Cumplimiento normativo (Security compliance)
En gobierno de la seguridad, el cumplimiento normativo es demostrar, ante auditores y reguladores, que una organización cumple un conjunto definido de controles. Es necesario, pero no es lo mismo que estar seguro: un sistema puede pasar una auditoría y seguir siendo explotable, y esa distancia es exactamente lo que mide una evaluación ofensiva.
Cómo funciona
El cumplimiento normativo mide a una organización contra una vara de medir externa: una norma como ISO 27001, una regulación como NIS2 o DORA, o un esquema con categorías definidas como el ENS. La organización identifica qué controles se le aplican, los implanta, registra cómo lo ha hecho y presenta esa evidencia a un auditor o a un organismo de supervisión, muchas veces anclada en un documento como la declaración de aplicabilidad, que dice qué controles están dentro del alcance y por qué. El resultado es un relato defendible de que los controles exigidos existen y funcionan. Gestionar todo ese esfuerzo como un sistema, y no como una lista de comprobación, es lo que hace un SGSI.
Qué sale mal
La trampa es tomar el certificado por el objetivo. El cumplimiento evidencia que un control está presente; no demuestra que ese control aguante a un atacante. Una política de contraseñas puede estar documentada y aplicada y aun así caer por kerberoasting; un cortafuegos puede estar dentro del alcance y auditado y aun así permitir el movimiento lateral que importa. Desde el lado ofensivo, comprometemos con regularidad parques con certificaciones en vigor, porque la auditoría preguntó si el control existía y no si funcionaba contra un adversario decidido. La distancia entre «podemos evidenciar este control» y «este control detiene el ataque» es justo donde vive el riesgo real, y el cumplimiento por sí solo no la cierra.
Dónde aparece esto en una auditoría
El cumplimiento y las pruebas ofensivas se encuentran en la evidencia. Varias normas y regulaciones exigen probar que los controles son eficaces, no solo que están, y un pentesting o un red team es la forma de producir esa prueba: la evaluación demuestra si el control aguanta de verdad, y el informe se convierte en evidencia que un auditor acepta. Redactamos los hallazgos contra las dos caras, el impacto técnico y la obligación normativa que tocan, para que el cliente cierre la brecha de seguridad y satisfaga al auditor con el mismo trabajo. Así es como las pruebas producen la evidencia que un auditor acepta.