Terminología de ciberseguridad y GRC: del español de México al inglés

Riesgo empresarial y GRC financiero

Use risk appetite para apetito de riesgo. No lo reduzca a risk limit ni lo confunda con risk tolerance.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Auditoría y aseguramiento

Audit es la equivalencia profesional directa. Traduzca pista de auditoría como audit trail y registro de auditoría como audit log o audit record, según el contexto.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Evaluación de capacidades, controles y privacidad

Use gap con el complemento pertinente, por ejemplo skills gap, capability gap o control gap. Si una auditoría clasifica algo como deficiencia, use deficiency. Cuando brecha de seguridad o brecha de datos se refiera a un incidente, use breach o data breach; tenga presente que la figura jurídica mexicana correspondiente en la LFPDPPP es vulneración de seguridad.

Véase también: vulneración de seguridad

Fuentes: Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Medición y evaluación

Use calibration. Calibración del instrumento es instrument calibration; en contextos de evaluación, calibración de reactivos es item calibration.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Capacitación organizacional

Use security training para la instrucción estructurada, los cursos y el desarrollo de habilidades. Se relaciona con security awareness, pero no es su sinónimo.

Fuentes: Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Capacitación orientada a crear conciencia

Use security awareness training para la capacitación cuyo propósito sea crear conciencia sobre seguridad. Use security awareness and training solo cuando la fuente en español coordine expresamente concientización y capacitación como dos actividades.

Fuentes: Campaña federal mexicana de concientización en ciberseguridad · Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Regulación financiera mexicana

En citas, conserve CNBV y el nombre oficial en español. En prosa inglesa puede añadir una descripción como Mexico's National Banking and Securities Commission, pero no la presente como nombre oficial. La CNBV no es automáticamente la autoridad competente para toda entidad financiera mexicana; identifique primero la entidad y el instrumento aplicable.

Fuentes: Ley de la Comisión Nacional Bancaria y de Valores

Seguridad organizacional

Use security awareness para concientización en seguridad. Sensibilización en ciberseguridad puede tener el mismo sentido institucional. No traduzca capacitación como awareness si la fuente se refiere a formación.

Véase también: sensibilización en ciberseguridad

Fuentes: Campaña federal mexicana de concientización en ciberseguridad · Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025 · Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Marcos de seguridad y derecho de privacidad

Use security control para control de seguridad. Si la fuente jurídica dice medida de seguridad, use security measure o safeguard según la traducción jurídica.

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Redacción formal de GRC y regulación

Use compliance para la función de GRC. Regulatory compliance resulta adecuado cuando sea necesario hacer explícito el sentido de cumplimiento normativo.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Explicación formal de vulnerabilidades

Use exploit code cuando la fuente se refiera específicamente a código de explotación. Para el sustantivo técnico más amplio, use exploit.

Fuentes: Boletín de seguridad de UNAM-CERT

Derecho mexicano de privacidad

Use personal data al traducir la figura jurídica mexicana. No la sustituya automáticamente por PII en una explicación jurídica en inglés.

Fuentes: LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados

Auditoría y evaluación de controles

Use deficiency cuando una auditoría, un marco de control o una autoridad clasifique una debilidad como deficiencia. No la traduzca como el término más general gap.

Fuentes: Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Terminología general de dispositivos y activos

Use end-user device cuando la fuente describa un dispositivo de usuario final y no la categoría técnica endpoint.

Véase también: equipo de usuario final

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Gestión de vulnerabilidades, privacidad y redacción jurídica

Use disclosure para divulgación, por ejemplo en responsible vulnerability disclosure. En privacidad, una transferencia, una remisión y una revelación no autorizada son actos distintos y requieren traducciones específicas.

Ejemplo: La política define la divulgación coordinada de vulnerabilidades. → The policy defines coordinated vulnerability disclosure.

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025 · LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados

Respuesta a incidentes y continuidad del negocio

Use tabletop exercise. Traduzca ejercicio de gabinete así solo cuando el formato realmente corresponda; la categoría institucional puede ser más amplia.

Ejemplo: El equipo realizó un ejercicio de simulación en mesa sobre el plan contra ransomware. → The team ran a tabletop exercise for the ransomware plan.

Véase también: ejercicio de mesa, table-top

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Arquitectura de API y redacción regulatoria

Use API endpoint para endpoint de API. Cuando la fuente use el término definido de la CNBV punto de consulta, conserve el término oficial en español en una cita y use API endpoint como explicación en inglés.

Véase también: punto de consulta (API)

Fuentes: Texto oficial en el DOF de las disposiciones de la CNBV sobre API estandarizadas

Seguridad de endpoints y EDR

Use endpoint en inglés para la categoría de seguridad de endpoints, ya sea que la fuente en español diga endpoint, punto final o dispositivo de punto final. Use end-user device si la fuente solo describe el dispositivo de una persona usuaria.

Ejemplo: El agente EDR protege cada punto final. → The EDR agent protects every endpoint.

Véase también: punto final (seguridad de endpoints), dispositivo de punto final

Fuentes: Servicio de seguridad de endpoints de Telmex · Contratación de un servicio administrado de ciberseguridad de la SCJN

Redes, pruebas y aislamiento de ejecución

Use isolated environment para el término genérico entorno aislado. Use sandbox solo cuando el entorno esté diseñado específicamente para limitar la ejecución, las pruebas o sus efectos.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Gestión de vulnerabilidades y operaciones de red

Use to scan para el verbo escanear y scanning para la actividad. No los convierta automáticamente en vulnerability assessment.

Fuentes: Disposiciones oficiales en el DOF sobre seguridad para instituciones de tecnología financiera

Gestión de vulnerabilidades y operaciones de red

Use scan para el sustantivo escaneo. Evaluación de vulnerabilidades es vulnerability assessment, una actividad más amplia.

Fuentes: Disposiciones oficiales en el DOF sobre seguridad para instituciones de tecnología financiera

Monitoreo y gestión de incidentes

Use security event. No traduzca automáticamente todo evento como incident.

Fuentes: Texto oficial en el DOF de las disposiciones de la CNBV sobre API estandarizadas

Redacción técnica y gestión de vulnerabilidades

Use exploit como sustantivo técnico y exploit a vulnerability para explotar una vulnerabilidad. Use exploit code si la fuente dice código de explotación.

Fuentes: Boletín de seguridad de UNAM-CERT

Evaluación, controles y auditoría

Use strength. Área de oportunidad suele ser opportunity for improvement; debilidad de control es control weakness; deficiencia de control es control deficiency.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Marcos de gobernanza de TI

Tanto gobernanza de TI como gobierno de TI corresponden a IT governance. Siga la terminología del marco citado.

Véase también: gobierno de TI

Fuentes: Declaratoria de la NMX-I-38502-NYCE-2019 · Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Auditoría, evaluación y pruebas de penetración

Use finding para hallazgo. Si la auditoría define observación, resultado o deficiencia como categorías separadas, conserve esa distinción.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Estrategia y planeación formal

Use roadmap. La traducción literal route map es incorrecta en un contexto de estrategia o implementación.

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Gestión de identidades y accesos

Conserve IAM y desarrolle la sigla como identity and access management cuando ayude al lector.

Véase también: gestión de identidades y accesos

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Gestión de incidentes y regulación

Use incident. Traduzca evento de seguridad por separado como security event, salvo que la clasificación de la fuente lo convierta en incidente.

Fuentes: Texto oficial en el DOF de las disposiciones de la CNBV sobre API estandarizadas · Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Derecho de privacidad de la Unión Europea

Use data subject para interesado cuando la fuente sea el RGPD de la Unión Europea. En derecho mexicano, verifique si significa interested party o applicant; las leyes mexicanas de privacidad usan persona titular o titular.

Fuentes: Texto oficial en español del RGPD de la Unión Europea · LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados

Derecho mexicano de privacidad para el sector privado

Conserve el nombre oficial y la sigla LFPDPPP en citas en inglés. Una nueva ley con el mismo título se publicó el 20 de marzo de 2025, entró en vigor el 21 de marzo y abrogó la de 2010. Distinga hechos históricos y procedimientos sujetos al régimen transitorio. El INAI ya no es la autoridad vigente, aunque sus actos históricos pueden seguir siendo relevantes. Verifique los artículos y la autoridad aplicable.

Fuentes: LFPDPPP vigente, Cámara de Diputados

Derecho mexicano de privacidad para sujetos obligados

Conserve el nombre oficial y la sigla LGPDPPSO en inglés. Una nueva ley con el mismo título se publicó el 20 de marzo de 2025 y sustituyó a la de 2017. La competencia se divide entre la Secretaría y la Autoridad garante aplicable según el sujeto y la jurisdicción. Una descripción puede explicar el alcance, pero no sustituye el título oficial.

Fuentes: LGPDPPSO vigente, Cámara de Diputados

Ingeniería de seguridad y gobernanza

Use baseline para línea base. Security baseline y configuration baseline conservan el complemento correspondiente.

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Derecho mexicano de privacidad

Use security measure o safeguard para la medida de seguridad del derecho mexicano de privacidad. No la convierta automáticamente en security control.

Fuentes: LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados · Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Regulación financiera mexicana

Conserve Modelo Novedoso en citas jurídicas. Para explicarlo en inglés puede usar innovative model, pero no lo convierta en el término técnico genérico sandbox.

Fuentes: Ley para Regular las Instituciones de Tecnología Financiera

Regulación técnica mexicana

En citas jurídicas en inglés, conserve NOM, el identificador completo y el título oficial en español. Mexican Official Standard es una descripción, no la denominación jurídica. La aplicabilidad depende del alcance de cada NOM. La NOM-151-SCFI-2016 regula la conservación de mensajes de datos y la digitalización; no es una norma general de ciberseguridad o privacidad.

Fuentes: Ley de Infraestructura de la Calidad · Ficha oficial de la NOM-151-SCFI-2016

Obligaciones jurídicas y regulatorias

Use to notify y notification para notificar y notificación, pero conserve el verbo exacto del instrumento aplicable. Las leyes mexicanas de privacidad pueden usar informar para un deber descrito en inglés como notification. Evite el report operativo si cambia el destinatario o el efecto jurídico.

Fuentes: LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados

Categorías definidas de auditoría

Use observation cuando la metodología de auditoría defina observación como categoría propia. Para un hallazgo genérico, use finding.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Herramientas de malware, API y protocolos

Use payload tanto para la etiqueta técnica en inglés como para carga útil en contextos de API o mensajería. Al traducir, conserve la distinción entre un payload malicioso, un payload de exploit y el cuerpo de un mensaje.

Ejemplo: La API rechaza una carga útil con una firma no válida. → The API rejects a payload with an invalid signature.

Véase también: carga útil

Fuentes: Texto oficial en el DOF de las disposiciones de la CNBV sobre API estandarizadas · Análisis de UNAM-CERT sobre un ataque sin archivos

Derecho de privacidad

Traduzca persona titular o titular como data subject en explicaciones sobre privacidad mexicana. No use owner. No suponga que el término genérico interesado designa esta figura fuera del contexto del RGPD de la Unión Europea.

Fuentes: LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados

Todos los registros de ciberseguridad

El término inglés es phishing. No lo traduzca como identity theft ni spoofing, salvo que la fuente describa uno de esos actos distintos.

Fuentes: Orientación de la CONDUSEF sobre fraudes

Gobernanza y evaluación de ciberseguridad

Use cybersecurity posture cuando la fuente diga postura de ciberseguridad y el dominio deba quedar explícito.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Gobernanza y evaluación de seguridad

Use security posture para postura de seguridad. Posture sin complemento suele ser demasiado impreciso.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Terminología de productos de seguridad de datos

Use data loss prevention para prevención de pérdida de datos. No lo sustituya automáticamente por information leakage prevention, que enfatiza la fuga o divulgación no autorizada.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Operaciones y monitoreo

Use to log cuando registrar signifique escribir un evento en un log o una bitácora. El verbo aislado registrar puede ser record o register, según el objeto y el sistema.

Ejemplo: El servicio registra en la bitácora cada intento fallido. → The service logs every failed attempt.

Fuentes: Disposiciones oficiales en el DOF sobre seguridad para instituciones de tecnología financiera

Operaciones, auditoría y registros jurídicos

En español se escribe log (el log, los logs, log de auditoría, entrada de log), así que el término pasa igual al inglés: audit log, event log, system log, log file, log entry según el artefacto. Si encuentra registro o bitácora con ese sentido, tradúzcalo también como log. Una bitácora que una norma denomina así suele explicarse en inglés como log. Las tres formas son correctas en español; preferimos log y un solo término para lo mismo dentro de un texto.

Ejemplo: El sistema registra cada evento administrativo en el log de auditoría. → The system records every administrative event in the audit log.

Véase también: bitácora

Fuentes: LGPDPPSO vigente, Cámara de Diputados · Disposiciones oficiales en el DOF sobre seguridad para instituciones de tecnología financiera

Ciberseguridad, auditoría y GRC

Use remediation. Traduzca mitigación como mitigation y acción correctiva como corrective action cuando se trate de esos conceptos distintos.

Fuentes: Disposiciones oficiales en el DOF sobre seguridad para instituciones de tecnología financiera

Derecho mexicano de privacidad

Prefiera controller-to-processor communication o transmission to a processor para explicar la remisión mexicana. Conserve y defina remisión en citas jurídicas. No use remittance, que en inglés común significa envío de dinero.

Fuentes: LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados · Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Derecho de privacidad de la Unión Europea

Use data controller para la figura responsable del tratamiento del RGPD de la Unión Europea. En citas de leyes mexicanas, la denominación definida normalmente es responsable.

Fuentes: Texto oficial en español del RGPD de la Unión Europea · LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados

Pruebas técnicas y regulación financiera mexicana

Use sandbox para el entorno técnico cuando su aislamiento limite la ejecución, las pruebas o sus efectos. Un entorno aislado genérico puede corresponder a isolated environment. No traduzca la figura jurídica mexicana Modelo Novedoso como un sandbox técnico.

Ejemplo: La muestra se ejecuta en un sandbox. → The sample runs in a sandbox.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Operaciones de seguridad y terminología de productos

Conserve SIEM. Su forma desarrollada usual es security information and event management; siga la denominación oficial del producto.

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Operaciones de seguridad

Conserve SOC y desarrolle la sigla como security operations center cuando ayude al lector.

Véase también: centro de operaciones de seguridad

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025

Terminología de redes, correo y fraude

Use spoofing como término técnico general. Para una frase delimitada, use sender spoofing, IP address spoofing o DNS spoofing. No traduzca toda suplantación aislada como spoofing.

Ejemplo: El control detecta la suplantación del remitente. → The control detects sender spoofing.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Redacción profesional formal

Use IT y desarrolle la sigla como information technology. TIC normalmente corresponde a ICT, information and communications technology.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Riesgo empresarial y GRC financiero

Use risk tolerance para tolerancia al riesgo. No lo confunda con el concepto más amplio risk appetite.

Base de evidencia: Criterio de uso profesional; no se le atribuye fuerza jurídica.

Todos los registros de ciberseguridad

Use vulnerability. No traduzca vulneración como vulnerability cuando describa una vulneración de seguridad.

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025 · Disposiciones oficiales en el DOF sobre seguridad para instituciones de tecnología financiera

Explicación formal, fuentes técnicas y seguridad ofensiva

Use zero-day o 0-day. Una expresión formal como vulnerabilidad de día cero es zero-day vulnerability; conserve el sustantivo modificado.

Ejemplo: El proveedor corrigió una vulnerabilidad de día cero. → The vendor patched a zero-day vulnerability.

Véase también: 0-day, día cero, zero-day

Fuentes: Boletín de UNAM-CERT sobre una vulnerabilidad de día cero

Derecho de privacidad y redacción no jurídica de ciberseguridad

Use personal data breach cuando el contexto de privacidad sea explícito y data breach en prosa general de ciberseguridad. En una traducción jurídica, identifique el instrumento: el artículo 19 de la LFPDPPP usa vulneraciones de seguridad; los artículos 31 a 35 de la LGPDPPSO usan varias formas, incluida vulneración a la seguridad; y el Reglamento de 2011, aún listado oficialmente como vigente, usa vulneraciones de seguridad de datos personales. No sustituya esas fórmulas por una regla de notificación de otra jurisdicción.

Ejemplo: El responsable documentó la vulneración de seguridad de datos personales. → The controller documented the personal data breach.

Véase también: vulneración de seguridad (datos personales), vulneración a la seguridad (datos personales), brecha de datos

Fuentes: LFPDPPP vigente, Cámara de Diputados · LGPDPPSO vigente, Cámara de Diputados · Reglamento de la LFPDPPP de 2011, oficialmente listado como vigente

Arquitectura, identidad y gestión de accesos

Conserve Zero Trust en inglés. Modelo Zero Trust es Zero Trust model; puede añadir una explicación descriptiva sin cambiar el nombre de la arquitectura.

Fuentes: Política General de Ciberseguridad para la Administración Pública Federal, DOF 2025