos.
Resultado: La mesa de ayuda tiene más tiempo: los usuarios restablecen sus propias contraseñas y los tickets por contraseñas bajaron de casi 300 a 10 por semana.
Actualizado:
FAQ
Preguntas frecuentes
¿Qué norma aplica a mi empresa?
Depende de su industria, de los datos que maneja y de sus clientes. Los consultorios médicos y sus proveedores de TI están sujetos a HIPAA; los preparadores de impuestos y muchos prestamistas no bancarios, a la FTC Safeguards Rule; los proveedores del Department of Defense, a CMMC; y los fabricantes regulados por la FDA, a 21 CFR Part 11 para los registros electrónicos. SOC 2 y el NIST Cybersecurity Framework no son leyes, pero los clientes los piden con frecuencia. Su asesor legal confirma qué le aplica.
¿Puede una empresa estar sujeta a varias normas?
Sí, es habitual. Un fabricante de dispositivos médicos que suministra al Department of Defense puede tener que cumplir a la vez Part 11, la QMSR y CMMC. Como los requisitos técnicos se superponen mucho, planificamos las medidas para que una misma prueba sirva para varios marcos.
¿SOC 2 es una certificación?
No. SOC 2 es un informe de atestación que emite una firma independiente de CPA según las normas del AICPA. Un informe Type 1 cubre el diseño de los controles en un momento dado, y un informe Type 2 cubre además si funcionaron durante un período, a menudo varios meses. Le ayudamos a preparar los controles y las pruebas, y la firma de CPA emite el informe.
¿Puede un proveedor de TI tener una certificación HIPAA?
No. El HHS no respalda ni reconoce certificaciones privadas de HIPAA. Lo que cuenta es un Business Associate Agreement firmado y medidas de protección acordes con su análisis de riesgos. Firmamos un Business Associate Agreement con cada cliente sujeto a HIPAA.
¿En qué situación está CMMC en 2026?
Desde el 10 de noviembre de 2025, los contratos nuevos del Department of Defense pueden exigir autoevaluaciones de CMMC Level 1 o Level 2. El 13 de julio de 2026, el DoD suspendió la Fase 2, que habría exigido evaluaciones de terceros de Level 2 a partir del 10 de noviembre de 2026, e inició una revisión del programa. Las autoevaluaciones y los requisitos de NIST SP 800-171 en los contratos existentes siguen vigentes. Consulte la situación actual antes de planificar.
No estamos regulados. ¿Aun así tenemos que hacer algo?
A menudo sí, porque los clientes regulados trasladan sus requisitos a sus proveedores y prestadores de servicios. Los cuestionarios de seguridad, las solicitudes de SOC 2 y las cláusulas contractuales son la vía más común por la que estas normas llegan a las empresas más pequeñas. El NIST Cybersecurity Framework es una buena base para responderlos.
¿Ustedes hacen la evaluación legal?
No, la evaluación vinculante la hace su asesor legal. Nosotros explicamos los requisitos técnicos, los implementamos y entregamos la documentación que necesitan abogados y auditores.
¿Por dónde empezamos?
Con un análisis de brechas que muestre dónde está hoy su TI. Forma parte de nuestra evaluación de seguridad, desde $7,900, y el importe se acredita a un proyecto posterior.
Cumplimiento
Aclaremos qué le aplica a usted
Cuéntenos su situación en 20 minutos. Después sabrá qué normas debe tener en cuenta y qué significan para su TI.