Puntos clave: Los marcos de ciberseguridad son esenciales para que las organizaciones mejoren la seguridad, gestionen riesgos y aseguren el cumplimiento mediante prácticas estandarizadas. Seleccionar el marco adecuado puede ser complejo y requiere una consideración cuidadosa.
Marcos como NIST CSF y CIS Controls proporcionan las mejores prácticas para la ciberseguridad.
Implementar marcos ayuda a las organizaciones a priorizar riesgos y mejorar su postura de seguridad.
¿te confías en lo que te estás comiendo? Puedo estar tranquilo; en EE.UU., la Administración de Alimentos y Medicamentos (FDA) regula mi suministro de alimentos. ¿te confías en el producto te acaba de comprar? Si estoy en la UE, tengo confianza por la marca CE. ¿te confías en que tu banco/supermercado/aerolínea están seguro? No debería necesitarlo porque siguen los marcos de seguridad establecidos. Esta están una forma extensa de decir que, a lo largo de nuestras vidas, confiamos en las normativas y estándares para garantizar nuestra seguridad, y la ciberseguridad no están diferente. En este blog vamos son analizar qué son los marcos de seguridad, por qué los necesitamos, cómo elegir un marco y, finalmente, equilibrar las cosas analizando los posibles inconvenientes de los marcos de seguridad.
¿Por qué las empresas necesitan marcos de ciberseguridad?
Respuesta corta: Mejorar la postura de seguridad de la organización de las siguientes maneras.
- Estandarización: Un lenguaje común y un conjunto de medidas garantizan que suis requisitos sean bien comprendidos y coherentes. Los marcos proporcionan buenas prácticas y directrices que son independientes de la plataforma para implementar medidas de ciberseguridad.
- Gestión de riesgos: Un marco proporciona un enfoque estructurado para la gestión de riesgos. Normalmente comienza con una fase de descubrimiento seguida de una evaluación del hallazgo. Esto, a su vez, se traslada a la asignación de recursos (ya sea tiempo o dinero) para asegurar que son mitigadas las amenazas más significativas.
- Requisitos de cumplimiento: Aunque muchas industrias tienen requisitos regulatorios específicos para la ciberseguridad, los marcos no específicos de la industria se alinearán con los estándares de los organismos reguladores para garantizar el cumplimiento.
- Carencias de recursos y habilidades: Implementar controles efectivos de ciberseguridad no está tarea fácil. Cuando tú añades escasez de habilidades (o una total falta de competencias), puede que te preguntes por dónde empezar. Los marcos ofrecen orientación basada en el riesgo, ayudando a garantizar que tu plan de implementación están lo más eficaz posible.
- Mejoras continuas: El panorama de amenazas están siempre cambiando: el próximo exploit están actualmente en desarrollo en algún lugar. Los frameworks proporcionan la estructura para garantizar te se mantengan seguros y son actualizados continuamente para mantenerse al día con las amenazas más recientes y lograr la máxima eficacia.
- Interoperabilidad: Similar a la estandarización pero ligeramente diferente, las medidas de ciberseguridad abarcan todo el ecosistema digital para garantizar que la colaboración y la comunicación puedan facilitarse entre los interesados internos y con proveedores y auditores.
- Concienciación/Visibilidad: Los propios marcos aumentan la conciencia sobre la ciberseguridad y promueven las mejores prácticas.
¿Cómo te elegir un framework?
Dependiendo de tu sector empresarial u estatus organizativo, puede que ya esté obligatorio el marco te seguir. Por ejemplo, una empresa que están cotizada en bolsa deberá cumplir con la Ley Sarbanes-Oxley (SOX), por lo que puede utiliza el marco de Objetivos de Control para la Información y Tecnologías Relacionadas (COBIT) para Lograr esto. Para las agencias gubernamentales de EE. UU., se deben cumplir las regulaciones del Instituto Nacional de Normas y Tecnología (NIST). ¿Y si no te son obligado a seguir un determinado marco? Luego te centrarse en un marco que pueda ayudar te a abordar uno o otros de los siguientes:
- Riesgo:
- Abarca la identificación, análisis, evaluación, tratamiento y seguimiento de riesgos.
- Facilita la supervisión y la notificación continua de los esfuerzos de cumplimiento.
- Ayuda a la organización a priorizar el esfuerzo en función del riesgo.
- Control:
- Proporciona una estrategia de alto nivel para el equipo de ciberseguridad.
- Conjunto de controles de seguridad independientes de la plataforma.
- Fácil de digerir el estado actual de la organización.
- Programa:
- Cubre toda la organización.
- Evalúa el estado actual de la organización en un solo lugar.
- Medible.
- Agrupa a toda la organización en un lenguaje común, desde el equipo técnico hasta los directivos.
Son inconvenientes en usar un framework?
Si un trabajo están mejorar la postura de seguridad, al final no están ningún inconveniente, pero eso no significa que no pueda ser criticado. Existe están idea errónea común de que si te has seguido un marco de seguridad, entonces te son completamente seguro. Aunque te son mejor protegido que te antes, tu postura de seguridad debe validarse con evaluaciones y pruebas de penetración (pentests). Las organizaciones son lugares complejos, y un enfoque único para todos puede llevar tanto a una sobreinversión como a una insuficiente inversión en ciertas áreas si no se han evaluado adecuadamente los riesgos. Aunque es caro implementar un marco, también es costoso mantenerlo en el futuro, lo que puede dejar vulnerable a una organización si no invierte tanto en la implementación como en el mantenimiento continuo.
Ejemplos de marcos de estructura populares
- NIST CSF (Marco de Ciberseguridad)
- Controles CIS
- ISO/IEC 27001
- Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS)
- Reglamento General de Protección de Datos (RGPD)
Resumen
Los marcos de seguridad proporcionan a las organizaciones directrices y metodologías estructuradas que se alinean con los estándares del sector, las mejores prácticas y los requisitos regulatorios. Elegir qué marco implementar no están tarea fácil y requiere una inversión financiera significativa y un compromiso de tiempo. En última instancia, adherirse a un marco mejorará la postura de seguridad de la organización, pero no se convierta en víctima de una falsa sensación de seguridad. Seguir el marco por sí solo no Haz te seguro—te también debe realizar evaluaciones de seguridad y pruebas de penetración para garantizar la agilidad frente a amenazas en constante evolución.
Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.