De la Política APF al control técnico
Los 8 ejes estratégicos traducidos a controles operativos, evidencia auditable y mapping a frameworks NIST CSF 2.0, ISO 27001, CIS Controls y NIST SP 800-207.
Los 8 ejes estratégicos: detalle operativo
La Política General de Ciberseguridad APF organiza la implementación en 8 ejes. Cada uno con framework de referencia, evidencia auditable y servicio QMA que lo cubre.
Eje 1 — Gobernanza, marco normativo y cumplimiento
Qué exige: RIC distinto del titular de TI. Plan Institucional de Ciberseguridad aprobado.
Framework: NIST CSF 2.0 GV · ISO 27001 Cl. 5
Evidencia: Nombramiento RIC notificado a ATDT. Plan firmado.
Servicio QMA: GRC
Eje 2 — Gestión de riesgos y resiliencia operativa
Qué exige: Inventario de activos por criticidad. Metodología ISO 31000 / NIST 800-30. Plan GRC-CO, BIA con RTO/RPO y respaldos inmutables 3-2-1-1-0.
Framework: NIST CSF 2.0 ID.RA, ID.AM · ISO 27001 Cl. 6.1 · CIS C1
Evidencia: Reportes de escaneo. Registro de remediación con SLAs.
Servicio QMA: VM
Eje 3 — Protección de infraestructura crítica y activos tecnológicos
Qué exige: Hardening, cifrado en tránsito/reposo, EDR/XDR, SBOM, SPF/DKIM/DMARC y remediación de vulnerabilidades críticas en ≤15 días.
Framework: NIST CSF 2.0 PR.DS, PR.PS · CIS C3, C12
Evidencia: Logs de tráfico. Políticas DLP activas. Reportes shadow IT.
Servicio QMA: iboss Zero Trust SASE
Eje 4 — Prevención, detección y respuesta a incidentes
Qué exige: Monitoreo continuo (CSOC Nacional Federado). Reporte de incidentes críticos al CSIRT Nacional-APF en ≤24 horas. Playbooks y mesa de crisis.
Framework: NIST CSF 2.0 DE.CM, RS.RP, RS.CO · CIS C17
Evidencia: Logs. MTTD/MTTR. Notificaciones CSIRT. Post-mortems.
Eje 5 — Identidad, accesos y Zero Trust
Qué exige: IAM (ciclo de vida de identidades). MFA resistente a phishing. Zero Trust con mínimo privilegio. PAM y ZTNA a aplicaciones.
Framework: NIST 800-207 · NIST CSF 2.0 PR.AA · CIS C5, C6
Evidencia: Políticas de acceso. Sesiones PAM. Cobertura MFA.
Servicio QMA: IAM/PAM · Zero Trust
Eje 6 — Cadena de suministro y terceros confiables
Qué exige: Requisitos contractuales mínimos y cláusulas de auditoría. Gestión de riesgos de terceros: onboarding Zero Trust/PAM y offboarding con revocación y borrado.
Framework: NIST CSF 2.0 GV.SC · ISO 27001 A.15 · CIS C15
Evidencia: Matrices de riesgo proveedor. Cláusulas contractuales firmadas.
Eje 7 — Capacidades técnicas, talento humano y cultura
Qué exige: Curso obligatorio de ciberseguridad para toda persona servidora pública. Formación por rol. Simulaciones anti-phishing y métricas de riesgo humano.
Framework: NIST CSF 2.0 PR.AT · CIS C14 · ISO 27001 Cl. 7.2/7.3
Evidencia: Capacitación con asistencia. Tasas de click/reporte.
Eje 8 — Innovación, evidencia y mejora continua
Qué exige: Modelo de Madurez de 5 niveles obligatorio (línea base 2025, evaluaciones anuales). Cuadro Nacional de Indicadores. Mejora continua.
Framework: NIST CSF 2.0 GV.OC, ID.IM · ISO 27001 Cl. 10 · CMM/CMMI
Evidencia: SoA. Tratamiento de riesgos. KPIs con tendencia.
Mapping: mandato APF → control técnico → framework
Cada mandato de la Política APF se traduce a un control técnico específico de un framework reconocido. Tabla de prioridad para construir la hoja de ruta.
| Mandato Política APF | Control técnico | Framework | Prioridad |
|---|---|---|---|
| Inventario de activos críticos | Asset Management (ID.AM-1, ID.AM-2) | NIST CSF 2.0 | Alta — prerequisito |
| Gestión de identidades y accesos | AC-2 Account Management, IA-2 MFA | NIST 800-53 | Alta |
| Monitoreo continuo | DE.CM Continuous Monitoring | NIST CSF 2.0 | Alta |
| Respuesta a incidentes (<24h) | RS.RP Response Planning, RS.CO Communication | NIST CSF 2.0 | Crítica |
| Protección de datos personales | PR.DS Data Security | NIST CSF 2.0 | Alta |
| Capacitación y concientización | PR.AT Awareness and Training | NIST CSF 2.0 | Media-alta |
| Control de acceso privilegiado | CIS Control 5/6, AC-6 Least Privilege | CIS v8 / NIST 800-53 | Alta |
| Evaluación de riesgos | GV.RM Risk Management Strategy | NIST CSF 2.0 | Alta — prerequisito |
| Zero Trust | ZTA completa (NIST SP 800-207) | NIST 800-207 | Estratégica |
| Evaluación de proveedores | GV.SC Supply Chain Risk Management | NIST CSF 2.0 | Media |
Estos mappings son proyecciones informadas basadas en las referencias explícitas del documento DOF. El plazo de los lineamientos ATDT venció el 15-jun-2026 sin publicación; definirán los controles definitivos cuando se emitan.
Plan de acción: primeros 90 días
Seis movimientos concretos que la mayoría de organizaciones pueden ejecutar en 90 días: la Política ya es obligatoria y los lineamientos ATDT siguen pendientes.
Semana 1-2: Diagnóstico 360°
Revisión de madurez en identidad, red, endpoints, datos y factor humano. Mapeo contra Zero Trust y los pilares del Plan.
Semana 3-4: Mapa de activos
Identificación de sistemas críticos, dependencias y puntos únicos de falla. Priorización por impacto para negocio y auditores.
Semana 5-6: Zero Trust y SASE
Definición de arquitectura objetivo: acceso por aplicación, inspección SSL, CASB/DLP con iboss Zero Trust SASE.
Semana 7-8: Vulnerabilidades
Implementación o fortalecimiento con Tenable One. Integración de escaneos con procesos de cambio y operación.
Semana 9-10: Capacitación
Campañas de concientización y simulaciones de phishing. Métricas de riesgo humano para demostrar avance ante auditores.
Semana 11-12: Simulacro
Table-top o simulacro técnico de incidente mayor. Revisión de roles, tiempos de respuesta y comunicación.
¿Listo para iniciar?
QMA acompaña la implementación completa: desde el diagnóstico inicial hasta la evidencia auditable que los lineamientos ATDT exigirán.