El Marco de Ciberseguridad del NIST
En 2014, el Instituto Nacional de Estándares y Tecnología (NIST) del Departamento de Comercio de EE. UU. elaboró una de las guías más importantes en materia de ciberseguridad, denominada «Marco de Ciberseguridad del NIST: » (), que sirve de referencia común para que las empresas de todos los sectores evalúen mejor los riesgos y mejoren la seguridad y la resiliencia de las infraestructuras críticas. El Marco ofrece a las organizaciones, tanto del sector privado como del público, un conjunto de normas sectoriales voluntarias y buenas prácticas destinadas a facilitar la gestión de riesgos. En menos de tres años, más del 30 % de todas las organizaciones estadounidenses han adoptado el Marco o alguna parte del mismo. Para el año 2020, se prevé que esa cifra aumente hasta el 50 %.
A principios de este mes, tuve la oportunidad de hablar sobre el Marco y las mejores prácticas para su implementación en la Cumbre de Ciberseguridad de Billington, organizada por la Asociación de Empresas de Servicios de Información ( ) , celebrada en Washington, D.C., junto a un impresionante grupo de líderes del sector:
- Jeff Snyder, vicepresidente de programas cibernéticos de Raytheon Corporation
- Contralmirante (en la reserva) Michael Brown, vicepresidente y director general del sector público global de RSA
- Donna Dodson, asesora jefe de ciberseguridad del NIST y directora del NCCOE del NIST
- Ryan Gillis, vicepresidente de Estrategia de Ciberseguridad y Política Global de Palo Alto Networks
- Terry Rice, vicepresidente y director de seguridad de la información (CISO) del departamento de Tecnologías de la Información de Merck
Mejorar la ciberseguridad del país
El Marco del NIST surgió como respuesta a una Orden Ejecutiva sobre la « » ( ), promulgada por el presidente Barack Obama, en la que se solicitaba la creación de un marco para mejorar la ciberseguridad de las infraestructuras críticas de nuestro país. Lo que en un principio se concibió como una política pública se ha ampliado hasta convertirse en una solución empresarial de mayor alcance, en la que cualquier organización no solo puede utilizar «The Framework», sino también comprenderlo de forma viable. La adopción del Marco ha tenido tanto éxito por cuatro razones:
- Es flexible:. El Marco no es un modelo «único para todos». Las organizaciones pueden adaptarlo a sus necesidades específicas, integrarlo en sus políticas de ciberseguridad ya existentes y complementarlo con orientaciones específicas para cada sector, como la «Guía de implementación del Marco de Ciberseguridad para el sector sanitario».
- Ofrece un lenguaje común. Por fin existe una forma de que todos los miembros de una organización, desde la sala de servidores hasta la sala de juntas, puedan comunicar con claridad los riesgos de manera que todos puedan entenderlos. Esto, a su vez, ayuda a los compradores y proveedores a indicar sus procesos de ciberseguridad actuales o deseados.
- Ayuda a las organizaciones a establecer prioridades en sus inversiones en ciberseguridad. Al identificar qué actividades de TI son fundamentales para la misión, el Marco puede ayudar a determinar dónde se encuentran las mayores amenazas, maximizando así cada dólar invertido en TI.
- Es realista:. Reconoce que se producirán infracciones y ofrece orientaciones para detectarlas, responder a ellas y recuperarse lo antes posible.
Este mes, el NIST ha publicado un suplemento de la guía, la herramienta « » (BCEB) de Baldrige para la excelencia en ciberseguridad , una herramienta de autoevaluación que las organizaciones pueden utilizar para medir de forma más eficaz sus iniciativas en materia de ciberseguridad. Es importante señalar que la adopción del Marco o del BCEB no implica que una organización cumpla con la normativa federal, estatal o del sector. Más bien, estos documentos son directrices de carácter voluntario que las organizaciones pueden adoptar y adaptar a sus necesidades específicas.
El NIST ha aprovechado su capacidad de convocatoria para reunir a organizaciones del sector privado y del sector público con el fin de desarrollar un enfoque de ciberseguridad voluntario, flexible y basado en el riesgo. Para que el Marco resulte aún más útil, nosotros, como miembros de las comunidades empresarial y de seguridad, debemos compartir entre nosotros y con el Gobierno las lecciones aprendidas. Si su organización aún no está aplicando el Marco, sea usted quien impulse el cambio para ayudar a que el 30 % alcance el 50 %.
Acerca del autor: Ralph Kahn es vicepresidente del área federal de Tanium. En este cargo, se encarga de satisfacer la necesidad del Gobierno de los Estados Unidos de disponer de información sobre la situación en tiempo real y a gran escala. Ralph cuenta con más de 25 años de experiencia en el sector tecnológico. Anteriormente, Ralph ocupó el cargo de vicepresidente de Intel y tecnologías emergentes en McAfee, donde se encargaba de dirigir un grupo de tecnología avanzada dedicado a la investigación cibernética con visión de futuro. Bajo su dirección, este grupo descubrió varios vectores de amenaza nuevos y desarrolló un modelo de intercambio de información e interacción entre sistemas cibernéticos que se utiliza como base de los productos de McAfee y que se está ampliando para incluir otros productos de ciberseguridad.
