> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-es/proteger-y-gobernar/overview/compliance-and-audit-readiness.md).
# Primeros pasos
Preparación automática para auditorías con Dispel para los controles NERC CIP, NIST 800-53 y NIS2.
## Primeros pasos
Producir un paquete de Cumplimiento de Dispel es un flujo de trabajo de cuatro etapas:
1. [**Seleccione**](#step-1-select-a-framework) el marco o marcos frente a los que informa tu organización.
2. [**Evaluar**](#step-2-assess-dispels-coverage) la cobertura de Dispel frente a la configuración actual de tu tenant.
3. [**Revisar**](#step-3-review-coverage-and-close-gaps) qué controles cubre Dispel, identificar cualquier brecha de cobertura y usar el simulador para planificar cambios de configuración que las cierren.
4. [**Exportar**](#step-4-export-the-inheritance-package) la Definición de Componente OSCAL y el informe en PDF y entregarlos a tu equipo de GRC o auditor.
***
#### Paso 1: Selecciona un marco
Seleccionar un marco le indica a Dispel con qué vocabulario de control expresar su cobertura. La mayoría de las organizaciones selecciona el marco del que trabaja su auditor o autoridad competente. Puedes tener varios marcos activos a la vez, lo cual es útil cuando la misma implementación de Dispel se audita frente a más de un régimen normativo.
1. En la barra lateral izquierda, navega a la pestaña **Configuración**.
2. Abra la **Cumplimiento** .
3. Haga clic en **Agregar marco**.
4. Selecciona un **catálogo** (p. ej., *NIST SP 800-53 Rev 5*).
5. Selecciona un **perfil** o **línea base** (p. ej., *Moderado*). Los perfiles reducen un catálogo al subconjunto de controles requeridos en un nivel de impacto dado.
6. Haga clic en **Añadir**.
El marco aparece de inmediato en tu lista de marcos activos. Dispel comienza a evaluar su cobertura en segundo plano y el panel se completa a medida que los evaluadores terminan.
{% hint style="info" %}
Agregar varios marcos **no** duplica el trabajo. Dispel produce un único conjunto de evidencias sobre su propia implementación y lo reexpresa a través de cada marco activo. Agregar NIST CSF encima de NIST 800-53 reutiliza la misma evidencia subyacente.
{% endhint %}
**Eliminar un marco**
Para eliminar un marco activo, haz clic en el icono de la papelera junto a él en la lista de marcos activos. Eliminar un marco borra su tarjeta de puntuación, pero no afecta a ningún otro marco activo ni al registro de evidencia subyacente. **Puedes volver a agregar fácilmente los marcos eliminados sin perder nada de tu historial.**
***
#### Paso 2: Evalúa la cobertura de Dispel
**Evaluación automatizada**
Dispel incluye una biblioteca de **evaluadores de controles** que comprueban si Dispel —dada la configuración actual de tu tenant— implementa cada control dentro del alcance. Por ejemplo: `¿se aplica MFA en este tenant?`, `¿está habilitada la grabación de sesiones?`, `¿la política de contraseñas cumple el umbral del marco?`, y `¿hay atestaciones de proveedores archivadas?`. Cada evaluador se asigna a uno o más controles en cada marco activo.
Para ejecutar una evaluación:
1. Navega a **Configuración** > **Cumplimiento**.
2. Abre el marco que deseas evaluar.
3. Haga clic en **Ejecutar evaluación**.
Los resultados de la evaluación se almacenan con una marca de tiempo. Cada control recibe uno de los siguientes estados, que describe la implementación de ese control por parte de Dispel en tu tenant:
| Estado | Significado |
| ---------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Implementado** | Dispel implementa completamente este control en tu tenant. Puedes heredarlo. |
| **Falló** | Dispel no **no** implementa actualmente este control en tu tenant, normalmente porque es necesario cambiar una configuración de Dispel. No puedes heredarlo tal como está configurado. |
| **No evaluado** | No se ejecuta ningún evaluador automatizado para este control, o los evaluadores aún no han finalizado. |
| **No aplicable** | El control queda fuera del alcance de Dispel (por ejemplo, la seguridad física en tus instalaciones) y la herencia desde Dispel no aplica. |
{% hint style="info" %}
Las evaluaciones no son destructivas y son de solo lectura. Observan la configuración de Dispel; nunca modifican tu tenant.
{% endhint %}
***
#### Paso 3: Revisa la cobertura y cierra brechas
El panel de Cumplimiento es tu espacio de trabajo diario para entender qué cubre Dispel en tu tenant y dónde puede mejorarse la cobertura.
**Tarjeta de puntuación**
Cada marco activo tiene una tarjeta de puntuación que muestra el porcentaje de controles dentro del alcance que Dispel implementa actualmente en tu tenant. Se otorga crédito parcial cuando solo se implementan algunos subcontroles o mejoras. Pasa el cursor sobre cualquier número para ver el desglose subyacente.
**Gráfico sunburst**
La visualización jerárquica sunburst muestra la cobertura de Dispel de un vistazo: marco → familia de controles → control individual. Los controles implementados (heredables) se muestran en verde; los fallidos (no heredables actualmente) en rojo; los no evaluados en gris. Haz clic en cualquier segmento para ir a la página de detalle del control.
**Página de detalle del control**
Seleccionar un control muestra:
* **Estado** — la implementación actual e histórica de Dispel de ese control en este tenant
* **Evidencia** — los evaluadores específicos que contribuyeron al estado, con marcas de tiempo y los valores subyacentes que observaron
* **Narrativa** — la declaración de implementación de Dispel para el control
* **Linaje** — todos los demás marcos cuyos controles se asignan a esta misma evidencia (de modo que una sola reclamación de herencia pueda expresarse en varios lenguajes de marco)
* **Guía de remediación** — para los controles fallidos, una descripción de la configuración o cambio de configuración de Dispel que restauraría la herencia
**Simulación del impacto de la configuración**
Antes de cambiar una configuración de Dispel en tu tenant, usa el simulador para predecir cómo cambian las coberturas:
1. Desde el panel, ve a **Impacto est.** en **Recomendaciones**.
2. Localiza una o más configuraciones de Dispel en el panel superpuesto (p. ej., *Habilitar MFA para todos los usuarios*).
3. Compara la tarjeta de puntuación proyectada con tu tarjeta de puntuación actual.
El simulador no modifica ninguna configuración real. Es únicamente una herramienta de planificación para secuenciar cambios que fortalezcan la herencia de Dispel.
{% hint style="info" %}
Usa el simulador para secuenciar los cambios de configuración en el orden que restaure primero la mayor cantidad de controles heredables.
{% endhint %}
***
#### Paso 4: Exporta el paquete de herencia
**Definición de Componente OSCAL**
La Definición de Componente OSCAL es el artefacto estandarizado para documentar la contribución de un solo componente al Plan de Seguridad del Sistema de un cliente. Para Dispel, ese componente es tu implementación de Dispel, y la Definición de Componente es el registro autorizado de lo que tu auditor puede acreditarte por heredar.
1. Abre la página de detalle del marco.
2. Haga clic en **Exportar** > **Definición de Componente OSCAL**.
3. Se descarga un archivo JSON conforme a OSCAL 1.1.2.
La exportación incluye:
* El catálogo y el perfil en los que se expresa la reclamación de herencia
* El estado de implementación de cada control dentro del alcance desde el lado de Dispel (`implementado`, `parcial`, `no implementado`, `no aplicable`)
* La narrativa de implementación de Dispel para cada control
* Enlaces a los registros de evidencia subyacentes
Este archivo se puede importar en eMASS, Xacta, RegScale, FedRAMP y presentaciones de GovRAMP, o en cualquier herramienta que acepte OSCAL, donde se sitúa junto a las Definiciones de Componente de tus otros proveedores y el contenido de tu SSP interno.
**Informe ejecutivo en PDF**
Para las partes interesadas internas y las cartas de cobertura de auditoría:
1. Abre la página de detalle del marco.
2. Haga clic en **Exportar** > **Informe PDF**.
El informe contiene:
* Un resumen ejecutivo que indica qué porcentaje de los controles dentro del alcance puedes heredar de Dispel hoy
* Una tarjeta de puntuación del marco
* Cada control que Dispel no implementa actualmente en tu tenant, junto con el cambio de configuración que restauraría la herencia
* La lista de fuentes de evidencia que contribuyen a la evaluación
* Marca de tiempo de generación e identidad del evaluador
***
### Evidencia continua y registro de auditoría
Cada ejecución del evaluador produce un **instantánea de evidencia** que se almacena con una marca de tiempo. La instantánea registra lo que Dispel observó sobre su propia cobertura en ese momento.
Los auditores que necesiten verificar un momento específico pueden:
1. Localizar el registro de evaluación de la fecha en cuestión.
2. Profundizar en la instantánea de evidencia de cualquier control individual.
3. Ver los valores exactos que observó el evaluador y la marca de tiempo de la observación.
***
### Lo que cubre Dispel (y lo que no)
Dispel cubre los controles de seguridad que se implementan dentro de la propia plataforma Dispel —principalmente las capas de acceso remoto, identidad, supervisión de sesiones, segmentación de red y conectividad OT. Los controles que dependen de la propia postura corporativa de Dispel (gestión de proveedores, cadena de suministro, SDLC, selección de personal) también se cubren a través de las narrativas de implementación publicadas por Dispel.
Dispel no **no** no cubre controles fuera de su alcance: seguridad física en tus instalaciones, endurecimiento de endpoints en equipos que Dispel no administra, desarrollo de aplicaciones dentro de tus sistemas empresariales, prácticas de RR. HH. en tu organización, y así sucesivamente. Esos controles siguen siendo responsabilidad exclusiva de tu plataforma GRC empresarial.
La siguiente tabla resume las categorías de evidencia que produce Dispel y las familias de control del marco que suelen admitir. Esto es ilustrativo; la asignación autorizada para tu marco activo se muestra en la página de detalle de cada control.
| Categoría de evidencia | Familias representativas de NIST 800-53 | Requisitos representativos de NERC CIP | Medidas representativas de NIS2 (Reglamento de Ejecución 2024/2690) |
| -------------------------------------------------------- | --------------------------------------- | -------------------------------------- | ------------------------------------------------------------------- |
| Identidad, MFA, ciclo de vida de sesión | AC, IA | CIP-004, CIP-005, CIP-007 | Control de identidad y acceso; autenticación |
| Acceso remoto y segmentación | AC, SC | CIP-005, CIP-007 | Seguridad de red; políticas de control de acceso |
| Grabación de sesiones y análisis forense | AU | CIP-007, CIP-008 | Gestión de incidentes; registro y supervisión |
| Registros de configuración y cambios | CM | CIP-010 | Gestión de activos; gestión de cambios |
| Atestaciones de proveedores y de la cadena de suministro | SR, PS | CIP-013 | Seguridad de la cadena de suministro |
| Atestación e integridad de la plataforma | SI, SC | CIP-007, CIP-010 | Gestión y divulgación de vulnerabilidades; criptografía |
***
### Preguntas frecuentes
¿Ejecutar una evaluación cambia algo en mi tenant?
No. Las evaluaciones son de solo lectura. Observan el estado actual de tu configuración de Dispel y generan instantáneas de evidencia sobre la cobertura de Dispel. Nunca modifican configuraciones, usuarios, dispositivos ni políticas.
¿Con qué frecuencia debería ejecutar una evaluación?
Para la mayoría de las organizaciones, ejecutar una evaluación después de cualquier cambio de configuración significativo es suficiente. Algunos auditores requieren evidencia de evaluación periódica (p. ej., mensual o trimestral); programa las evaluaciones para que coincidan con la cadencia que requiere tu programa de auditoría. La exportación OSCAL y el informe PDF capturan la marca de tiempo de la evaluación.
¿Puedo usar Dispel como mi sistema GRC completo?
No. Dispel es el sistema de registro solo para los controles que Dispel mismo implementa —la capa de herencia debajo de tu auditoría. Para los controles fuera del alcance de Dispel (seguridad física, procesos de RR. HH., prácticas de desarrollo de software, endpoints que Dispel no administra, etc.), la evidencia vive en tu plataforma GRC empresarial. La Definición de Componente OSCAL de Dispel está diseñada para ser ingerida en esa plataforma como un componente más entre muchos.
¿Qué significa "No evaluado" en un control?
Un control muestra *No evaluado* cuando aún no se ha ejecutado ningún evaluador automatizado contra él, o cuando los evaluadores aún no han finalizado. Esto se distingue de *No aplicable*, que significa que el control queda fuera del alcance de Dispel y no forma parte de lo que puedes heredar de Dispel.
¿Puedo demostrar el cumplimiento de NIS2 con Dispel?
Para la parte de NIS2 que cubre Dispel, creemos que sí. Selecciona **NIS2** como marco activo y Dispel produce una Definición de Componente expresada frente a las medidas del Reglamento de Ejecución de la UE NIS2 (2024/2690), cruzada con NIST 800-53 según la Guía Técnica de Implementación de ENISA. Entrégala a tu autoridad competente junto con el resto de tu documentación NIS2 como la capa de herencia para tus controles de acceso remoto, identidad, supervisión de sesiones y conectividad OT.
ENISA no ha publicado un catálogo OSCAL oficial de NIS2. El catálogo de Dispel se redacta directamente a partir del texto legal del Reglamento de Ejecución. Si ENISA publica un catálogo oficial en el futuro, Dispel lo adoptará.
¿Por qué algunos controles muestran "No aplicable"?
Un control se marca *No aplicable* cuando queda fuera del alcance de Dispel y, por lo tanto, no es algo que puedas heredar de Dispel; por ejemplo, controles que regulan el acceso físico a tus instalaciones, las prácticas de contratación de tu organización o el desarrollo de software en tus aplicaciones internas. La determinación N/A se registra en la exportación OSCAL para que tu auditor pueda ver exactamente qué controles se excluyeron de la reclamación de herencia de Dispel y verificarlos por otros canales.
¿Qué ocurre con mis datos si elimino un marco?
Nada, es totalmente seguro. Eliminar un marco borra su tarjeta de puntuación y lo quita del panel. Las instantáneas de evidencia subyacentes y las narrativas de control se conservan y vuelven a estar disponibles si vuelves a agregar el marco. No se destruye ningún historial de evaluación.
¿La exportación OSCAL incluye la configuración sensible del tenant?
No. La Definición de Componente contiene el estado de implementación de Dispel, las narrativas y los enlaces a la evidencia, no valores de configuración sin procesar, credenciales, direcciones IP ni datos de usuarios de tu tenant. Es seguro compartirla con auditores y cargarla en plataformas GRC compatibles con OSCAL.
¿La misma evidencia de Dispel puede respaldar más de un marco?
Sí. Este es el beneficio principal de la arquitectura basada en OSCAL. Una sola pieza de evidencia de Dispel (p. ej., “MFA está aplicada en este tenant”) contribuye simultáneamente a NIST 800-53 IA-2(1), NIST CSF PR.AA-03, NERC CIP-005-7 R2 y cualquier otro control que se asigne al mismo evaluador. La misma reclamación de herencia puede expresarse en el lenguaje de marco que requiera cada una de tus auditorías.
¿Cómo demuestro la cobertura continua de Dispel durante una ventana de auditoría?
Ejecuta una evaluación al inicio de tu período de auditoría y otra al final, y apóyate en las instantáneas de evidencia subyacentes entre ambas. Cada instantánea tiene una marca de tiempo, por lo que puedes demostrar que tu reclamación de herencia de Dispel fue válida durante todos los días del período de auditoría, no solo el día en que se generó la evaluación.
¿Puedo agregar mi propio marco de control interno?
La ingesta de catálogos personalizados está en la hoja de ruta. Hoy en día, los marcos internos suelen representarse seleccionando la línea base publicada más cercana (p. ej., NIST 800-53 Moderate); Dispel producirá su evidencia de herencia en ese vocabulario, que luego tu equipo de GRC puede volver a asignar al marco interno dentro de tu plataforma GRC empresarial.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-es/proteger-y-gobernar/overview/compliance-and-audit-readiness.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.