¿qué es ciberseguridad?

“La ciberseguridad es el conjunto de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad,

directrices, métodos de gestión de riesgos, acciones, formación, prácticas idóneas, seguros y tecnologías que pueden
utilizarse para proteger los activos de la organización y los usuarios en el ciber entorno”.

En este sentido, en línea con los conceptos de ciberdefensa y ciberseguridad, se han venido desarrollando reflexiones
académicas y de la industria relacionadas con algunas amenazas como son el ciberterrorismo y cibercrimen, dos
amenazas emergentes en una sociedad digital que inquietan cada vez más a los ciudadanos, quienes, hoy por hoy, se
sienten vulnerables frente a la materialización de las mismas y sus efectos reales sobre la confianza en el Estado y sus
instituciones.

Si bien la ciberdefensa como la ciberseguridad, son temas de estudio e investigación actual tanto en la industria, la
docencia o el Gobierno, es claro que requieren atención inmediata con acciones definidas que permitan comunicar a
los potenciales agresores que estamos preparados para enfrentar el reto de un ataque informático coordinado y
hacer respetar nuestra soberanía digital.

Por otro lado, definir y desarrollar su misión y visión es fundamental. Misión, para coordinar las acciones necesarias
para la protección de las infraestructuras críticas del Estado, frente a emergencias de ciberataques que atenten o
comprometan la Seguridad. Visión, como promotora del desarrollo de una cultura de ciberseguridad en los
organismos y entes del Estado y las entidades gestoras de las infraestructuras críticas nacionales, enfocada a la
protección del ciberespacio, adoptando y promoviendo el desarrollo de estrategias coordinadas de ciberseguridad
para contribuir a la seguridad de la nación ante amenazas internas y externas materializadas a través del uso de
tecnologías de la información y comunicaciones.

Con todo ello, el eslabón más débil de la cadena de seguridad es el ser humano. Los individuos involucrados en los
diferentes procesos, procedimientos de gestión y operación de una Infraestructura Crítica deben estar concienciados
y capacitados con la importancia y necesidad de que dicha infraestructura sea segura, basando su sensibilización en
los distintos niveles de responsabilidad y funciones.

Introducción

Debido al incremento de amenazas internas y externas, las organizaciones responsables de infraestructuras críticas
deben tener un enfoque consistente e iterativo en identificar, evaluar y gestionar los riesgos de ciberseguridad.

NIST (National Institute of Standards and Technology) ha desarrollado, en colaboración con la industria, un marco de
trabajo con el objetivo de proveer orientación en la gestión de riesgos de ciberseguridad en las infraestructuras
críticas. (*)

El marco de trabajo provee de una taxonomía común y unos mecanismo que permiten a las organizaciones:
Resumen del marco de trabajo El marco de trabajo del NIST tiene un enfoque basado en el riesgo para gestionar la
seguridad. La gestión del riesgo es el proceso continuo basado en: identificar, evaluar y responder a los riesgos. Con
la comprensión de los riesgos, las organizaciones pueden informar y dar prioridad a las decisiones relativas a la
seguridad ciberseguridad.

El marco de trabajo del NIST se compone de tres elementos:

Elementos del marco de trabajo (I)

1.- Núcleo del marco de trabajo El núcleo del marco de trabajo está organizado en:

• Funciones: organiza las actividades en el nivel más alto. Se dividen en: identificar, proteger, detectar, responder y
recuperar.

• Categorías: son las subdivisiones de las funciones. Algunos ejemplos son: Control de Acceso, Procesos de detección,
etc..

• Subcategorías: provee de un conjunto de acciones que ayudan a lograr el objetivo de cada categoría.

• Referencias informativas: son secciones específicas de estándares, guías y buenas prácticas que ilustran un método
para lograr el objetivo buscado en cada subcategoría.

Elementos del marco de trabajo (II)

1.- Núcleo del marco de trabajo Las cinco funciones del núcleo del marco de trabajo son:
Elementos del marco de trabajo (III)

2.- Grados de implementación

Proporcionan información de contexto sobre cómo una organización entiende los riesgos de ciberseguridad y los
procesos para gestionar gestionarlos.

Las organizaciones deben determinar el “Grado” deseado, asegurando que el nivel seleccionado cumple con los
objetivos de la organización, es factible de implementar, y reduce el riesgo de la seguridad cibernética para los
activos críticos y recursos a un nivel aceptable para la organización.

Elementos del marco de trabajo (IV)

3.- Perfil del marco de trabajo:

Los perfiles del marco de trabajo pueden ser usados para describir el estado de madurez actual y el estado de
madurez objetivo en las distintas actividades del marco.

La comparación entre perfiles (perfil actual y perfil objetivo) revelan lagunas que deben abordarse para para lograr
los objetivos de gestión de riesgos de seguridad cibernética.

Flujos de información y decisión (IV)

La siguiente figura describe un flujo de información y decisiones en los siguientes niveles dentro de una organización:

• Ejecutivo

• Negocios / Proceso

• Implementación / Operaciones
Implementando el marco de trabajo

Los pasos siguientes ilustran cómo una organización puede implementar el marco de trabajo: