Marcos de ciberseguridad

Posted in Gestión de riesgos on diciembre 8, 2023
Cybersecurity Frameworks

Los marcos de ciberseguridad son un conjunto de reglas, pautas y estándares para que los líderes de seguridad y las organizaciones comprendan sus posturas de ciberseguridad y sus partes interesadas internas y externas. Con un marco de ciberseguridad, es más fácil para las organizaciones desarrollar e implementar políticas, procedimientos y controles relacionados con la seguridad de la información o la ciberseguridad para evaluar, mitigar y gestionar los riesgos y vulnerabilidades de ciberseguridad.

Los marcos de ciberseguridad incluyen lo siguiente:

Marcos De Ciberseguridad

Descripción general de los marcos de ciberseguridad del NIST

El Marco de Ciberseguridad del NIST proporciona un conjunto de pautas para mitigar los riesgos de ciberseguridad. Fue publicado por el US NIST basado en estándares, pautas y prácticas existentes. El marco de ciberseguridad del NIST sirve como guía para organizar y mejorar el programa de ciberseguridad. Proporciona un conjunto de pautas y mejores prácticas que ayudan a construir y hacer que la postura de ciberseguridad sea más fuerte y robusta.

El marco del NIST sugiere un conjunto de recomendaciones y estándares para permitir la preparación en la identificación y detección de incidentes de ciberseguridad y ataques de piratas informáticos. El marco también proporciona pautas para responder, prevenir y recuperarse de incidentes o ataques cibernéticos.

El marco hace hincapié en lo siguiente con respecto a la gestión de riesgos de ciberseguridad:

  • Identificación de procesos y activos de información a proteger
  • Protección de los activos de información mediante la implementación de controles apropiados
  • Detección de la ocurrencia de incidentes de ciberseguridad
  • Responder al impacto de los incidentes de ciberseguridad, mediante el desarrollo de técnicas apropiadas, para la minimización del impacto de los incidentes
  • Recuperación de servicios tras incidentes de ciberseguridad mediante la implementación de procesos adecuados

Descripción general de ISO 27005 «Gestión de riesgos de seguridad de tecnología de la información»

ISO 27005 – Gestión de riesgos de seguridad de tecnología de la información proporciona directrices y enfoques para las actividades de gestión de riesgos de seguridad de la información.

ISO 27005 proporciona un enfoque continuo para el proceso de gestión de riesgos de la información. Se divide en componentes clave, incluido el establecimiento del contexto, la evaluación del riesgo, el tratamiento del riesgo, la aceptación del riesgo, la aceptación del riesgo y el monitoreo y la revisión del riesgo.

ISO 27005 establece el enfoque de gestión de riesgos para identificar riesgos, asignar la propiedad del riesgo y evaluar cómo los riesgos afectan la confidencialidad, integridad y disponibilidad de datos e información. También requiere calcular el impacto del riesgo y la probabilidad.

El banco puede adoptar un proceso de evaluación de riesgos basado en activos, incluida la compilación de activos de información, la identificación de amenazas y vulnerabilidades, la asignación de puntajes de impacto y probabilidad, la evaluación de riesgos contra los niveles de aceptabilidad y la priorización de riesgos para sus tratamientos.

Marcos De Ciberseguridad

Existen diferentes maneras de tratar el riesgo, incluidas las siguientes:

  • Evitar el riesgo eliminándolo por completo
  • Aplicación de controles para modificar el riesgo
  • Compartir el riesgo con un tercero
  • Retención del riesgo, si es aceptable

Se requiere una comunicación de riesgos efectiva y continua para garantizar que los empleados del banco entiendan la base sobre la cual se toman las decisiones basadas en el riesgo y por qué se necesitan ciertas acciones. Las prácticas de gestión de riesgos deben monitorear los nuevos activos de información, los valores de los activos que requieren modificación, los nuevos riesgos de seguridad que deben evaluarse y los incidentes de seguridad de la información que ocurren en el banco.

La ciberseguridad es la práctica de proteger los sistemas de información y las fuentes de datos. La gobernanza juega un papel importante en el desarrollo e implementación de un programa GRC de ciberseguridad. La Junta Directiva es principalmente responsable de proporcionar supervisión a la gerencia y los empleados para administrar los riesgos y amenazas de ciberseguridad.

Reflexiones finales

Los marcos de ciberseguridad adecuados proporcionan dirección y preparación operativa a la organización. Los marcos se desarrollan en función de los requisitos de la industria y de la organización interna, teniendo en cuenta la aplicabilidad de las leyes, normas y reglamentos emitidos y prescritos por las autoridades u organismos reguladores.

Los marcos de ciberseguridad hacen hincapié en la evaluación y gestión de riesgos de ciberseguridad, incluida la identificación de procesos y activos de información que necesitan protección y protección de los activos de información mediante la implementación de salvaguardias y controles apropiados.