Quick Diagnosis
The 10 Controls a Regulator Checks First in Your Fintech
A straightforward checklist based on real ISO 27001 and SOC 2 Type 2 audits. Each control includes the "auditor's tip" that tells you exactly what the regulator looks for — not just the generic requirement.
Verification Log — Pre-audit
…and 5 additional controls in the full version
Get the full checklist
Sent immediately to your work email
Checklist Contents
The 10 controls with auditor tips
Gobierno y roles de seguridad
¿Están definidos y documentados los roles de seguridad (CISO, DPO, dueños de activos)? ¿Existe un comité de seguridad que se reúna con cadencia definida?
Un regulador no pregunta "quién es responsable de qué" — revisa si esas personas saben que lo son y si hay minutas que lo respalden.
Gestión de riesgos documentada
¿Tienes una metodología formal de análisis de riesgos con criterios de aceptación definidos y revisión periódica? ¿Los riesgos residuales están dentro del apetito aprobado?
El regulador espera ver un plan de tratamiento de riesgos vivo. Si tu última actualización es de hace 18 meses, cuenta como "sin gestión".
Control de accesos
¿Está implementado el control de acceso basado en roles con el principio de mínimo privilegio? ¿Hay un proceso de revisión trimestral de accesos y perfiles?
Lo primero que revisa un auditor: cuántos administradores hay y si las bajas se ejecutaron en menos de 24 horas.
Gestión de proveedores críticos
¿Tus proveedores con acceso a datos o infraestructura pasan por una evaluación de seguridad? ¿Tienes contratos vigentes con cláusulas de protección de datos?
El regulador ve a tus proveedores como extensión de tu superficie de riesgo. Si no evaluaste a tu hosting o a tu SaaS de nómina, aparece como hallazgo.
Cifrado de datos sensibles
¿Está toda la comunicación externa cifrada con TLS 1.2+ y los datos sensibles en reposo con AES-256? ¿Está documentado el inventario de llaves criptográficas?
No basta con "tener HTTPS". El auditor revisa versiones de TLS, algoritmos obsoletos y si rotas llaves de cifrado periódicamente.
Gestión de incidentes
¿Tienes un procedimiento documentado para la detección, reporte, escalación y cierre de incidentes de seguridad? ¿Está probado con un simulacro en los últimos 12 meses?
Un procedimiento que nunca se ha probado equivale a no tenerlo. El regulador pide evidencia del último simulacro y las lecciones aprendidas.
Continuidad del negocio y recuperación
¿Existe un BCP/DRP con RTO y RPO definidos por servicio crítico? ¿Se probó la restauración de backups en los últimos 12 meses?
"Hacemos backup" no es un BCP. El auditor busca una prueba de restauración real con acta firmada. Sin eso, el control se marca como ineficaz.
Registro y monitoreo (logging)
¿Tienes un sistema de logging centralizado con monitoreo continuo? ¿Están definidos los eventos auditables y su período de retención?
El regulador pide logs, no pantallas. Si tus logs están en el mismo servidor que los genera, o si no sabes qué eventos registras, tienes un gap.
Gestión de cambios
¿Está documentado un proceso de control de cambios con aprobación, pruebas y plan de rollback? ¿Se registran los cambios de emergencia con trazabilidad completa?
Los cambios de emergencia son los más escrutados. Si tienes 30 cambios de emergencia y 0 planeados en un trimestre, el auditor lo lee como falta de control operativo.
Evidencia de cumplimiento continuo
¿Tienes un registro de auditorías internas, revisiones por dirección y no conformidades con acciones correctivas? ¿Hay evidencia de mejora continua y no solo de "papel para la certificación"?
El regulador distingue entre una empresa que "pasó la auditoría" y una que integra la seguridad en su operación diaria. La diferencia está en la evidencia de mejora entre ciclos de certificación.
How to interpret your results?
7+
Audit-ready: your control foundation is solid.
4–6
Manageable gap: there's work to do, but you have structure.
0–3
Critical gap: you need immediate attention on your security perimeter.
Ready to see where you stand?
I want the full checklist