Frameworks de riesgo: NIST CSF e ISO 27001

Los equipos de seguridad se enfrentan a un número ilimitado de controles potenciales y a recursos limitados. Los marcos de riesgo proporcionan vocabularios estructurados, catálogos de controles y métodos de evaluación que ayudan a las organizaciones a priorizar las inversiones en seguridad, comunicar los riesgos a los directivos y demostrar el cumplimiento.

El NIST CSF (versión 2.0) organiza las actividades de ciberseguridad en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Cada función contiene categorías y subcategorías que se corresponden con resultados de seguridad específicos. Se adopta ampliamente en la infraestructura crítica de EE. UU. y otros lugares.

Identificar abarca la gestión de activos, la evaluación de riesgos, la estrategia de gestión de riesgos y la gestión de riesgos de la cadena de suministro. No puede proteger aquello que no sabe que tiene. Los inventarios completos de activos y las evaluaciones de riesgos son la base de todos los controles de seguridad posteriores.

Proteger abarca el control de acceso, la capacitación, la seguridad de los datos, el refuerzo de los procesos y el mantenimiento. Detectar abarca las anomalías, los eventos de seguridad y la supervisión continua. Una función Detectar madura evita que los atacantes permanezcan mucho tiempo en el entorno al detectar rápidamente las intrusiones.

Responder define la planificación, las comunicaciones, el análisis, la mitigación y las mejoras de la respuesta a incidentes. Recuperar abarca la planificación de la recuperación, las mejoras y las comunicaciones. Probar los planes de respuesta a incidentes y los procedimientos de recuperación garantiza que funcionen cuando sea necesario.

ISO 27001 es una norma internacional para los sistemas de gestión de la seguridad de la información (ISMS). Especifica los requisitos para establecer, implementar, mantener y mejorar continuamente un ISMS. La certificación ISO 27001 demuestra ante clientes y organismos reguladores que la seguridad ha sido validada por terceros.

El Anexo A de ISO 27001:2022 contiene 93 controles organizados en cuatro temas: Organizacional (37 controles), Personas (8), Físico (14) y Tecnológico (34). El Anexo A es un menú: seleccione los controles adecuados para su perfil de riesgo mediante la Declaración de aplicabilidad (SoA).

El proceso de tratamiento de riesgos del ISMS consiste en identificar los activos, identificar las amenazas y vulnerabilidades, evaluar la probabilidad y el impacto, elegir el tratamiento (aceptar, evitar, transferir o mitigar), seleccionar los controles del Anexo A y documentarlo en la SoA. Las revisiones anuales de la evaluación de riesgos mantienen actualizado el ISMS.

El NIST CSF es un marco para organizar y mejorar las prácticas de ciberseguridad, no una norma de certificación. ISO 27001 es una norma certificable con un alcance de ISMS y una auditoría de terceros. Muchas organizaciones utilizan ambos: el NIST CSF como guía operativa e ISO 27001 para la certificación y la confianza de los clientes.

El NIST CSF define cuatro niveles de madurez (Parcial → Informado sobre riesgos → Repetible → Adaptable). Los niveles de madurez de seguridad de CMMI siguen un esquema similar. Utilice evaluaciones de madurez para identificar brechas y establecer hojas de ruta de mejora con avances medibles y graduales hacia una mayor madurez de seguridad.

El NIST CSF y la norma ISO 27001 se pueden asignar a normativas importantes: PCI-DSS, HIPAA, GDPR, SOC 2 y NIST 800-53. El uso de un marco simplifica el cumplimiento de varias normativas: demostrar un control de Proteger del NIST CSF suele satisfacer simultáneamente requisitos similares de varios marcos normativos.

El NIST CSF y la norma ISO 27001 ofrecen enfoques complementarios para la gobernanza de la seguridad. El NIST CSF organiza las actividades de seguridad en Gobernar/Identificar/Proteger/Detectar/Responder/Recuperar como guía operativa, mientras que ISO 27001 proporciona un marco certificable de ISMS con un proceso formal de tratamiento de riesgos y un catálogo de controles del Anexo A.