Página traducida y verificada automáticamente. Prevalece la versión en inglés. Algunas partes siguen en inglés mientras se verifica su traducción. Ver en inglés · Informar un error de traducción
Digital Trust Common Framework · Edición 2026.1
Un solo lenguaje de controles para todos los marcos ante los que responde.
SOC 2, ISO 27001, NIST, PCI, HIPAA, GDPR y las normas de IA piden muchas de las mismas cosas con palabras diferentes. DTCF formula cada cosa una sola vez, como objetivo, y muestra exactamente dónde la exige cada marco, dónde solo lo hace en parte y dónde no dice nada en absoluto.
De uso gratuito bajo CC BY 4.0, con atribución.
Cómo leer DTCF
Un objetivo, 8 respuestas.
Todos los objetivos de DTCF funcionan de la misma manera. Este es uno de los 39, tal como lo registra el marco.
Autenticación robusta
La autenticación es proporcional al riesgo, con autenticación multifactor en los accesos administrativos y remotos.
Configuración de autenticación, informe de cobertura de MFA, excepciones.
El robo de credenciales sigue siendo el punto de entrada más común.
- SOC 2TotalCC6.1
- ISO 27001TotalA.8.5
- NIST CSFTotalPR.AA-03
- PCI DSSTotal8.4
- HIPAAParcial164.312(d) Autenticación de personas o entidades sin especificar factores.
- GDPRParcialArt. 32 Mediante medidas apropiadas.
- Ley de IA de la UEAusente No se aborda.
- NIST AI RMFAusente No se aborda a nivel de control.
Léalo así: construya el control una sola vez frente al objetivo, conserve la evidencia una sola vez y cite la cláusula por la que pregunte cada auditor. Cuando un marco es parcial, la nota indica lo que deja fuera. Cuando está ausente, se trata de un hallazgo sobre el marco, no de una brecha en su programa.
El mapa de cobertura
Los 39 objetivos frente a los 8 marcos.
Cada cuadrado es una correspondencia graduada. Pase el cursor para ver la cláusula o el motivo de la ausencia. Seleccione un objetivo para abrirlo.
Qué muestra el mapa
Tres cosas que la mayoría de los programas aprende por las malas.
SOC 2 y ISO 27001 se superponen casi por completo
Ambos abordan por completo los mismos 30 objetivos. Un equipo con un SOC 2 sin observaciones ya ejecuta la mayoría de los controles que exige el anexo A de ISO 27001. ISO también exige sus cláusulas de sistema de gestión, que DTCF no recoge; ahí se concentra la mayor parte del trabajo restante.
Su certificación de seguridad no dice nada sobre su IA
SOC 2, el anexo A de ISO 27001, PCI DSS y HIPAA no abordan ninguno de los 3 objetivos de IA. NIST CSF toca 2, solo en parte, mediante prácticas generales de activos y riesgos. La Ley de IA de la UE y el RMF de IA del NIST los cubren todos por completo.
Un núcleo común que todos los marcos exigen
Los 8 marcos abordan 16 objetivos, total o parcialmente, en gobernanza y rendición de cuentas, riesgo y decisiones, obligaciones y cumplimiento, datos y privacidad, operaciones seguras y más. Resuelva estos primero.
¿Ya está certificado?
Vea hasta dónde lo lleva un marco hacia otro.
Cada número indica cuántos objetivos de DTCF abordan por completo ambos marcos. Lea en horizontal desde lo que ya tiene y en vertical hacia lo que le pedirán a continuación. La diagonal es el total propio de cada marco.
Ejemplo: de PCI DSS (27 objetivos) a SOC 2, ya se comparten 25. De GDPR a la Ley de IA de la UE, solo 3.
| SOC 2 | ISO 27001 | NIST CSF | PCI DSS | HIPAA | GDPR | Ley de IA de la UE | NIST AI RMF | |
|---|---|---|---|---|---|---|---|---|
| SOC 2 | 31 | 30 | 29 | 25 | 20 | 8 | 6 | 18 |
| ISO 27001 | 30 | 30 | 29 | 25 | 19 | 8 | 6 | 17 |
| NIST CSF | 29 | 29 | 31 | 24 | 19 | 8 | 6 | 17 |
| PCI DSS | 25 | 25 | 24 | 27 | 16 | 8 | 5 | 14 |
| HIPAA | 20 | 19 | 19 | 16 | 22 | 8 | 6 | 12 |
| GDPR | 8 | 8 | 8 | 8 | 8 | 11 | 3 | 5 |
| Ley de IA de la UE | 6 | 6 | 6 | 5 | 6 | 3 | 10 | 8 |
| NIST AI RMF | 18 | 17 | 17 | 14 | 12 | 5 | 8 | 22 |
Los 8 marcos
Lo que cubre cada uno y lo que deja en sus manos.
31 total · 5 parcial · 3 ausente
Completo enGobernanza y rendición de cuentas, Obligaciones y cumplimiento, Identidad y acceso
No abordaIA y decisiones automatizadas
30 total · 6 parcial · 3 ausente
Completo enObligaciones y cumplimiento, Identidad y acceso, Operaciones seguras
No abordaIA y decisiones automatizadas
31 total · 6 parcial · 2 ausente
Completo enObligaciones y cumplimiento, Identidad y acceso, Operaciones seguras
27 total · 7 parcial · 5 ausente
Completo enDatos y privacidad, Identidad y acceso, Operaciones seguras
No abordaIA y decisiones automatizadas
22 total · 10 parcial · 7 ausente
Completo enGobernanza y rendición de cuentas, Resiliencia y respuesta
No abordaIA y decisiones automatizadas
11 total · 19 parcial · 9 ausente
Completo enDatos y privacidad, Terceros y cadena de suministro
10 total · 16 parcial · 13 ausente
Completo enIA y decisiones automatizadas
No abordaIdentidad y acceso
22 total · 10 parcial · 7 ausente
Completo enGobernanza y rendición de cuentas, Obligaciones y cumplimiento, IA y decisiones automatizadas
Las familias de 10
Todo lo que un programa de confianza debe lograr, en 10 partes.
Hay alguien que rinde cuentas, las decisiones se registran y el programa se dirige en lugar de improvisarse.
GOV-01Responsable de la confianza digitalGOV-02Conjunto de políticas aprobadoGOV-03Roles y responsabilidades definidosGOV-04Código de conducta y ratificación ética
La incertidumbre se identifica, se evalúa y se trata, y las aceptaciones vencen.
RSK-01Evaluación de riesgos realizada y repetidaRSK-02Registro de riesgos con responsables y tratamientoRSK-03Las aceptaciones vencenRSK-04Apetito de riesgo e indicadores
Las obligaciones aplicables se conocen, tienen responsable y se cumplen de forma demostrable.
OBL-01Inventario de obligacionesOBL-02Alcance decidido y documentadoOBL-03Formación y concienciación
Los datos se conocen, se clasifican, se minimizan, se comparten deliberadamente y se eliminan por completo.
DAT-01Inventario y clasificación de datosDAT-02Tratamiento lícito y minimizadoDAT-03Intercambio deliberado de datosDAT-04Eliminación completa
El acceso se concede deliberadamente, se revisa y se retira.
ACC-01Altas, cambios y bajasACC-02Acceso revisado periódicamenteACC-03Autenticación robustaACC-04Acceso privilegiado controlado
Se gestionan los cambios, la configuración, los registros, las vulnerabilidades y los dispositivos de punto final.
OPS-01Gestión de cambiosOPS-02Gestión de vulnerabilidadesOPS-03Registro y monitoreoOPS-04Protección de dispositivos y puntos finalesOPS-05Desarrollo seguro
Los terceros se evalúan, se contratan, se supervisan y se desvinculan.
TPR-01Inventario de tercerosTPR-02Diligencia debida proporcional al riesgoTPR-03Cláusulas contractuales y desvinculación
Los incidentes se detectan y se gestionan; la organización puede continuar y recuperarse.
RES-01Plan de respuesta a incidentes y rolesRES-02Notificación de violaciones de datos dentro del plazo legalRES-03Copias de seguridad que se pueden restaurarRES-04Objetivos de continuidad y recuperación
Los sistemas de IA se inventarían, evalúan, gobiernan y supervisan.
AIG-01Inventario de sistemas de IAAIG-02Riesgo de IA evaluado antes del despliegueAIG-03Supervisión humana y divulgación
Los controles tienen responsable, se prueban, se documentan con evidencia y se informan con honestidad.
ASR-01Los controles tienen responsableASR-02Las poblaciones están completasASR-03La evidencia está fechada, es atribuible y se conservaASR-04Pruebas e informes independientesASR-05Los hallazgos se cierran con evidencia
Úselo
Gratuito, abierto y suyo para desarrollarlo.
Descargue el marco completo, con cada correspondencia, cláusula y ausencia registrada, bajo CC BY 4.0. Úselo para delimitar una auditoría, planificar una segunda certificación o explicar a un directorio por qué un control cumple cinco requisitos.
- Delimite una auditoríaVea qué objetivos evalúa realmente un marco antes de que llegue el auditor.
- Planifique la próxima certificaciónParta de lo que comparten y construya solo la diferencia.
- Mapee sus propios controlesAsocie cada control a un objetivo una sola vez e informe frente a cualquier marco.
- Aprenda el trabajoCada familia enlaza con los cursos de la Academia que la enseñan.
Cómo se gobierna DTCF
Primera edición. Los objetivos son enunciados normalizados de lo que una organización debe lograr. Las correspondencias están graduadas: total, parcial o una ausencia registrada con el motivo de la ausencia. Una celda vacía es un hallazgo sobre el marco, no sobre el objetivo.
- autorAssociation of Digital Trust Practitioners Redacta y mantiene DTCF. El marco se publica gratuitamente bajo CC BY 4.0 y no está vinculado a ningún producto.
- colaborador patrocinadorUn colaborador patrocinador Un colaborador patrocinador de la edición 2026.1 aportó investigación y revisión de las correspondencias. Los patrocinadores no son propietarios de DTCF ni lo controlan; como cualquier proveedor, pueden declarar su conformidad con él.
DTCF 2026.1, published September 10, 2026. Framework names and references are the property of their publishers. DTCF is an independent mapping and is not endorsed by them. Corrections are welcome through the contact form and are published in the edition changelog.