Autor: Felipe Lopera Bohórquez
| Es evidente que los riesgos cibernéticos están cada vez más latentes y con ello surge la necesidad de establecer mecanismos para blindarse en un grado aceptable ante estas situaciones, es por esto, que varias organizaciones alrededor del mundo han venido trabajando con el propósito de proteger uno de los recursos más importantes en esta era digital, es decir, los datos.
En el presente blog se explican los lineamientos más utilizados para proteger la información en cualquier empresa, los cuales deben emplearse como guías y no como la única solución a los riesgos de seguridad de la información.
Cada marco tiene sus propios controles y particularidades, las cuales serán aplicables de acuerdo con las necesidades y el contexto de la organización:
COBIT (Objetivos de Control para Información y Tecnologías Relacionadas) Este marco es recomendado para empresas de tamaño mediano a grande y en casi todos los sectores. COBIT fue desarrollado por ISACA (Asociación de Auditoría y Control de Sistemas de Información), una organización sin ánimo de lucro que se enfoca en el gobierno de TI.
Este marco contiene lineamientos dirigidos al control y supervisión de TI, además describe una serie de herramientas que pueden servir para la gestión de TI, en los cuales se incluyen objetivos de control, guías técnicas de gestión y mapas de auditoría. Usualmente este marco es adaptado a empresas públicas ya que se utiliza como herramienta de cumplimiento para la ley Sarbanes-Oxley.
Para más información puede acceder al siguiente enlace: https://www.isaca.org/resources/cobit
ISO 27001 Este lineamiento es recomendable para cualquier industria sin importar el tamaño, además, fue creado y publicado por la Organización Internacional de Normalización (ISO).
El objetivo de la ISO 27001 es la protección de la confidencialidad, integridad y disponibilidad de la información en una compañía, teniendo como filosofía la gestión de riesgos, es decir, identificarlos y posteriormente tratarlos de manera sistémica. A continuación, se comparte un enlace en el cual se puede obtener más información: https://www.isotools.com.co/beneficios-pasos-implementar-iso-27001/
NIST CSF (Instituto Nacional de estándares y tecnología – Marco de ciberseguridad) Este Instituto es una agencia no reguladora del Departamento de comercio de los Estados Unidos, el cual plantea un marco sobre ciberseguridad, ayudando a identificar, gestionar y responder riesgos de seguridad.
El NIST CSF está basado en los riesgos y es recomendable para cualquier tipo de organización. Este lineamiento plantea cinco áreas: identificación, protección, detección, respuesta y recuperación. Marcos Gutiérrez, un especialista y consultor en temas de ciberseguridad plantea que este marco es uno de los más acertados al momento de organizar los dominios.
La Comisión Federal de Comercio explica en el siguiente enlace cada uno de las áreas que plantea este marco https://www.ftc.gov/es/system/files/attachments/understanding-nist-cybersecurity-framework/cybersecurity_sb_nist-cyber-framework-es.pdf
En el siguiente enlace se comparte una lista de chequeo que permite entender las cinco áreas: https://es.linkedin.com/pulse/lista-chequeo-nist-cybersecurity-framework-espa%C3%B1ol-marcos-gutierrez
HITRUST CSF (Marco de Seguridad de Ciberseguridad de la Alianza de Confianza de información de salud) Es un marco de seguridad de la información utilizado para el área de la salud, sin embargo, podría ser implementado en cualquier organización. Este lineamiento plantea un conjunto de controles y prácticas de seguridad cibernética, proporcionando una guía detallada para la protección de la información de salud y garantiza la privacidad de los pacientes.
En el siguiente enlace se puede conocer a detalle el marco, sus beneficios y las particularidades: https://hitrustalliance.net/product-tool/hitrust-csf/
CSA Cloud Control Matrix Este lineamiento es recomendable para proveedores de nube de todos los tamaños y para aquellas empresas que utilizan información en la nube. El marco fue desarrollado por Cloud Security Alliance (CSA), una organización sin fines de lucro y líder en su mercado que se encarga de promover las mejores prácticas para la seguridad en la nube y fomentar sobre los riesgos y las amenazas a las que están expuestas las organizaciones que utilizan este servicio.
En el siguiente enlace se comparte el sitio oficial del CSA https://cloudsecurityalliance.org/
Si bien algunos marcos se acoplan a ciertos tipos de organizaciones, no existe una única manera en la que se deban utilizar los lineamientos, dado que esto puede variar de acuerdo con la estrategia que defina la organización y cómo se proyecta en un futuro. Estos marcos son una ruta de inicio para agregar valor en las organizaciones, teniendo en cuenta que tienen enfoques basados en riesgos.
Cabe mencionar que el auditor deberá documentarse y actualizarse con respecto a las tendencias de ciberseguridad, puesto que es una actividad que constantemente está cambiando. |
Fuentes:
|
