NIST – Cybersecurity Framework

Una herramienta la cual logra impulsar la ciberseguridad de las

organizaciones mediante prácticas efectivas, llegando a partir de distintos
estándares se logre una mejor gestión de la información ofreciendo la
orientación de reducción de los riesgos

¿Qué enfatiza el marco?

Hacer que la comprensión de los negocios de cualquier tamaño, entre en

juego e identifiquen sus riesgos y a partir de un lenguaje en común se logre
desarrollar una gestión de riesgo para la administración, reducción y
protección de los datos.

En sí, el marco pues es masivo cuando de estándares hablamos, por una

parte, aunque por otra expone distintas áreas para la implementación en un
negocio:

Identificación

Al enumerar y analizar todo sistema, dato o activo, debe haber un análisis

desarrollado de los riesgos de estos enfatizando la mitigación de estos si
estuvieran presentes.

Protección
Se busca seguir un procedimiento que puede ser protagonista de riesgo,
optando por evitarlo asegurando las distintas instancias (acceso a red,
copias de seguridad, codificación de datos, entrada de datos, etc.)

Detección

A partir de distintas instancias lograr la identificación de flujos sospechosos

de datos, un monitoreo de logs y optar por lograr procedimientos para la
detección de entornos físicos y virtuales de todo tipo de acción.

Respuesta

A base del cumplimiento de las áreas anteriores y la seguridad de

respuestas actualizadas, seguras y planeadas, se debe a partir de las
acciones informar un evento detectado.

Recuperación

Centrado en mantener y restaurar toda parte de red o equipo que podrían

afectarse en alguna etapa de la empresa, centrada en la estructuración de
planes.
Niveles de Implementación

En estos niveles lo que se busca dirigir el marco, categorizándolo por

distintas etapas de madurez para esta gestión, es a partir de:

Nivel 1 – Parcial (Identificación)

Este nivel lo que enfatiza es que practicas deben utilizarse para

riesgos experimentados, análisis de datos y evaluación de riesgos.

Nivel 2 – Informado por Riesgo (Detección)

Los riesgos se hacen conscientes junto a la planificación contra ellos,

se busca estar al tanto de los problemas a su medida.

Nivel 3 – Repetible (Protección y Respuesta)

Se definen procesos definidos y regularmente repetibles, se buscan

medidas de protección y establecimiento para los incidentes ya
previstos en el Nivel 1

Nivel 4 – Adaptativo (Recuperación)

Se hace una insistencia en las medidas de ciberseguridad

periódicamente, buscando una recuperación de posibles datos en
perdida

Integración con ISO, ISA, COBIT y ITIL

Este marco tiene referencias informativas que vienen directamente de

distintos estándares los cuales tienen como base distintas finalidades, ISO
27001, ISA/IEC 62443, COBIT y ITIL amplía aún más la perspectiva,
fortaleciendo, centrando y dando enfoques de gobernanza en todos los
controles de TI junto a estos estándares internacionales.

De los estándares que encontramos sumados a este cuadro se dicen ser:

ISO 27001 - Seguridad de la Información

- Enfoque en la identificación y protección mediante confidencialidad,

integridad y disponibilidad de información.
- Gestión de riesgos integral y la mitigación de amenazas cumpliendo
con el marco NIST (identificación).

ISA/IEC 62443 - Ciberseguridad para Sistemas de Control Industrial

- Enfoque específico en sistemas críticos fortaleciendo la protección de
sistemas de control industrial.
- Detección de amenazas específicas cumpliendo la fase de Detección
del Marco NIST.

COBIT (Control Objectives for Information and Related Technologies)

- Alineándose especialmente con las fases de Identificación y respuesta

del marco NIST.
- Mejora continua y monitoreo promoviendo la alineación con objetivos
empresariales.