Documento compartido
Informe de progreso en revisión de código
Sociedad Ejemplo
Agregados de empresa — sin datos personales.
- Periodo cubierto
- noviembre de 2025 → octubre de 2026
- Generado el
- 11 de octubre de 2026
- Identificador del documento
- DEMO-0000-0000
Alcance
La cuenta propietaria no se cuenta: no ocupa un puesto de desarrollo.
Compromiso
En los últimos tres meses: 26 participantes activos, 148 evaluaciones.
Regularidad
La regularidad es literalmente lo que exigen los textos: una formación «continua» (DORA), «periódica» (NIS2), «al menos cada doce meses» (PCI-DSS).
Progreso
| Mes | Índice |
|---|---|
| nov 25 | 100 |
| dic 25 | 103 |
| ene 26 | 101 |
| feb 26 | 106 |
| mar 26 | 109 |
| abr 26 | sin datos |
| may 26 | 108 |
| jun 26 | 112 |
| jul 26 | 110 |
| ago 26 | 115 |
| sept 26 | 114 |
| oct 26 | 118 |
Los meses sin datos publicables aparecen como interrupciones: o no hubo actividad, o hubo muy pocos participantes para publicar una media.
El primer mes del periodo con datos equivale a 100. Los niveles absolutos no se publican.
Familias revisadas, de diez
Lo que el equipo ha revisado, repartido según las diez familias del OWASP Top 10:2025.
- A01 Control de acceso deficiente revisada
- A02 Configuración incorrecta revisada
- A03 Cadena de suministro de software no revisada
- A04 Fallos criptográficos revisada
- A05 Inyección revisada
- A06 Diseño inseguro revisada
- A07 Fallos de autenticación revisada
- A08 Integridad de software y datos poco revisada
- A09 Registro y alertas de seguridad revisada
- A10 Gestión de condiciones excepcionales no revisada
Se trata de una cobertura, no de una tasa de acierto: este bloque dice qué familias se han revisado, nunca hasta qué punto.
Correspondencia normativa
Este documento es un elemento probatorio entre otros. Cada línea indica también lo que no acredita.
| Marco | Lo que exige | Lo que aporta este informe | Lo que no aporta |
|---|---|---|---|
| PCI-DSS 4.0 req. 6.2.2 | Los desarrolladores reciben formación al menos cada doce meses sobre seguridad del software pertinente para su función, incluido el diseño y la codificación seguros. | Un registro fechado de actividad formativa sobre doce meses móviles, por familia OWASP, con la tasa de participación del equipo. | La formación en sí, ni la prueba nominal de que cada desarrollador ha sido formado: el informe es agregado. |
| DORA (UE 2022/2554) art. 13(6) | Programas de concienciación en seguridad TIC y formación en resiliencia operativa digital, obligatorios para el personal. | La prueba de que existe un programa y de que se sigue en el tiempo, con su regularidad medida. | El carácter obligatorio de los módulos, ni la cobertura de todo el personal y de la dirección. |
| NIS2 (UE 2022/2555) art. 21(2)(g) | Prácticas básicas de higiene informática y formación en ciberseguridad. | Un elemento probatorio de la formación en ciberseguridad de los equipos de desarrollo, fechado y verificable. | La cobertura de otros colectivos, ni las otras nueve medidas del artículo 21. |
| ISO/IEC 27001:2022 A.6.3 · art. 7.2 | A.6.3: concienciación, educación y formación. Cláusula 7.2: competencia y conservación de información documentada como prueba. | Información documentada, fechada y verificable, lista para el expediente de auditoría. | La matriz de competencias, ni la evaluación de eficacia exigida por la cláusula 7.2. |
Estas referencias sitúan el informe dentro de tus obligaciones. NakamaCyber no acredita ninguna conformidad: la valoración corresponde a tu auditor.
Madurez OWASP SAMM
Gobernanza › Educación y orientación › flujo A (formación y concienciación)
- 1Concienciación general
- 2Formación adaptada al rol
- 3Eficacia medida
Criterios cumplidos
- Al menos la mitad de los inscritos participa
- Actividad durante al menos seis meses
- Al menos seis familias OWASP abordadas
- Al menos el 80 % de los inscritos participa
- Actividad durante al menos diez meses
- Progreso medible (índice ≥ 105)
- Al menos cuatro evaluaciones medianas por participante
Criterios pendientes
- Al menos nueve familias OWASP abordadas
OWASP SAMM abarca quince prácticas; este informe documenta solo una.
SAMM es un modelo de autoevaluación. NakamaCyber no la valida.
Cómo se elabora este documento
- Las evaluaciones se realizan en línea y se repiten en el tiempo.
- La medición se basa en la repetición: veinte preguntas elegidas al azar en cada evaluación, nunca la misma serie, y una progresión seguida durante varios meses.
- El documento acredita el compromiso de los desarrolladores de la empresa y su progresión: evaluaciones de seguridad realizadas con regularidad, sobre un marco de referencia reconocido, con resultados que mejoran con el tiempo.
- El documento solo contiene agregados de empresa: ningún nombre, ninguna dirección de correo, ningún resultado individual. Por debajo de 5 participantes activos, las tasas y la curva no se publican.
- Las cifras se calculan automáticamente a partir de los datos de la plataforma. La empresa activa el uso compartido; no introduce ninguna cifra.
- El banco de preguntas se actualiza con regularidad, al ritmo de nuestra vigilancia; última incorporación el 17 de septiembre de 2026.
Identificador del documento: DEMO-0000-0000 · generado automáticamente por NakamaCyber