NIST RMF, ISO 27001 y CIS Controls

Los marcos de seguridad son conjuntos estructurados de directrices, buenas prácticas y controles que ayudan a las organizaciones a crear y mantener programas de seguridad eficaces. En lugar de empezar desde cero, los marcos proporcionan una metodología probada que puede adaptarse al tamaño, el sector y el perfil de riesgo de la organización. El examen Security+ se centra en tres marcos ampliamente adoptados: NIST RMF, ISO 27001 y los CIS Controls, cada uno de los cuales aborda la seguridad desde una perspectiva diferente.

El NIST Risk Management Framework (NIST SP 800-37) es un ciclo de vida de seis pasos para gestionar el riesgo de seguridad y privacidad en los sistemas de información federales, aunque también se adopta ampliamente en el sector privado. Los seis pasos son: Categorize (sensibilidad del sistema y los datos), Select (controles adecuados de SP 800-53), Implement (implementar controles), Assess (comprobar la eficacia), Authorize (decisión de ATO por parte del funcionario autorizador) y Monitor (supervisión continua). El RMF hace hincapié en la autorización continua, en lugar de en certificaciones puntuales.

NIST SP 800-53 es el catálogo de controles que alimenta la fase Select del RMF. Organiza cientos de controles de seguridad y privacidad en 20 familias, como Access Control (AC), Audit and Accountability (AU), Incident Response (IR) y System and Communications Protection (SC). Los controles tienen asignaciones de línea base (Low, Moderate, High) que corresponden al nivel de impacto FIPS-199 del sistema, de modo que las organizaciones seleccionan el conjunto de controles adecuado para su categoría de riesgo.

ISO/IEC 27001 es un estándar internacional para los Information Security Management Systems (ISMS). A diferencia de NIST, que se centra en Estados Unidos, ISO 27001 goza de reconocimiento internacional y permite a las organizaciones obtener una certificación formal de terceros, lo que resulta valioso para generar confianza en los clientes y formalizar contratos internacionales. El estándar sigue el ciclo Plan-Do-Check-Act (PDCA) y se centra en crear un sistema de gestión en torno a la seguridad de la información, en lugar de especificar controles técnicos individuales.

El Anexo A de ISO 27001:2022 contiene 93 controles organizados en cuatro temas: Organizational (37 controles: políticas, funciones y relaciones con proveedores), People (8 controles: contratación, formación y desvinculación), Physical (14 controles: instalaciones y equipos) y Technological (34 controles: control de acceso, malware, cifrado y registro). No es necesario implementar todos los controles: las organizaciones seleccionan los que resultan aplicables según su Statement of Applicability (SoA) y justifican cualquier control que excluyan.

Los CIS Critical Security Controls (anteriormente SANS Top 20) son un conjunto priorizado de 18 grupos de controles desarrollados por el Center for Internet Security. Son muy prácticos y están orientados a la acción, ya que están diseñados para implementarse de inmediato, no para gestionar programas a largo plazo. Los CIS Controls se organizan en tres Implementation Groups (IG): IG1 (higiene cibernética esencial, 56 salvaguardas), IG2 (añade 74 salvaguardas para entornos más complejos) e IG3 (las 153 salvaguardas para organizaciones maduras que afrontan amenazas sofisticadas).

Los CIS Controls definen qué hacer en términos generales; los CIS Benchmarks definen cómo hacerlo para plataformas específicas. Los CIS Benchmarks proporcionan instrucciones prescriptivas, paso a paso, para reforzar sistemas operativos (Windows, Linux), plataformas en la nube (AWS, Azure, GCP), dispositivos de red, navegadores y bases de datos. Se pueden descargar gratuitamente y se utilizan ampliamente como especificación técnica para CIS Control 4 (Secure Configuration). Las herramientas de automatización, como Chef, Ansible e InSpec, pueden aplicar CIS Benchmarks a gran escala.

Cada marco responde principalmente a una necesidad diferente. NIST RMF es el más adecuado para el Gobierno de Estados Unidos y los contratistas de defensa que necesitan procesos formales de autorización. ISO 27001 es el más adecuado para las organizaciones que desean una certificación reconocida internacionalmente para demostrar su seguridad a los clientes. Los CIS Controls son los más adecuados para las organizaciones que buscan medidas priorizadas y prácticas para mejorar rápidamente sus defensas. Muchas organizaciones maduras utilizan los tres: CIS Controls para las operaciones diarias, NIST RMF para la gobernanza del riesgo e ISO 27001 para la certificación de cara al cliente.

En el examen Security+ aparecen otros marcos. COBIT (Control Objectives for Information Technologies) se centra en la gobernanza de TI y en alinear la seguridad con los objetivos empresariales. SOC 2 es un estándar de auditoría para proveedores de servicios que evalúa la seguridad, la disponibilidad, la confidencialidad, la integridad del procesamiento y la privacidad. PCI-DSS es un estándar prescriptivo de cumplimiento para entornos que procesan tarjetas de pago. Comprender estos marcos le permite hablar el lenguaje de distintos sectores y entornos normativos.

Al elegir un marco, tenga en cuenta: el requisito normativo (HIPAA exige salvaguardas aplicables; FedRAMP exige NIST), los requisitos de los clientes (los clientes empresariales pueden exigir la certificación ISO 27001), la madurez de la organización (CIS IG1 es adecuado para organizaciones pequeñas que están comenzando) y el sector de actividad (los servicios financieros pueden exigir NIST CSF o SOC 2). Es mejor empezar con un marco y ampliarlo que intentar implementar todos simultáneamente, ya que esto abruma a los equipos pequeños.

Los tres marcos comparten un compromiso con la mejora continua. El paso Monitor del NIST RMF impulsa las pruebas continuas de los controles. La fase Act de ISO 27001 exige acciones correctivas y planes de mejora. Los CIS Controls se versionan y actualizan a medida que evoluciona el panorama de amenazas (actualmente, versión 8.1). Los programas de seguridad que tratan los marcos como un ejercicio de cumplimiento puntual se quedan rápidamente atrás: los marcos están diseñados como programas vivos que maduran con el tiempo junto con las capacidades de la organización y las amenazas emergentes.

Ponga a prueba su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que NIST RMF proporciona un ciclo de vida del riesgo de seis pasos (Categorize, Select, Implement, Assess, Authorize, Monitor) con controles de SP 800-53; ISO 27001 es un estándar ISMS certificable internacionalmente, basado en PDCA y con controles del Anexo A; y los CIS Controls ofrecen 18 grupos de controles priorizados en tres grupos de implementación para lograr mejoras de seguridad prácticas y aplicables. A continuación, examinaremos los esquemas de clasificación de datos y los requisitos de privacidad.