Mapa rápido: qué aplica a qué
| Norma | Qué es | Cuándo te la piden |
|---|---|---|
| ISO/IEC 27001 | Certificación del sistema de gestión de seguridad de la empresa | Clientes corporativos y gobierno; licitaciones |
| SOC 2 | Informe de auditor sobre controles de un proveedor de servicios | Clientes en Estados Unidos; software como servicio |
| PCI DSS | Estándar obligatorio si almacenas, procesas o transmites datos de tarjeta | Bancos, adquirentes y pasarelas de pago |
| OWASP Top 10 / ASVS | Guías técnicas de seguridad de aplicaciones (no certifican) | Pruebas de penetración y cuestionarios de seguridad |
| LFPDPPP | Ley mexicana de protección de datos personales | Siempre que trates datos de personas |
| NOM-151-SCFI-2016 | Conservación de mensajes de datos y digitalización | Contratos, expedientes y documentos con valor legal |
ISO/IEC 27001:2022
Certifica que la empresa tiene un sistema de gestión de seguridad de la información (SGSI): identifica riesgos, aplica controles y los revisa de forma continua. La versión 2022 organiza 93 controles de su Anexo A en cuatro temas: organizacionales, de personas, físicos y tecnológicos. El periodo de transición desde la versión 2013 terminó el 31 de octubre de 2025, por lo que los certificados vigentes ya deben estar en la versión 2022.
Lo que se prepara: alcance del SGSI, análisis de riesgos, declaración de aplicabilidad, políticas, inventario de activos, gestión de accesos, respaldos, continuidad del negocio y auditorías internas. La certifica un organismo acreditado en dos etapas, con auditorías de seguimiento anuales.
SOC 2
Es un informe emitido por un contador público independiente bajo el marco del AICPA. Evalúa controles según los Criterios de Servicios de Confianza: seguridad (obligatorio), disponibilidad, integridad de procesamiento, confidencialidad y privacidad.
- Tipo I: evalúa el diseño de los controles en una fecha.
- Tipo II: evalúa que los controles funcionaron durante un periodo (normalmente de 3 a 12 meses). Es el que piden los clientes grandes.
PCI DSS v4.0.1
Si tu plataforma cobra con tarjeta, aplica PCI DSS. La versión vigente es la 4.0.1, y los requisitos que estaban programados a futuro se volvieron obligatorios el 31 de marzo de 2025. Para comercio electrónico destacan dos: inventariar y autorizar cada script de la página de pago (requisito 6.4.3) y detectar cambios no autorizados en esa página (11.6.1), por ejemplo con Content Security Policy y Subresource Integrity.
La mejor estrategia es reducir el alcance: usa campos o páginas de pago alojados por la pasarela y nunca almacenes el número de tarjeta. Así el cumplimiento suele resolverse con un cuestionario de autoevaluación (SAQ) en lugar de una auditoría completa.
OWASP Top 10 2025 y ASVS
OWASP publica la lista de los riesgos más críticos en aplicaciones web. La edición 2025 es:
- Control de acceso roto
- Configuración de seguridad incorrecta
- Fallas en la cadena de suministro de software
- Fallas criptográficas
- Inyección
- Diseño inseguro
- Fallas de autenticación
- Fallas de integridad de software o datos
- Fallas en registro y alertamiento de seguridad
- Manejo incorrecto de condiciones excepcionales
El ASVS (Application Security Verification Standard) convierte esos riesgos en requisitos verificables por niveles. Es la mejor base para un contrato de desarrollo seguro y para una prueba de penetración: «la aplicación cumple ASVS nivel 2» es un compromiso concreto y auditable.
Ley de datos personales 2025 (LFPDPPP)
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el día siguiente. Con la desaparición del INAI, la autoridad ahora es la Secretaría Anticorrupción y Buen Gobierno. Para un portal o webapp implica:
- Aviso de privacidad integral y simplificado, actualizados a la nueva ley, visibles en el sitio y en la app.
- Consentimiento para las finalidades que lo requieren, especialmente con datos sensibles.
- Derechos ARCO (acceso, rectificación, cancelación y oposición) con un procedimiento claro para atenderlos.
- Medidas de seguridad administrativas, técnicas y físicas, y confidencialidad de empleados y proveedores.
- Bloqueo y supresión de datos al terminar su plazo de conservación.
NOM-151: conservación de mensajes de datos
La NOM-151-SCFI-2016 establece cómo conservar documentos electrónicos para que mantengan su integridad y valor probatorio. Se obtiene una constancia de conservación emitida por un Prestador de Servicios de Certificación (PSC) acreditado por la Secretaría de Economía. Es relevante en plataformas que generan contratos, expedientes de clientes, firmas electrónicas o documentos digitalizados.
Controles para bases de datos
- Cifrado en tránsito (TLS) y en reposo; cifrado adicional por campo para datos sensibles.
- Cuentas con el mínimo privilegio: la aplicación no se conecta como administrador.
- Sin acceso público: la base de datos sólo es alcanzable desde la red de la aplicación.
- Respaldos automáticos, cifrados, fuera del sitio y probados con restauraciones periódicas.
- Bitácora de accesos y de consultas administrativas.
- Datos de prueba anonimizados: nunca copiar producción a desarrollo tal cual.
Más detalle en nuestra guía de seguridad de bases de datos.
Ruta práctica en 90 días
- Semanas 1–2: inventario de sistemas, datos y proveedores; definir qué normas aplican.
- Semanas 3–6: controles técnicos básicos: autenticación de dos factores, permisos por rol, cifrado, respaldos probados, registros centralizados.
- Semanas 7–10: políticas, aviso de privacidad actualizado, procedimiento ARCO y plan de respuesta a incidentes.
- Semanas 11–13: prueba de penetración con base en OWASP ASVS y corrección de hallazgos.
Con esa base, una certificación ISO 27001 o un informe SOC 2 se vuelven un trámite de evidencia, no un proyecto desde cero. En Forespot diseñamos plataformas con estos controles desde el inicio. Platiquemos.
Preguntas frecuentes
¿Qué certificación de seguridad necesita mi webapp?
Depende de tus clientes: ISO 27001 para corporativos y gobierno en México, SOC 2 para clientes en Estados Unidos y PCI DSS si manejas datos de tarjeta. OWASP ASVS sirve como estándar técnico para cualquier aplicación.
¿OWASP es una certificación?
No. OWASP publica guías abiertas como el Top 10 y el ASVS. No certifica, pero son la referencia para pruebas de penetración y contratos de desarrollo seguro.
¿Qué cambió con la ley de datos personales de 2025?
Se publicó una nueva LFPDPPP el 20 de marzo de 2025; la autoridad pasó del INAI a la Secretaría Anticorrupción y Buen Gobierno y se actualizaron requisitos del aviso de privacidad y derechos ARCO.
¿Cómo reduzco el alcance de PCI DSS?
Usando formularios o páginas de pago alojados por la pasarela, sin almacenar números de tarjeta y controlando los scripts de la página de pago.