Marcos y estándares de seguridad

Los principales

• ISO/IEC 27001: un estándar certificable para un sistema de gestión de seguridad de la información (ISMS): alcance, evaluación de riesgos, un conjunto de controles y mejora continua. La certificación la otorga un auditor externo.
• NIST Cybersecurity Framework (CSF): un marco voluntario organizado en funciones (Govern, Identify, Protect, Detect, Respond, Recover), popular para describir y comunicar la madurez de un programa. No es certificable.
• CIS Critical Security Controls: una lista práctica y priorizada de salvaguardas, agrupadas en niveles de implementación para que los equipos pequeños sepan por dónde empezar.
• PCI DSS: un estándar obligatorio de las marcas de tarjetas para organizaciones que almacenan, procesan o transmiten datos de tarjetas de pago, con requisitos técnicos y de proceso específicos.
• SOC 2: un informe de atestación de un auditor sobre los controles de un proveedor de servicios relativos a seguridad y criterios relacionados; ampliamente solicitado por los clientes.
• Las leyes de privacidad (como el GDPR de la UE y la LGPD de Brasil) son obligaciones legales y no marcos, pero impulsan requisitos de seguridad para los datos personales.

Elegir y combinar

- control: MFA required for all administrative and remote access
  owner: it-security
  maps_to:
    nist_csf: PR.AA
    cis_controls: "6"
    iso_27001: A.8.5
    pci_dss: "8.4"
  evidence: [idp-policy-export, quarterly-access-review]

Leer un marco sin perderse

• Empiece por la estructura (funciones, dominios, familias de controles), no por el texto completo.
• Lea cada control por su intención: ¿qué riesgo pretende reducir?
• Implemente la intención de una manera que encaje con su tecnología; el texto rara vez nombra sus herramientas.
• Anote lo que queda fuera de su alcance y registre el motivo, para que el auditor vea una decisión y no una omisión.

Cumplimiento no es seguridad

• Un marco fija un piso y un lenguaje. No conoce sus amenazas, su arquitectura ni su sistema más débil.
• Las auditorías muestrean el pasado; los atacantes prueban el presente. Aprobar la auditoría del trimestre pasado dice poco sobre hoy.
• El alcance puede ocultar riesgo: un alcance de certificación estrecho cubre solo una parte del negocio.
• Use los marcos para impulsar mejoras reales: tome las brechas y póngalas en el registro de riesgos con responsables.