Marco de evaluación cibernética

El Marco de Evaluación Cibernética (CAF) es un mecanismo desarrollado por el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) en 2018 para supervisar la seguridad de las operaciones, con el fin de cumplir con el Reglamento de Seguridad de Redes y Sistemas de Información (Reglamento NIS) y respaldar los requisitos de Infraestructura Nacional Crítica (CNI). ^{[ 1 ]}

Aunque la herramienta es utilizada principalmente por el CNI, también pueden usarla otras organizaciones. ^{[ 2 ]} El objetivo principal del CAF es introducir a los ayuntamientos en prácticas eficientes de ciberseguridad para que comprendan su nivel de seguridad en una inspección de ciberseguridad. ^{[ 3 ]} Esto permite a los ayuntamientos comprender cómo gestionar su propia ciberseguridad y qué mejoras realizar en su protección. Dado que la Unión Europea tuvo que incorporar la Directiva NIS a la legislación nacional de cada estado, el CAF se aplica a cualquier organización que resida en el territorio al que se aplica esta norma, mientras que otros países que adoptaron su propia ley de ciberseguridad no tendrían que seguirla. ^{[ 4 ]}

El CAF también es utilizado por los gobiernos locales para crear estándares efectivos en cuanto al refuerzo de la protección contra las ciberamenazas. ^{[ 5 ]} Al acceder al marco, el gobierno local reforzará sus medidas de ciberseguridad para proteger a los usuarios y también establecerá nuevos estándares de ciberprotección para su departamento. ^{[ 6 ]}

El CAF tiene cuatro objetivos que se aplican a la evaluación de la resiliencia cibernética de una organización , los cuales ayudan a identificar los puntos débiles de su ciberseguridad y cómo mejorarlos. Las personas pueden consultar la lista de recursos gratuitos del NCSC Toolkit para obtener orientación sobre cómo mejorar sus medidas de seguridad y su capacidad de respuesta ante un ciberataque.

Cada principio del CAF conlleva un Resultado Contributivo, lo que da lugar a un total de 39 Resultados Contributivos, según cómo la organización intente alcanzar el objetivo. Cada resultado está marcado con un Indicador de Buenas Prácticas (IGP), que es fundamental para evaluar la ciberseguridad de la organización. Tras la evaluación, la organización crea una hoja de ruta que incluye las mejoras necesarias para su ciberseguridad.

La CAF tiene catorce principios, que se dividen en cuatro objetivos a seguir: ^{[ 7 ]}

Objetivo A

Gestión del riesgo de seguridad

• A1: Gobernanza
• A2: Gestión de riesgos
• A3: Gestión de activos
• A4: Cadena de suministro

El objetivo A se centra en la disponibilidad de procesos y políticas capaces de gestionar los riesgos de seguridad que podrían afectar a sus funciones esenciales. ^{[ 8 ]} Con los procesos y políticas disponibles, los riesgos de seguridad pueden inspeccionarse y evaluarse para ayudar a la organización a saber qué aspectos de la seguridad deben mejorarse. Una vez completada la evaluación, si la organización logra este objetivo, contará con los elementos suficientes para garantizar un análisis significativo de las ciberamenazas que afectarán a partes de sus servicios, como los sistemas de información de los dispositivos y la red utilizada para alojar el servicio; un conocimiento eficaz para analizar cómo desviar los ciberataques; y evaluaciones de riesgos actualizadas que proporcionen información sobre las ciberamenazas recientes consideradas avanzadas. ^{[ 9 ]}

Objetivo B

Protección contra ciberataques

• B1: Políticas y procesos de protección del servicio
• B2: Control de identidad y acceso
• B3: Seguridad de los datos
• B4: Seguridad del sistema
• B5: Redes y sistemas resilientes
• B6: Sensibilización y formación del personal

El objetivo B se centra en las medidas de seguridad que tiene una organización, evaluando su ubicación en el sistema y su preparación para proteger cualquier servicio importante que esté en funcionamiento contra las ciberamenazas. ^{[ 10 ]} Diversas medidas de seguridad, como honeypots , firewalls , seguridad de datos y muchas otras, son eficaces para defenderse de los ciberataques. Al completar este objetivo en una evaluación, la defensa de seguridad de la organización estará presente en todo momento para prevenir cualquier brecha de seguridad en el servicio.

Objetivo C

Detección de incidentes de ciberseguridad

• C1: Monitoreo de seguridad
• C2: Detección de anomalías

El objetivo C evalúa la capacidad de reacción del personal al mantener las medidas de seguridad y la habilidad de la seguridad para percibir patrones de eventos cibernéticos que indiquen una posible interrupción de las funciones esenciales de la organización. ^{[ 10 ]} Un ciberataque revelará patrones que servirán como indicadores para las medidas de seguridad. Al alcanzar este objetivo durante la evaluación, la organización demuestra su capacidad para percibir un ciberataque inminente que interrumpirá o dañará cualquier parte importante de sus servicios cuando todas las medidas de seguridad fallen. ^{[ 11 ]}

Objetivo D

Minimizar el impacto de los incidentes de ciberseguridad

• D1: Planificación de respuesta y recuperación
• D2: Mejoras

El objetivo D se centra en cómo responderá un individuo a un ciberataque después de que su organización haya sido atacada, incluyendo cómo minimizar el daño causado a las operaciones esenciales y cómo restablecerlas tras el ciberataque. ^{[ 10 ]} Cuando el ciberataque comienza a remitir, una organización o un individuo debe ser capaz de responder a esta situación con el conocimiento necesario para restaurar la funcionalidad del servicio afectado. Para mitigar los daños derivados del ciberataque, la organización debe comprender la causa del evento para evitar que un ataque similar afecte nuevamente a sus servicios.

Estos cuatro objetivos abarcan los pilares fundamentales de la ciberresiliencia que muchas organizaciones deben seguir para mejorar sus medidas de ciberseguridad y su resistencia ante los ciberataques. Los objetivos están diseñados para reforzarse mutuamente, lo que significa que si uno no está activo, el resto no funcionará correctamente. ^{[ 12 ]} Si bien el marco es muy similar a las categorías de controles creadas por la norma ISO 27001 , no son exactamente idénticos, ya que las categorías de controles se centran en los diferentes tipos de controles, mientras que el CAF es una evaluación enfocada en mejorar las medidas de ciberseguridad para otras organizaciones.

Cada uno de estos elementos está vinculado a "resultados" y "resultados contribuyentes". En total, hay 14 resultados y 39 resultados contribuyentes. El NCSC ha publicado Indicadores de Buenas Prácticas (IGP, por sus siglas en inglés); las tablas IGP pueden utilizarse para evaluar si cada objetivo se ha "logrado", "no logrado" o "parcialmente logrado". Se espera que las organizaciones realicen una autoevaluación y elaboren una hoja de ruta para la mejora. Las Autoridades Competentes revisan la evaluación y la hoja de ruta.

Los resultados contribuyentes están vinculados a la evaluación de cada principio del CAF, que tiene aproximadamente 39 resultados contribuyentes en total. Cada uno de esos resultados está indicado con un Indicador de Buenas Prácticas (IGP), que son indicadores de cómo se evalúa la ciberseguridad de una organización, para juzgar si el resultado contribuyente ha sido "Logrado", "Parcialmente Logrado" o "No Logrado". ^{[ 13 ]} Esto determinará si las prácticas de ciberseguridad que ha utilizado una organización se considerarían buenas o malas prácticas de ciberseguridad. Según Vilnius Tech , los IGP vienen en forma de listas de verificación que son convenientes para que la autoridad las use al revisar la ciberseguridad y la ciberresiliencia de una organización. ^{[ 14 ]} Toda organización bajo revisión debe crear una hoja de ruta para las mejoras a realizar a medida que autoevalúa su seguridad, en la que cualquier autoridad que inspeccione su sistema debe revisar tanto la evaluación como la hoja de ruta de mejora.

Este proceso es utilizado por GovAssure para revisar la ciberseguridad de los departamentos gubernamentales, organizaciones y empresas para garantizar la competencia en ciberseguridad en todas las organizaciones y proteger a los usuarios y sus servicios de cualquier daño. ^{[ 15 ]}

• Elementos esenciales de ciberseguridad
• Marco de política de seguridad

• Introducción al Marco de Evaluación Cibernética