Lista todas las categorías del Anexo II (org, op.pl, mp.if, ...).

Lista medidas de seguridad con filtros opcionales.

category_code: código de categoría o grupo, p. ej. "mp.if" o "mp". Uno que no sea una categoría del Anexo II es un error: todas las categorías tienen medidas, así que una lista vacía sólo podía significar que el argumento no era una categoría. dimension: "confidencialidad", "integridad", "disponibilidad", "autenticidad" o "trazabilidad". level: "bajo", "medio" o "alto". Se acepta "basico" por compatibilidad.

Obtiene una medida de seguridad por su código exacto, p. ej. "org.1".

Busca medidas por texto: código, título, cuestionario, redacción del RD.

Mira el code, el title, la description (el cuestionario de la CCN-STIC 808), el norm_text (lo que exige el RD 311/2022) y el text de cada refuerzo. Ignora mayúsculas y tildes.

Medidas y refuerzos exigibles a un sistema, para su DdA.

Cada dimensión toma "bajo", "medio" o "alto" — el nivel al que está valorada en ese sistema (Anexo I). Se acepta "basico" por compatibilidad y se omite si el sistema no la valora. Hay que valorar al menos una.

Devuelve la categoría del sistema (el mayor de esos niveles) y, por cada medida exigible, el nivel al que se le exige y los refuerzos de ese nivel. Un refuerzo con alternative: true es una opción entre varias: basta implantar uno de los marcados así en ese nivel.

El temario de auditoría de un sistema: qué le van a preguntar.

Mismos argumentos que declaracion_aplicabilidad — el nivel de cada dimensión, u omitida si el sistema no la valora.

Devuelve sólo las medidas que le aplican y, por cada una, los requisitos de verificación exigibles acumulados: los de "Categoría Básica" se exigen a todas las categorías, los de "Media" a MEDIA y ALTA, y los de "Alta" sólo a ALTA (CCN-STIC 808 §5). Un sistema medio responde los de básica y los de media.

nivel_madurez_requerido es el mínimo CMM que el auditor exige a cada medida según la categoría (CCN-STIC 808 §6), con su code y su name: BÁSICA → L2 "Reproducible, pero intuitivo", MEDIA → L3 "Proceso definido", ALTA → L4 "Gestionado y medible". essential marca los requisitos cuyo incumplimiento hace que la medida entera cuente como no implantada.

Preguntas del cuestionario de auditoría (CCN-STIC 808), en bruto.

code: una medida concreta, p. ej. "org.1". Omitido, devuelve el cuestionario entero. Un código que no sea una medida del Anexo II es un error, no una lista vacía: hay medidas cuyo cuestionario está legítimamente vacío en un tramo, y las dos cosas no pueden contestarse igual. level: "basica", "media" o "alta" — las categorías oficiales del sistema. tools. Filtra por la sección en que la guía imprime el requisito ("Categoría Básica", "Media" y "Alta" respectivamente), que NO es el temario de un sistema de esa categoría: los requisitos son acumulativos y los de "Categoría Básica" se exigen a todas. Para el temario real de un sistema usa alcance_auditoria.

Cada elemento trae essential: si uno esencial no se cumple, el auditor considera la medida entera como no implantada. Ojo con code dentro de una medida — es la etiqueta que imprime el sitio y se repite (hay cinco "1.1" distintos en op.acc.5); lo que identifica un requisito es position.

Comprobaciones de auditoría sobre el articulado del RD 311/2022.

Una auditoría verifica el articulado además del Anexo II, y esta es esa mitad: las preguntas documentales y de gobierno (Declaración de Aplicabilidad firmada, categorización, INES, perfiles...) por las que suele empezar el auditor.

evidence son los documentos que la guía propone que pida. Fuente: CCN-STIC 808 §6.1, no el ENS Navegable.

Qué documentación puede pedir el auditor, por medida.

code: una medida concreta, p. ej. "org.1". Omitido, todas. Un código que no sea una medida del Anexo II es un error.

Responde a "¿qué papeles preparo?", que es el trabajo de las semanas previas a la auditoría. Se une por measure_code con lo que devuelven alcance_auditoria y declaracion_aplicabilidad. Fuente: CCN-STIC 808 §6.2, no el ENS Navegable.

Origen y frescura de los datos servidos.

captured_at: cuándo se capturó lo que se está sirviendo — la fecha del snapshot, o el momento de la comprobación si la web difería y ya se sirve lo suyo (live_check: "updated"). live_check: "pending" (aún sin comprobar), "unchanged" (la web coincide), "updated" (la web difería y se sirve ya lo nuevo) o "unavailable" (no se pudo abrir la web: sin Chrome, sin display o sin red — se sigue sirviendo el snapshot). guia_808: de qué edición de la CCN-STIC 808 salieron requisitos_articulos y evidencias_auditoria. Sólo aparece si el servidor lleva la guía cargada.