ACTUALIZACIÓN: Esta entrada, publicada originalmente en August 1, 2024, se ha revisado para reflejar la ampliación del alcance del marco normativo, el contexto normativo actualizado y las nuevas directrices sobre la aplicación práctica de las normas de ciberseguridad.
En el panorama actual de amenazas, en constante evolución, en el que los ataques son cada vez más sutiles y sofisticados, los marcos de ciberseguridad resultan esenciales (y, en algunos casos, obligatorios) para garantizar la seguridad y la integridad de los sistemas de información de una organización.
Estos marcos ayudan a los equipos de TI a gestionar los riesgos, aplicar medidas de seguridad contrastadas y cumplir con los requisitos de cumplimiento normativo, especialmente en sectores regulados como , las organizaciones gubernamentales, el comercio minorista y la asistencia sanitaria.
En esta entrada del blog se explica en detalle qué son los marcos de ciberseguridad, por qué son importantes y cómo elegir los más adecuados para su organización.
Podrá comparar directamente diez de las normas más utilizadas —desde el NIST hasta el PCI DSS— y aprenderá a adaptarlas a su perfil de riesgo, a los requisitos de su sector y a sus objetivos de cumplimiento normativo.
Tanto si está desarrollando una estrategia de seguridad desde cero como si está perfeccionando una ya existente, esta entrada le ayudará a superar las dificultades y a dar los siguientes pasos con confianza.
¿Qué son los marcos de ciberseguridad?
Un marco de ciberseguridad es un conjunto de directrices, buenas prácticas y normas diseñadas para ayudar a las organizaciones a gestionar y reducir sus riesgos de ciberseguridad. Proporciona un lenguaje y una estructura comunes para coordinar a los equipos de TI, seguridad y cumplimiento normativo en torno a los objetivos de gestión de riesgos, lo que incluye la identificación, la protección, la detección, la respuesta y la recuperación ante amenazas cibernéticas.
Los marcos de ciberseguridad también actúan como primera línea de defensa, contribuyendo a proteger sus activos digitales más valiosos, desde los datos de los clientes y la propiedad intelectual hasta los sistemas que mantienen su empresa en funcionamiento. En un panorama de amenazas en constante evolución —y en el que muchas organizaciones aún carecen de un enfoque coherente para evaluar y gestionar los riesgos—, los marcos de referencia proporcionan la estructura y la confianza que necesita para mantenerse a la vanguardia.
Aunque las ventajas son evidentes, los marcos de trabajo también pueden plantear retos: actualizaciones frecuentes, complejidad creciente, demanda de recursos y la necesidad de adaptarse a las prácticas existentes en materia de seguridad de los datos y gestión de riesgos.
Sin embargo, cuando se aplican de forma reflexiva, no solo mejoran su nivel de seguridad, sino que también aportan claridad y coherencia a la forma en que su organización gestiona el riesgo cibernético.
Es fundamental comprender la importancia de estos marcos. Ofrecen una hoja de ruta para proteger la información crítica y desarrollar una ciberresiliencia a largo plazo , abordando todos los aspectos clave de la ciberseguridad, desde la gobernanza y la gestión de riesgos hasta la detección y la respuesta.
Lista de marcos de ciberseguridad: explicación de las 10 normas más populares
Analicemos diez normas habituales de ciberseguridad para comprender qué marcos normativos podrían resultar beneficiosos para su organización y por qué.
- Objetivos de control para la información y las tecnologías relacionadas (COBIT)
COBIT es un marco para la gobernanza y la gestión de las tecnologías de la información, incluida la ciberseguridad, que armoniza las tecnologías de la información con los objetivos empresariales, al tiempo que gestiona los riesgos y el cumplimiento normativo.
ISACA, una organización profesional mundial para profesionales de las tecnologías de la información, desarrolló los Objetivos de control para la información y las tecnologías relacionadas, conocidos como el estándar COBIT. En lugar de prescribir tecnologías concretas, COBIT ofrece un enfoque estructurado para la gobernanza y la gestión de la información y la tecnología de las empresas.
Describe cómo las organizaciones pueden implementar procesos de gobernanza y gestión teniendo en cuenta las necesidades de las partes interesadas y estableciendo las prioridades en consecuencia. El marco incluye componentes como las estructuras organizativas, los flujos de información y los indicadores de rendimiento. Además, refuerza las prácticas de seguridad informática al integrarlas en los objetivos empresariales más amplios. En lugar de sustituir a otras normas de ciberseguridad, COBIT las complementa, actuando a menudo como un nivel de gobernanza que respalda la implementación de marcos como el del NIST.
- Certificación del Modelo de Madurez en Ciberseguridad (CMMC)
El CMMC es un marco normativo federal de EE. UU. que garantiza que los contratistas del sector de la defensa protejan la información controlada no clasificada (CUI). Incluye tres niveles de madurez y se ajusta estrechamente a las normas NIST SP 800-171 y SP 800-172.
La Certificación del Modelo de Madurez en Ciberseguridad del , o marco CMMC, es una norma de seguridad federal de EE. UU. diseñada para proteger al sector de la Base Industrial de Defensa (DIB) —el consorcio global de empresas que desarrollan sistemas de armamento militar y otras tecnologías para las Fuerzas Armadas de EE. UU.— frente a las ciberamenazas.
[Lea también: «Lo que los contratistas del Departamento de Defensa deben saber sobre el cumplimiento de la norma CMMC 2.0 »]
En concreto, el marco CMMC está diseñado para garantizar que las empresas que desarrollan sistemas de apoyo a las fuerzas armadas estadounidenses cumplan los requisitos de ciberseguridad del Departamento de Defensa (DoD) que se aplican a los programas de adquisición y a los sistemas que procesan información controlada (CUI). Estas normas revisten una importancia especial para las organizaciones que forman parte de la cadena de suministro del sector de la defensa, donde la protección de la información controlada (CUI) es fundamental para la seguridad nacional. La última versión del CMMC, el programa CMMC 2.0 , introduce tres características fundamentales: un modelo por niveles para las normas de ciberseguridad, requisitos de evaluación simplificados y una implementación basada en contratos.
La norma CMMC 2.0 define asimismo tres niveles de madurez, cada uno de los cuales establece requisitos de ciberseguridad cada vez más exigentes en función de la sensibilidad de la información que se maneja. Estos niveles abarcan desde medidas básicas de ciberseguridad y autoevaluaciones en el Nivel 1 hasta protecciones avanzadas, verificadas por el Gobierno, para la información no clasificada controlada en el Nivel 3.
Nota: El Center for Internet Security, una organización sin ánimo de lucro estadounidense fundada en 2000 con el objetivo de «ayudar a las personas, las empresas y los gobiernos a protegerse frente a las omnipresentes amenazas cibernéticas», ofrece un conjunto de controles para ayudar a las organizaciones a cumplir los requisitos del CMMC 2.0 .
El CIS ofrece guías de correspondencia entre sus controles de seguridad críticos v8 y el CMMC 2.0. Estos controles CIS de ayudan a las empresas del sector de la defensa (DIB) a implementar los controles y procesos de seguridad que necesitan para cumplir con los requisitos del CMMC 2.0 .
- Ley Federal de Modernización de la Seguridad de la Información (FISMA)
La ley FISMA exige a los organismos federales de EE. UU. y a sus contratistas que apliquen medidas de seguridad de la información en función del nivel de riesgo.
El original
Ley Federal de Modernización de la Seguridad de la Información
, conocida como FISMA, se aprobó en 2002 y exige a cada organismo federal que elabore, documente y ponga en práctica un programa a nivel de todo el organismo destinado a garantizar la seguridad de la información y los sistemas que respaldan las operaciones y los activos del organismo, incluidos aquellos proporcionados o gestionados por otro organismo, un contratista u otras fuentes. En el año 2014 se aprobó una versión actualizada de la ley.
La FISMA establece un marco de cumplimiento que incluye:
☑ Elaboración de un inventario de sistemas de información
☑ Sistemas de clasificación en función del nivel de riesgo
☑ Aplicación de los controles de seguridad descritos en NIST SP 800-53 y en la norma complementaria FIPS-200, «Requisitos mínimos de seguridad para la información y los sistemas de información federales»
En general, la FISMA adopta un enfoque basado en el riesgo para la protección de los sistemas de información. La Ley de Seguridad de la Información de exige a los organismos federales que proporcionen «…medidas de protección de la seguridad de la información acordes con el riesgo y la magnitud del perjuicio derivado del acceso, uso, divulgación, interrupción, modificación o destrucción no autorizados de la información recopilada o conservada por un organismo o en su nombre, así como de los sistemas de información utilizados u operados por un organismo, por un contratista de dicho organismo o por otra organización en nombre de este».
- Reglamento General de Protección de Datos (RGPD)
El RGPD es un reglamento de la Unión Europea (UE) centrado en la privacidad, el control y la protección de los datos de los residentes de la UE.
El Reglamento General de Protección de Datos, denominado RGPD, entró en vigor el May 25, 2018. El RGPD exige a las organizaciones que tratan datos de carácter personal (PII) de residentes de la UE que apliquen controles rigurosos en materia de privacidad y seguridad de los datos. Asimismo, otorga a las personas el derecho a acceder a sus datos personales, rectificarlos y solicitar su supresión. Las grandes organizaciones deben nombrar a un delegado de protección de datos (DPO) para supervisar la gestión de los datos de los consumidores, garantizando que se apliquen los controles de seguridad necesarios y que las organizaciones puedan responder a las solicitudes de los consumidores de manera oportuna. La ley también establece normas sobre qué datos se pueden recopilar y cómo se pueden utilizar.
Además, infringir el RGPD puede salir muy caro. Las multas del RGPD pueden alcanzar hasta el 4 % de la facturación anual global de la organización o 20 millones de euros, lo que sea mayor. El RGPD fue la primera ley de protección de datos de amplio alcance de la era de Internet. Ha servido de modelo para las leyes y normativas en materia de protección de datos de otras regiones. Por ejemplo, la Ley de Privacidad del Consumidor de California (), que también se aprobó en 2018, comparte muchas características con el RGPD. [Lea también: 10 formas en las que Tanium mejora la gestión de riesgos y la privacidad de los datos] Cualquier organización que mantenga relaciones comerciales con residentes de la UE debe cumplir con el RGPD. En consecuencia, el RGPD se ha convertido en una norma de facto para el cumplimiento de la normativa sobre protección de datos en las empresas de todo el mundo. Dado que esta ley se está utilizando como modelo para la legislación de otras regiones, merece la atención de las empresas de todo el mundo. Si una empresa cuenta con un programa de ciberseguridad que incluye controles de gestión y seguridad de los datos para cumplir con el RGPD, es probable que esté bien preparada para cumplir con otras normativas de protección de datos vigentes en otras regiones o en sectores específicos.
- Health Information Trust Alliance (HITRUST CSF)
HITRUST CSF es un marco para la protección de la información sanitaria que unifica los requisitos de cumplimiento de la HIPAA, la ISO y otras normas.
HITRUST es una empresa privada con ánimo de lucro con sede en Frisco, Texas. Ha creado una norma de ciberseguridad, denominada inicialmente «HITRUST Common Security Framework» y que ahora se conoce como «HITRUST CSF». El CSF de HITRUST es un marco de referencia certificable, lo que significa que las organizaciones pueden someterse a una evaluación validada por un evaluador externo autorizado por HITRUST para obtener la certificación. La certificación la expiden evaluadores externos, no la propia HITRUST.
El objetivo de la norma es agilizar el cumplimiento de otros marcos de ciberseguridad, como la HIPAA y las normas ISO/IEC 27000 , incluida la ISO/IEC 27001. A pesar de que el HITRUST CSF goza de una amplia aceptación, algunos profesionales de la ciberseguridad consideran que el marco es engorroso y obsoleto.
No obstante, muchas organizaciones sanitarias optan por cumplir con el HITRUST CSF no solo para cumplir con la HIPAA, sino también para implementar controles de seguridad que minimicen las vulnerabilidades y mejoren la protección frente a amenazas cibernéticas, como el malware, el phishing, y el compromiso del correo electrónico empresarial (BEC).
- Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)
La HIPAA exige controles de privacidad y seguridad de los datos para proteger la información sanitaria de los pacientes en todas las organizaciones sanitarias de EE. UU.
La Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996, también conocida como HIPAA, es una norma de ciberseguridad esencial para el sector sanitario de EE. UU. Exige que los profesionales sanitarios y las entidades financiadoras (organizaciones que sufragan la asistencia sanitaria, como las aseguradoras médicas, Medicare y Medicaid) protejan la privacidad de la información médica personal (PHI) de los pacientes.
Por «PHI» se entiende la información relacionada con la salud que puede utilizarse para identificar a una persona y que está protegida en virtud de la HIPAA. Incluye elementos que también pueden considerarse información de carácter personal, como nombres, historiales médicos o datos del seguro. La «portabilidad» a la que se refiere el título de la ley es la posibilidad de que los pacientes transfieran sus historiales médicos de un proveedor a otro en situaciones como, por ejemplo, un cambio de trabajo. Para garantizar que la confidencialidad de dichos registros no se vea comprometida, ya sea de forma intencionada o accidental, durante su almacenamiento o transferencia, la HIPAA establece requisitos estrictos en materia de confidencialidad y seguridad de los datos y recomienda medidas de protección, como el cifrado y los controles de acceso, aunque no se imponen tecnologías específicas. Las recomendaciones de la HIPAA tienen como objetivo promover las mejores prácticas en materia de ciberseguridad y minimizar el riesgo de filtraciones de datos que afecten a la información de identificación personal (PII).
Las empresas que incumplan la HIPAA pueden enfrentarse a cuantiosas multas, que podrían ascender a varios millones de dólares. Asimismo, podrían sufrir un daño duradero a su reputación.
Además de las sanciones a las organizaciones, la HIPAA prevé sanciones civiles y penales para las personas que hagan un uso indebido a sabiendas de la información médica protegida (PHI), con multas de hasta 250,000 dólares y posibles penas de prisión.
- Organización Internacional de Normalización (ISO) 27001, ISO 27002
Las normas ISO 27001 y 27002 son normas internacionales que adoptan un enfoque integral de la ciberseguridad, haciendo hincapié en las personas, las políticas y la tecnología.
La norma ISO 27001 establece los requisitos para establecer, implantar, mantener y mejorar continuamente un sistema de gestión de la seguridad de la información (SGSI). La norma ISO 27002 entra en más detalles y ofrece buenas prácticas y objetivos de control relacionados con el control de acceso, la criptografía, la seguridad de los recursos humanos y la respuesta a incidentes .
- Instituto Nacional de Estándares y Tecnología (NIST)
El NIST desarrolla estándares y marcos de ciberseguridad que ayudan a las organizaciones a gestionar y reducir los riesgos de seguridad en todos los sectores.
El Instituto Nacional de Estándares y Tecnología (, NIST) es, como su nombre indica, el principal organismo del Gobierno federal de los Estados Unidos encargado de publicar normas, incluidas las relativas a la ciberseguridad, tales como:
• La Publicación Especial (SP) 800-53 del NIST ofrece un catálogo de controles de seguridad y privacidad para sistemas de información y organizaciones, proporcionando controles fundamentales para el programa de seguridad de prácticamente cualquier organización.
• El documento NIST SP 800-171 «» establece los requisitos de seguridad para las organizaciones no federales que deban elaborar información no clasificada controlada.
• La publicación NIST SP 800-172 «» complementa a la NIST SP 800-171 con requisitos adicionales para la protección de la información controlada (CUI).
• El Marco de Ciberseguridad del NIST (CSF) es un marco de seguridad destinado a promover la protección y la resiliencia de las infraestructuras críticas y otros sectores importantes para la economía y la seguridad nacional. En lo que respecta al Marco de Seguridad Cibernética del NIST (CSF), la agencia ha publicado normas para garantizar la seguridad de todo tipo de sistemas, desde los sistemas informáticos federales hasta los datos genómicos. Además, otros marcos de ciberseguridad, como el CMMC 2.0, utilizan los marcos de ciberseguridad del NIST como referencia para establecer controles de seguridad.Los ataques contra infraestructuras críticas —entre las que se incluyen organizaciones que prestan servicios esenciales como la energía, la sanidad y los servicios financieros— han aumentado en los últimos años. Las organizaciones de infraestructuras críticas deberían plantearse adoptar el Marco de Seguridad Cibernética (CSF) del NIST para mejorar su nivel de ciberseguridad y defenderse de estos ciberataques.
Todas las empresas pueden beneficiarse de seguir las directrices del NIST en materia de ciberseguridad. Una de las ventajas de adoptar los marcos del NIST es que la agencia sigue revisando y actualizando sus normas, teniendo en cuenta las nuevas tecnologías, las amenazas a la seguridad y las sugerencias de los profesionales de la seguridad.
- Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS)
La norma PCI DSS es un estándar destinado a proteger los datos de las tarjetas de crédito mediante un conjunto exhaustivo de requisitos en materia de seguridad de redes, accesos y datos.
El Consejo de Normas de Seguridad del Sector de las Tarjetas de Pago (PCI SSC), un foro mundial dedicado a promover la seguridad de los datos de las cuentas, desarrolló la Norma de Seguridad de Datos del Sector de las Tarjetas de Pago, o PCI DSS, con el fin de fomentar y mejorar la seguridad de los datos de las cuentas de tarjetas de pago y facilitar la adopción generalizada de medidas coherentes de seguridad de datos a escala mundial.
La seguridad es fundamental para el sector de las tarjetas de crédito, y la norma PCI DSS constituye un referente básico en materia de políticas de seguridad para los procesadores de tarjetas de crédito (tarjetas de pago).
La norma PCI DSS establece una serie de requisitos técnicos y operativos diseñados para proteger los datos de las cuentas de pago, organizando sus controles de seguridad en seis grupos:
1.Crear y mantener una red y unos sistemas seguros 2.Proteger los datos de los titulares de tarjetas 3.Mantener un programa de gestión de vulnerabilidades 4.Implementar medidas sólidas de control de acceso 5.Supervisar y probar periódicamente las redes 6.Mantener una política de seguridad de la información
Antes de la adopción de la norma PCI DSS, las cinco principales marcas de tarjetas de crédito —American Express, Discover, JBC, MasterCard y VISA— contaban cada una con sus propias normas de seguridad para proteger los datos de las cuentas y combatir el fraude. Al adoptar una norma común, el sector de las tarjetas de pago simplificó el cumplimiento normativo para los comerciantes y los proveedores de servicios, evitando la necesidad de legislar al hacer cumplir los requisitos de seguridad a través de obligaciones contractuales.
Los comerciantes de sectores como el comercio minorista y el comercio electrónico que aceptan transacciones con tarjeta de crédito deben cumplir los requisitos de cumplimiento de la norma PCI DSS y, a menudo, necesitan controles básicos, como cortafuegos, cifrado y gestión de accesos, para proteger los datos confidenciales. La forma en que informan sobre su cumplimiento varía en función del volumen de transacciones con tarjeta de crédito que procesan anualmente. Los comerciantes que procesan solo unos pocos miles de transacciones tienen requisitos distintos a los que procesan muchos millones.
El cumplimiento de la norma PCI DSS se verifica anualmente mediante un cuestionario de autoevaluación (SAQ) o un informe de cumplimiento (ROC) formal elaborado por un evaluador de seguridad cualificado (QSA), en función del volumen de transacciones.
Control de organizaciones de servicios, tipo 2 (SOC 2))
SOC 2 es un marco de ciberseguridad de carácter voluntario destinado a garantizar que las organizaciones prestadoras de servicios almacenen, gestionen y protejan adecuadamente los datos de los clientes.
El conjunto de directrices SOC 2’s , establecido por el Instituto Americano de Contables Públicos Certificados (AICPA), se articula en torno a estos cinco principios:
1. Disponibilidad
2. Confidencialidad
3. Privacidad
4. Integridad del procesamiento
5. Seguridad
Cuando una organización prestadora de servicios —como una empresa comercial que recopila y trata datos de clientes a través de un sitio web— desea demostrar que gestiona dichos datos de forma responsable, puede optar por someterse a una auditoría SOC 2 .
Si supera la auditoría, la organización podrá garantizar a sus clientes, inversores y otras partes interesadas que se ha sometido a una auditoría SOC 2 y que ha recibido un informe de certificación que confirma que sus controles cumplen los Criterios de Servicios de Confianza, lo que demuestra que ha implementado controles suficientes de gestión de riesgos de ciberseguridad para minimizar el riesgo de filtraciones de datos y otros incidentes de ciberseguridad.
Comparación comparativa de los marcos de ciberseguridad
Como puede comprobar, con tantos marcos disponibles, cada uno con su propio enfoque, requisitos y relevancia para el sector, puede resultar complicado determinar cuál o cuáles se ajustan mejor a las necesidades de su organización.
La tabla que figura a continuación ofrece una comparación paralela de estos marcos de ciberseguridad con el fin de aclarar su finalidad, su ámbito de aplicación y sus componentes clave:
| Marco | Ideal para | Requisitos fundamentales |
|---|---|---|
| COBIT | Gobernanza de las tecnologías de la información y gestión de riesgos empresariales | Objetivos de gobernanza Gestión del rendimiento Madurez de los procesos Alineación de las partes interesadas |
| CMMC 2.0 | Contratistas del DIB de EE. UU. | Niveles escalonados (FCI/CUI) — Conformidad con la norma NIST SP 800-171/172 — Evaluaciones realizadas por terceros |
| FISMA | Organismos federales de EE. UU. y empresas contratistas | Controles de seguridad basados en el riesgo. Supervisión continua. Inventario del sistema. Elaboración de informes. |
| RGPD | Organizaciones que tratan datos de residentes en la UE | Fundamento jurídico del tratamiento: Consentimiento. Derechos de los interesados. Notificación de violaciones de seguridad. |
| HITRUST CSF | El sector sanitario, el financiero y otros sectores regulados | Marco de control unificado; Adaptación basada en el riesgo; Certificación; Supervisión continua |
| HIPAA | Organizaciones sanitarias | Protección de la información médica protegida (PHI). Controles de auditoría. Medidas de seguridad administrativas, técnicas y físicas. |
| ISO 27001 | Empresas internacionales de todos los sectores | Desarrollo del SGSI. Evaluación de riesgos. Mejora continua. Controles del anexo A. |
| ISO 27002 | Organizaciones que aplican los controles de la norma ISO 27001 | Orientaciones para la aplicación de los controles del anexo A de la norma ISO 27001 . Mejores prácticas en materia de control de acceso, criptografía, seguridad de los recursos humanos y respuesta ante incidentes |
| NIST CSF 2.0 | Agencias federales de EE. UU., infraestructuras críticas, empresas | Funciones de identificación, protección, detección, respuesta y recuperación. Controles basados en resultados |
| PCI DSS | Comercio minorista, comercio electrónico y proveedores de servicios de pago | Cifrado, control de acceso, segmentación de redes y gestión de vulnerabilidades |
| SOC 2 | Proveedores de SaaS y organizaciones de servicios | Seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad (Criterios de los servicios de confianza) |
Si bien la comparación anterior ofrece una visión general útil, la selección del marco más adecuado requiere un análisis más detallado de las necesidades específicas, los riesgos y el marco normativo de su organización.
En la siguiente sección, analizaremos los aspectos clave que le ayudarán a determinar qué marco de ciberseguridad —o combinación de marcos— se ajusta mejor a su estrategia.
¿Qué marco es el más adecuado para la ciberseguridad?
Lamentablemente, no existe una respuesta válida para todos los casos. El marco de ciberseguridad adecuado depende de su sector, de los tipos de datos que gestione, de su entorno normativo y de la capacidad de su equipo.
Para ayudarle a acotar las opciones, pregúntese:
🧩 ¿Qué normativas del sector se nos aplican?
¿Pertenecemos al sector sanitario, de la defensa, financiero o minorista, cada uno con sus propios requisitos de cumplimiento normativo?
🔐 ¿Qué tipos de datos gestionamos?
¿Tratamos información sanitaria protegida (PHI), información confidencial (CUI), información sujeta a la normativa PCI o información de identificación personal (PII) que requiera medidas de protección específicas?
🌍 ¿Operamos a nivel mundial?
¿Estamos sujetos a normativas internacionales como el RGPD debido al tratamiento de datos de residentes en la UE?
🔍 ¿Con qué frecuencia se nos somete a auditorías?
¿Estamos obligados a realizar evaluaciones externas o auditorías internas de forma periódica?
🧰 ¿De qué recursos disponemos?
¿Es realista pensar que nuestro equipo pueda gestionar y supervisar múltiples marcos de trabajo que podrían solaparse?
Algunos marcos normativos, como la HIPAA y el HITRUST CSF, son específicos de un sector concreto, como el sanitario, y a menudo es obligatorio cumplir con las normas reconocidas del sector en materia de protección de datos y cumplimiento normativo. Otras normas, como la PCI DSS, se centran en tipos de datos concretos, por lo que ofrecen directrices y buenas prácticas para proteger los datos de las cuentas de tarjetas de pago, pero no abordan otros tipos de riesgos. Las normas de carácter más general, como la NIST SP 800-53 , ofrecen un conjunto básico de controles de ciberseguridad que muchas organizaciones adoptan como referencia.
Consejo de experto: La elección de un marco de ciberseguridad no consiste simplemente en marcar casillas, sino en adaptarlo a la misión de su organización, a su tolerancia al riesgo y a sus realidades operativas. Muchas organizaciones consideran que la combinación de varios marcos les ofrece la flexibilidad y la amplitud de cobertura que necesitan.
¿De qué manera mejoran los marcos de ciberseguridad la postura de seguridad de las organizaciones?
Los marcos de ciberseguridad proporcionan directrices que se han desarrollado, perfeccionado, probado y demostrado su eficacia a lo largo del tiempo. Pueden ofrecer orientaciones claras y puntos de referencia que las organizaciones pueden utilizar para orientar sus iniciativas de ciberseguridad y evaluar periódicamente el éxito de dichas iniciativas.
Asimismo, pueden ayudar a una organización a cumplir los requisitos normativos esenciales y a demostrar a los clientes, inversores, organismos reguladores y otras partes interesadas que se toman en serio los retos en materia de ciberseguridad y que están trabajando activamente para mitigarlos.
Los marcos de ciberseguridad constituyen un enfoque descendente de la ciberseguridad. Proporcionan planes de trabajo basados en principios como la seguridad y la disponibilidad y, a continuación, definen los detalles sobre cómo aplicar dichos principios en la práctica.
Un enfoque complementario de la ciberseguridad consiste en reforzar los controles de seguridad de abajo hacia arriba, empezando por los terminales y los datos con los que trabajan a diario los empleados.
Disponer de visibilidad, control, seguridad y gestión en tiempo real de todos los dispositivos finales de —incluidos ordenadores de sobremesa, portátiles, tabletas, servidores y otros dispositivos de su empresa— puede ayudarle a sentar las bases para cumplir con cualquier marco de ciberseguridad o combinación de marcos que decida implementar. Puede contribuir a una rápida mitigación de amenazas y mejorar su postura de seguridad mediante , que supervisa de forma continua los terminales de toda su empresa en busca de riesgos.
Aquí es donde entra en juego Tanium.
Cómo ayuda Tanium a las organizaciones a ajustarse a los marcos de ciberseguridad
La solución Tanium Autonomous Endpoint Management (AEM) permite a las organizaciones poner en práctica los principales marcos de ciberseguridad —como el NIST CSF 2.0, el PCI DSS y el CMMC 2.0—by —, proporcionando visibilidad, control y automatización en tiempo real que permiten a los equipos gestionar los riesgos, aplicar políticas y respaldar las iniciativas de cumplimiento normativo a gran escala.
Una de las funciones clave de Tanium AEM, , Tanium Risk & Compliance , ofrece las capacidades técnicas necesarias para gestionar el cumplimiento normativo en toda la empresa. Permite una gestión continua de los riesgos, automatiza los flujos de trabajo de corrección y garantiza el cumplimiento normativo en tiempo real. En conjunto, estas capacidades contribuyen a que Tanium AEM actúe como una plataforma unificada que sirve de puente entre las operaciones de seguridad y la gobernanza, proporcionando una única fuente de información fiable para los datos de los terminales y permitiendo una actuación coordinada en las iniciativas operativas, de seguridad y de cumplimiento normativo.
Gracias a su perfecta integración con plataformas como , Microsoft , Intune, Entra ID y , ServiceNow, Tanium amplía nuestra visibilidad y automatización en tiempo real para facilitar la aplicación del acceso condicional, proporciona señales de riesgo de los dispositivos en tiempo real y agiliza los flujos de trabajo de respuesta ante incidentes y corrección de incidencias.
Aunque estas capacidades parecen muy potentes en teoría, resultan aún más convincentes en la práctica. Veamos cómo la empresa de servicios profesionales JLL puso en práctica estas capacidades al tiempo que modernizaba su marco de ciberseguridad con Tanium.
Caso práctico de un cliente: Cómo Tanium y Microsoft Defender for Endpoint ayudaron a JLL a modernizar su marco de ciberseguridad
Ante el aumento de las exigencias normativas, muchas organizaciones se están replanteando sus estrategias de ciberseguridad para lograr un equilibrio entre la eficiencia operativa y la preparación para el cumplimiento normativo. JLL es una de esas organizaciones que ha modernizado con éxito su marco de ciberseguridad mediante la integración de Tanium y Microsoft Defender for Endpoint.
Esta transformación no solo proporcionó a JLL visibilidad en tiempo real de la actividad de las amenazas en casi 100,000 terminales, sino que también permitió a la empresa pasar de unas operaciones de seguridad reactivas a otras proactivas mediante la introducción de la búsqueda activa de amenazas y de medidas preventivas más avanzadas.
By implementing Microsoft 365 E5, JLL gained advanced security capabilities that, when combined with Tanium’s visibility and control, strengthened the depth and quality of its security controls.
Esta alineación con la hoja de ruta conjunta de Microsoft y Tanium permitió a JLL satisfacer sus necesidades de ciberseguridad a largo plazo mediante una estrategia preparada para el futuro.
Para conocer cómo se llevó a cabo esta transformación —y el impacto que tuvo en la estrategia de seguridad de JLL—, puede ver el vídeo que figura a continuación y consultar el caso práctico completo en .
Preguntas frecuentes sobre los marcos de ciberseguridad
Los marcos de ciberseguridad pueden resultar complejos, sobre todo a la hora de lidiar con normas que se solapan y requisitos de cumplimiento en constante evolución.
Para ayudar a aclarar algunos de los aspectos que suelen generar más dudas, hemos recopilado a continuación una breve lista de preguntas frecuentes.
¿Cuál es la diferencia entre el NIST y el CMMC?
El NIST ofrece orientaciones generales sobre ciberseguridad aplicables a todos los sectores, mientras que el CMMC se aplica específicamente a los contratistas del Departamento de Defensa (DoD) y garantiza el cumplimiento mediante auditorías realizadas por terceros.
¿Es la HIPAA un marco de ciberseguridad?
Más o menos. La HIPAA es una ley sobre la protección de la privacidad en el ámbito sanitario que incorpora un marco de ciberseguridad a través de su Norma de Seguridad. Establece normas para la protección de la información médica protegida (PHI) y describe las medidas de seguridad administrativas, físicas y técnicas que deben adoptar las organizaciones sanitarias.
¿Y qué hay de MITRE ATT&CK?
El Marco MITRE ATT&CK « » ( ) constituye una potente base de conocimientos sobre las tácticas y técnicas de los adversarios. No se trata de un marco normativo ni de cumplimiento, sino más bien de una herramienta de modelización de amenazas que se utiliza para mejorar las estrategias de detección, respuesta y simulación.
Complementa los marcos tradicionales, como el NIST y la ISO, al ayudar a los equipos de seguridad a detectar, responder y simular amenazas de forma más eficaz. Muchas organizaciones utilizan ATT&CK para mejorar la elaboración de modelos de amenazas y la planificación de la respuesta ante incidentes.
¿Cuál es el marco de ciberseguridad más utilizado?
El NIST CSF es , clasificado sistemáticamente como el marco de ciberseguridad más valioso por los profesionales del sector, reconocido por su flexibilidad, adaptabilidad y alineación con los objetivos de gestión de riesgos y cumplimiento normativo.
¿Existe un marco de análisis de riesgos en el ámbito de la ciberseguridad?
Si bien la mayoría de los marcos de ciberseguridad hacen hincapié en los controles y el cumplimiento normativo, el modelo FAIR (Análisis de factores de riesgo de la información) de la Asociación de Riesgos Financieros ( ) ofrece una perspectiva diferente para cuantificar el riesgo cibernético en términos financieros.
No se trata de un marco de cumplimiento normativo, sino más bien de una metodología de análisis de riesgos que ayuda a las organizaciones a priorizar sus inversiones y a expresar los riesgos en términos empresariales.
¿Pueden las organizaciones seguir más de un marco de referencia?
Por supuesto. Muchas organizaciones adoptan y combinan varios marcos de trabajo para dar respuesta a los requisitos que se solapan en materia de cumplimiento normativo, seguridad y resiliencia operativa.
Familiarizarse con los marcos de ciberseguridad no tiene por qué resultar abrumador. Tanto si está adaptándose al NIST CSF 2.0, preparándose para el CMMC 2.0 o gestionando múltiples requisitos, Tanium le ayuda a unificar y optimizar sus esfuerzos, sin sacrificar la visibilidad ni el control.
¿Desea simplificar el cumplimiento normativo y reforzar su nivel de seguridad? Solicite una demostración gratuita en para descubrir cómo Tanium puede ayudar a su equipo a dar el siguiente paso.
