El Marco de Ciberseguridad o Cibersecurity Framework del Instituto Nacional de Estándares y Tecnología, NIST por sus siglas en inglés, es una herramienta para la gestión de riesgos asociados a la seguridad de la información y si bien es un marco de adopción voluntaria, ofrece diferentes ventajas. A continuación te contamos más sobre este.
Desde hace algunos años, la seguridad de la información o ciberseguridad ha tomado mayor relevancia en las organizaciones, tanto que han diseñado y ejecutado programas para proteger su información, su activo más importante, y para actuar de la mejor manera frente a un ataque cibernético porque, como sucede con los riesgos financieros o de reputación, el riesgo cibernético genera impacto negativo en los objetivos de negocio. Con un software como Pirani ISMS puedes identificar, gestionar y controlar estos riesgos fácilmente.
Frente a esto, existen diferentes estándares internacionales que ofrecen buenas prácticas para la implementación de un sistema de gestión de seguridad de la información. La norma ISO 27001 es uno de los más conocidos, pero no el único.
De hecho, el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST), que depende del Departamento de Comercio de Estados Unidos, fue desarrollado teniendo en cuenta los controles y procesos presentados por estándares de ciberseguridad ya aceptados, entre estos: NIST SP 800-53, ISO/IEC 27001:2013, COBIT 5 y CIS CSC. La versión 1.0 del Marco fue publicada en febrero de 2014 y la versión 1.1 en abril de 2018.
Como el mismo NIST explica, el Marco "es una metodología con un enfoque para reducir el riesgo vinculado a las amenazas cibernéticas que puedan comprometer la seguridad de la información".
¿Y para qué sirve? El Marco del NIST, que por su simplicidad y flexibilidad se adapta a organizaciones de cualquier sector o tamaño, permite entender, gestionar y disminuir la probabilidad de ocurrencia de un riesgo cibernético gracias a la adecuada protección de sus redes y datos.
Puede utilizarse como referencia para establecer un programa o sistema de seguridad cibernética o para revisar e identificar oportunidades que ayuden a complementar y mejorar el existente.
Este Marco, también conocido como Cibersecurity Framework, está compuesto por tres partes: el núcleo, los niveles de implementación y los perfiles del Marco.
Es un conjunto de actividades para lograr resultados de seguridad cibernética, hace referencia a estándares, directrices y buenas prácticas de la industria. Este núcleo está conformado por cinco funciones, simultáneas y continuas, que deben seguirse para implementar o complementar un buen programa de seguridad de la información.
Estas funciones son:
Adicional a estas cinco funciones, el núcleo del Marco está conformado por otros tres elementos: categorías, subcategorías y referencias informativas; todos trabajan juntos para gestionar los riesgos asociados a la seguridad de la información.
Ofrecen un contexto sobre cómo una organización considera el riesgo de seguridad cibernética y los procesos y programas para gestionarlo.
La selección de estos niveles por parte del NIST toma en cuenta prácticas de gestión de riesgos, requisitos legales y reglamentarios, objetivos empresariales, requisitos de seguridad cibernética, entre otros.
Según explica, "los niveles respaldan la toma de decisiones organizacionales sobre cómo gestionar el riesgo de seguridad cibernética, así como qué dimensiones de la organización son de mayor prioridad y podrían recibir recursos adicionales".
Los niveles son cuatro y se definen por el proceso de gestión de riesgos, el programa integrado de gestión de riesgos y la participación externa:
Para determinar el nivel deseado, el NIST recomienda a las organizaciones asegurarse de que el nivel que seleccionen cumple con sus objetivos, es fácil de implementar y disminuye el riesgo cibernético para sus activos y sus datos.
Se refiere a la alineación de las funciones, categorías y subcategorías con los requisitos empresariales, la tolerancia al riesgo y los objetivos de la organización.
Estos perfiles sirven para describir el estado actual u objetivo de las actividades que se realizan en ciberseguridad. El perfil actual habla de los resultados que se están logrando, mientras que el perfil objetivo muestra los resultados que se requieren para lograr los objetivos trazados en la gestión de riesgos cibernéticos.