Saltar al contenido
toevan
Iniciar sesiónReserve un piloto de auditoría
Abrir menúCerrar menú
Reserve un piloto de auditoría

Marcos y mapas de controles

Cada control, mapeado con honestidad.

Reserve un piloto de auditoríaVer un informe de muestra
  • 503 controles en 7 ediciones del catálogo
  • Activo, v1.4.0, planificado y suyo, nunca mezclados
  1. Evidencia de código hoy55 controles de 7 marcos reciben evidencia parcial en cada pull request.
  2. Evidencia de proceso en v1.4.09 más a partir de fusiones, aprobaciones, checks obligatorios y cambios de reglas.
  3. La parte de su organización, a la vistaLos 367 controles que el software no puede evidenciar se enumeran completos, no se omiten.

Cada marco, de un vistazo

Un segmento por control de software, coloreado según cómo aporta Toevan evidencia para él. Los controles de política, personas y físicos que ninguna herramienta de código puede evidenciar se anotan bajo cada marco y se listan completos en su página.

MarcoMapa de controlesActivoPróximamente en v1.4.0PlanificadoControles que el código puede evidenciarDe apoyo
SOC 2Trust Services Criteria (2017)717151
+45 controles de política, personas y físicos (61 en total). Ninguna herramienta de código los evidencia; todos los informes los listan.
ISO/IEC 270012022, Annex A11510262
+65 controles de política, personas y físicos (93 en total). Ninguna herramienta de código los evidencia; todos los informes los listan.
PCI DSSv4.010115261
+36 controles de política, personas y físicos (63 en total). Ninguna herramienta de código los evidencia; todos los informes los listan.
FedRAMP ModerateRev 5, NIST SP 800-53B14221374
+136 controles de política, personas y físicos (177 en total). Ninguna herramienta de código los evidencia; todos los informes los listan.
HIPAA45 CFR Part 16480084
+30 controles de política, personas y físicos (42 en total). Ninguna herramienta de código los evidencia; todos los informes los listan.
GDPRReglamento (UE) 2016/67930032
+35 controles de política, personas y físicos (40 en total). Ninguna herramienta de código los evidencia; todos los informes los listan.
DORAReglamento (UE) 2022/255420461
+20 controles de política, personas y físicos (27 en total). Ninguna herramienta de código los evidencia; todos los informes los listan.

Toevan aporta evidencia para controles; nunca los certifica ni afirma que un marco esté cubierto. Si la evidencia es suficiente lo juzga su auditor.

Del Toevan Control Map, calculado el 24 oct 2026 a partir del catálogo de marcos del producto y la cobertura de requisitos de cada blueprint publicado.

Qué significa cada estado

Activo
Evidencia de código hoy, sellada en cada pull request. Siempre parcial: el control también exige cosas fuera del código.
Próximamente en v1.4.0
Evidencia de proceso: pull requests fusionados, aprobaciones, checks obligatorios, protección de ramas, rulesets y bypasses, sellada por cada cambio.
De apoyo
Toevan registra evidencia relacionada, hoy o en v1.4.0, pero la obligación es organizativa, así que nunca cuenta como cubierta.
Planificado
Se puede evidenciar desde el código o GitHub. La regla o el mapeo aún no están construidos.
Su organización
Política, personas, seguridad física, contratos, trámites regulatorios, operaciones o auditoría externa. Su organización aporta la evidencia.

Mapas de controles

  • SOC 2

    Trust Services Criteria (2017)

    Evidencia de código hoy para los criterios de acceso, perímetro y datos confidenciales; aprobaciones de cambios con evidencia de proceso en v1.4.0.

    Evidencia de código hoy 7

    • CC6.1
    • CC6.3
    • CC6.6
    • CC6.7
    • CC7.2
    • C1.1
    • C1.2

    Evidencia de proceso, v1.4.0 1

    • CC8.1

    61 controles

  • ISO/IEC 27001

    2022, Annex A

    Evidencia de código hoy para once controles del Annex A; evidencia de cambios, acceso al código y configuración en v1.4.0.

    Evidencia de código hoy 11

    • A.5.15
    • A.5.17
    • A.8.2
    • A.8.3
    • A.8.5
    • A.8.8
    • A.8.12
    • A.8.20
    • A.8.22
    • A.8.24
    • A.8.28

    Evidencia de proceso, v1.4.0 5

    • A.8.4
    • A.8.9
    • A.8.25
    • A.8.29
    • A.8.32

    93 controles

  • PCI DSS

    v4.0

    Evidencia de código hoy para datos de tarjeta almacenados y en tránsito, secretos, acceso y código seguro; aprobación de cambios en v1.4.0.

    Evidencia de código hoy 10

    • Req.1.3
    • Req.3.3
    • Req.3.5
    • Req.3.6
    • Req.4.2
    • Req.6.2
    • Req.6.3
    • Req.7.2
    • Req.7.3
    • Req.8.6

    Evidencia de proceso, v1.4.0 1

    • Req.6.5

    63 controles

  • FedRAMP Moderate

    Rev 5, NIST SP 800-53B

    Evidencia de código hoy para catorce controles, desde la aplicación del acceso hasta la protección en reposo; control de cambios de configuración en v1.4.0.

    Evidencia de código hoy 14

    • AC-2
    • AC-3
    • AC-4
    • AC-6
    • AU-2
    • AU-12
    • CM-2
    • CM-6
    • IA-5
    • SA-11
    • SC-7
    • SC-8
    • SC-28
    • SI-2

    Evidencia de proceso, v1.4.0 2

    • CM-3
    • SA-10

    177 controles

  • HIPAA

    45 CFR Part 164

    Evidencia de código para las salvaguardas técnicas y los requisitos de uso y divulgación de la Privacy Rule, donde residen en el código.

    Evidencia de código hoy 8

    • 164.308(a)(4)
    • 164.312(a)(1)
    • 164.312(b)
    • 164.312(c)(1)
    • 164.312(d)
    • 164.312(e)(1)
    • 164.502
    • 164.514

    Evidencia de proceso, v1.4.0 0

    Ninguno mapeado

    42 controles

  • GDPR

    Reglamento (UE) 2016/679

    Evidencia de código para los principios del tratamiento, la protección de datos desde el diseño y la seguridad del tratamiento.

    Evidencia de código hoy 3

    • Art.5
    • Art.25
    • Art.32

    Evidencia de proceso, v1.4.0 0

    Ninguno mapeado

    40 controles

  • DORA

    Reglamento (UE) 2022/2554

    Evidencia de código para protección y prevención y para detección, reforzada por evidencia de gestión de cambios en v1.4.0.

    Evidencia de código hoy 2

    • Art.9
    • Art.10

    Evidencia de proceso, v1.4.0 0

    Ninguno mapeado

    27 controles

  • ¿Otro marco?

    NIS2, un conjunto de controles interno o una norma sectorial: la evidencia es la misma, solo cambia el mapeo.

    Solicitar un mapeo

El proceso de su organización

Lo que el software no puede evidenciar queda en sus manos y en las de sus otras herramientas. Cada informe lo enumera, para que un resultado limpio nunca se lea como más de lo que es.

  • una política de la organización122
  • un proceso operativo113
  • seguridad física48
  • contratos y proveedores25
  • un asunto de personas y RR. HH.23
  • un trámite regulatorio23
  • una evaluación externa13

367 controles en todo el catálogo

En la hoja de ruta

Planificado. Todavía no está en el producto.

  • DORA RTS sobre gestión del riesgo de TICPlanificadoReglamento Delegado (UE) 2024/1774Art. 17 gestión de cambios de TIC con evidencia de proceso; Art. 16 desarrollo y mantenimiento con evidencia de código.
  • NIST SSDFPlanificadoSP 800-218 v1.1Prácticas de desarrollo seguro, a partir de blueprints, revisiones y comprobaciones de dependencias.
  • SLSAPlanificadoespecificación v1 (OpenSSF)Pista de código fuente a partir de ramas protegidas y revisión de dos partes; procedencia de compilación planificada.
  • OWASP Top 10Planificado2021Reglas asignadas a las categorías que se pueden comprobar en el código.
  • Ley de Ciberresiliencia de la UEPlanificadoReglamento (UE) 2024/2847Componentes, exportación de SBOM y gestión de vulnerabilidades.

Ponga a prueba el mapeo en una auditoría real.

Traiga un repositorio y una auditoría próxima. Configuraremos el blueprint y guiaremos a su auditor por la verificación.

Reserve un piloto de auditoríaVer un informe de muestra