El Marco de Ciberseguridad revisado del NIST incluye dos cambios fundamentales: una mayor profundidad en los detalles sobre la gestión de riesgos de la cadena de suministro cibernética y una nueva sección dedicada a los indicadores y la medición de la ciberseguridad. David Damato, director de estrategia de Tanium, explica por qué estas actualizaciones son importantes para las empresas y en qué aspectos vemos margen de mejora.
El Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST), publicado por primera vez en 2014, ha gozado de gran popularidad tanto entre las empresas como entre los organismos públicos, debido en gran medida a su carácter voluntario, basado en el riesgo y no uniforme para todos. En January 2017 , el Marco recibió su primera actualización significativa —y muy necesaria— ; y ; el plazo para presentar comentarios del público finalizó el April 10.
Según 2020, , el 50 % de todas las organizaciones estadounidenses utilizarán el Marco, según predice la empresa de investigación Gartner. Las organizaciones utilizan el Marco para evaluar su situación en materia de ciberseguridad, establecer objetivos y desarrollar un programa de ciberseguridad adaptado a sus riesgos específicos y a sus objetivos empresariales. La versión revisada incluye dos cambios fundamentales: información más detallada sobre la gestión de riesgos en la cadena de suministro cibernética y una nueva sección dedicada a los indicadores y la medición de la ciberseguridad.
Marco del NIST: Abordar la ciberseguridad en la gestión de la cadena de suministro
Dada la naturaleza interconectada de nuestro mundo, ya no basta con que las organizaciones se ocupen únicamente de su seguridad interna. Deben ser conscientes de los riesgos de seguridad en toda su cadena de suministro, ya que cualquier socio podría, sin saberlo, constituir un punto de acceso a la organización. El Marco actualizado proporciona a las organizaciones un vocabulario común para comunicar los requisitos de ciberseguridad a compradores, proveedores y otros socios. Pueden establecer estos requisitos mediante contratos y, a continuación, comprobar si se han cumplido, todo ello utilizando un marco común basado en el riesgo.
Es difícil subestimar la importancia de integrar la ciberseguridad en la gestión de la cadena de suministro. Muchas empresas y organismos públicos mantienen contratos con docenas e incluso cientos de proveedores que, a menudo, disponen de un amplio acceso a su red. Una agencia federal que desee modernizar sus sistemas informáticos, o una empresa que busque un proveedor de servicios en la nube, ahora puede indicar sus necesidades de seguridad de forma estandarizada. El Marco constituye, asimismo, una base común para numerosos organismos reguladores; ahora que tiene en cuenta la gestión de riesgos de la cadena de suministro, resulta aún más eficaz.
Marco del NIST: Establecimiento de indicadores de ciberseguridad
Aún más importante es la nueva sección sobre la evaluación de la ciberseguridad, cuya ausencia en el borrador original resultaba notable. Si se lleva a cabo correctamente, la evaluación de la ciberseguridad constituye uno de los cambios más significativos que podemos introducir para mejorar la ciberseguridad a gran escala. Un conjunto común de indicadores permitiría a las empresas trabajar con el fin de alcanzar objetivos comunes cuantificables. Con el tiempo, si se aplican los incentivos adecuados, dichos indicadores podrían permitirles evaluar su nivel de riesgo en comparación con organizaciones similares. Esto haría que el seguro cibernético fuera una opción mucho más eficaz de lo que es actualmente, al permitir a las aseguradoras estandarizar las primas. Además, ayudaría al Gobierno a elaborar políticas y estrategias eficaces respaldadas por datos del mundo real.
En este borrador, se definen los indicadores de manera que incluyan «niveles de implementación, subcategorías y categorías». Aunque las organizaciones pueden utilizar estos componentes del Marco para tomar decisiones fundamentadas, el Marco sigue careciendo de orientaciones sobre cómo medir el rendimiento de forma estandarizada o evaluar la eficacia de las actividades de ciberseguridad.
Si bien la fortaleza del Marco radica en que no se trata de una solución única para todos, existen ciertas métricas fundamentales que todas las organizaciones deberían conocer —o, al menos, esforzarse por conocer— tanto para la planificación interna como para la comparación con otras organizaciones del mismo sector. Ha llegado el momento de que el NIST colabore con el sector privado y los organismos gubernamentales para acordar estos indicadores fundamentales y publicarlos, ya sea dentro del Marco o en un documento independiente.
Por supuesto, para que dichos indicadores tengan sentido, las organizaciones deben basarse en datos actualizados procedentes de sistemas de registro fiables y contrastados. Para muchas organizaciones, esto sigue siendo un reto. Si bien el NIST reconoce que «la exactitud y la precisión de los sistemas de medición» influyen en la capacidad de las organizaciones para establecer una correlación entre la ciberseguridad y los resultados empresariales, es necesario hacer hincapié en este punto. Un sistema de registro preciso y oportuno es fundamental para cualquier iniciativa de medición.
El Marco ya ha ayudado a las organizaciones a sentar las bases para la gestión de riesgos. Ahora debe centrarse en aplicar ese mismo rigor a la medición del riesgo.
Lea más en el blog de directivos de Tanium:
- ¿Por qué el departamento de TI no está logrando mantener una buena higiene de seguridad?
- Las tres fases de la higiene de seguridad: Evaluación
- Las tres fases de la higiene de seguridad: Marco de referencia
Acerca del autor,: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interno de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.
