estándares de seguridad de la información

La serie ISO/IEC 27000 es un conjunto de normas internacionales publicadas conjuntamente por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC) . Estas normas proporcionan un marco reconocido mundialmente para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de la Seguridad de la Información (SGSI). La serie está diseñada para ayudar a organizaciones de todos los tamaños y sectores a proteger sus activos de información de forma sistemática y rentable.

En el centro de la serie ISO/IEC 27000 se encuentra la norma ISO/IEC 27001 , que especifica los requisitos para establecer y mantener un SGSI. ^{[ 8 ]} La norma enfatiza un enfoque basado en el riesgo para la gestión de la seguridad de la información, alentando a las organizaciones a identificar, evaluar y mitigar los riesgos específicos de su entorno operativo. La serie ISO/IEC 27000 se basa en el ciclo Planificar-Hacer-Verificar-Actuar (PDCA) , una metodología orientada a la mejora continua.

Si bien la norma ISO/IEC 27001 establece la base para los requisitos de los SGSI, otras normas de la serie proporcionan directrices complementarias y recomendaciones específicas para cada sector. En conjunto, conforman un ecosistema integral que abarca desde la evaluación de riesgos y la gestión de incidentes hasta los controles de privacidad y la seguridad en la nube.

La norma ISO/IEC 27001 se complementa con la ISO/IEC 27002 , que sirve como guía práctica para implementar los controles descritos en la ISO/IEC 27001. Proporciona recomendaciones detalladas y mejores prácticas para gestionar los riesgos de seguridad de la información en diferentes ámbitos, como la seguridad de los recursos humanos, la seguridad física y la seguridad de la red. ^{[ 9 ]}

Para las organizaciones centradas en la gestión de riesgos, la norma ISO/IEC 27005 ofrece un marco específico para identificar, evaluar y tratar los riesgos de seguridad de la información. Complementa la norma ISO/IEC 27001 al proporcionar una metodología adaptada específicamente a la gestión de las vulnerabilidades de seguridad de la información. ^{[ 10 ]}

En los últimos años, la computación en la nube ha introducido desafíos de seguridad únicos, y la norma ISO/IEC 27017 se desarrolló para abordar estas preocupaciones. ^{[ 11 ]} Esta norma proporciona directrices para implementar controles de seguridad de la información específicos para la nube, garantizando el uso seguro de los servicios en la nube tanto por parte de los proveedores como de los clientes. Paralelamente, la norma ISO/IEC 27018 se centra en la protección de la información de identificación personal (PII) en entornos de nube pública, ayudando a las organizaciones a cumplir con las normativas de privacidad y a mantener la confianza de sus clientes. ^{[ 12 ]}

Además, la norma ISO/IEC 27035 aborda la gestión de incidentes, ofreciendo orientación sobre cómo prepararse, detectar y responder eficazmente a los incidentes de seguridad. Hace hincapié en los procesos estructurados de respuesta a incidentes para minimizar los daños potenciales y garantizar una recuperación oportuna. ^{[ 13 ]}

Con el auge de las normativas de privacidad de datos, como el Reglamento General de Protección de Datos (RGPD) , se introdujo la norma ISO/IEC 27701 como una extensión de las normas ISO/IEC 27001 e ISO/IEC 27002. Esta norma proporciona directrices para establecer y operar un Sistema de Gestión de la Información de Privacidad (PIMS), alineando la gestión de la seguridad de la información con los requisitos de privacidad y protección de datos. ^{[ 14 ]}

Los Criterios Comunes para la Evaluación de la Seguridad de las Tecnologías de la Información ( Criterios Comunes o CC ) son una norma internacional ( ISO/IEC 15408 ) que se utiliza para evaluar y certificar las propiedades de seguridad de los productos y sistemas de TI. Proporcionan un marco reconocido mundialmente para definir los requisitos de seguridad, implementar medidas de protección y evaluar si estas medidas cumplen con los criterios especificados.

La norma ISO/IEC 15408 se divide en cinco partes:

• Parte 1: Introducción y modelo general – Define conceptos clave, principios y el marco general de evaluación. ^{[ 15 ]}
• Parte 2: Componentes funcionales de seguridad: Proporciona un catálogo de requisitos funcionales de seguridad (por ejemplo, control de acceso, cifrado y funciones de auditoría). ^{[ 16 ]}
• Parte 3: Componentes de garantía de seguridad: especifica los niveles de garantía (EAL1–EAL7), que representan la profundidad y el rigor de las evaluaciones de seguridad. ^{[ 17 ]}
• Parte 4: Marco para la especificación de métodos y actividades de evaluación: detalla la metodología y el marco para realizar evaluaciones de seguridad, incluidas las responsabilidades del evaluador y los requisitos de presentación de informes. ^{[ 18 ]}
• Parte 5: Paquetes predefinidos de requisitos de seguridad: Ofrece paquetes reutilizables de requisitos de seguridad, lo que agiliza el proceso de evaluación para tipos de productos comunes. ^{[ 19 ]}

La certificación bajo los Criterios Comunes se facilita mediante el Acuerdo de Reconocimiento de Criterios Comunes ( CCRA ) , que garantiza el reconocimiento mutuo de las certificaciones entre los países participantes. Esto reduce la duplicación de esfuerzos y costos para los proveedores que buscan acceso al mercado global. ^{[ 20 ]}

La UE ha adoptado el Esquema Europeo de Certificación de Ciberseguridad ( EUCC ) , que se basa en la norma ISO/IEC 15408, para alinearse con los estándares internacionales y, al mismo tiempo, abordar los requisitos regionales. ^{[ 21 ]}

La norma de ciberseguridad IEC 62443 define procesos, técnicas y requisitos para los sistemas de automatización y control industrial (IACS). Sus documentos son el resultado del proceso de creación de normas IEC, en el que todos los comités nacionales participantes acuerdan una norma común. Todas las normas e informes técnicos IEC 62443 se organizan en seis categorías generales: General , Políticas y procedimientos , Sistema, Componente, Perfiles y Evaluación.

1. La primera categoría incluye información fundamental como conceptos, modelos y terminología.
2. La segunda categoría de productos de trabajo está dirigida al propietario del activo. Estos abordan diversos aspectos de la creación y el mantenimiento de un programa de seguridad IACS eficaz.
3. La tercera categoría incluye productos de trabajo que describen las directrices y los requisitos de diseño del sistema para la integración segura de sistemas de control. El núcleo de esta categoría lo constituyen la zona, el conducto y el modelo de diseño.
4. La cuarta categoría incluye productos de trabajo que describen el desarrollo específico del producto y los requisitos técnicos de los productos de sistemas de control.
5. La quinta categoría proporciona perfiles para los requisitos de ciberseguridad específicos de la industria según la norma IEC 62443-1-5.
6. La sexta categoría define las metodologías de evaluación que garantizan que los resultados de la evaluación sean coherentes y reproducibles.

La norma ISO/SAE 21434 «Vehículos de carretera - Ingeniería de ciberseguridad» es un estándar de ciberseguridad desarrollado conjuntamente por grupos de trabajo de ISO y SAE . Propone medidas de ciberseguridad para el ciclo de vida de desarrollo de vehículos de carretera. La norma se publicó en agosto de 2021. ^{[ 22 ]}

La norma está relacionada con el reglamento de la Unión Europea (UE) sobre ciberseguridad, actualmente en desarrollo. En coordinación con la UE, la UNECE ha creado una certificación del Sistema de Gestión de la Ciberseguridad (CSMS, por sus siglas en inglés) obligatoria para la homologación de vehículos . Esto se define en el Reglamento 155 de la ONU ; la norma ISO/SAE 21434 es un estándar técnico para el desarrollo automotriz que permite demostrar el cumplimiento de dicho reglamento.

Un derivado de esto se encuentra en el trabajo del WP29 de la UNECE , que proporciona regulaciones para la ciberseguridad de los vehículos y las actualizaciones de software. ^{[ 23 ]}

La norma ETSI EN 303 645 establece un conjunto de requisitos básicos de seguridad para los dispositivos de Internet de las Cosas (IoT) de consumo . Contiene controles técnicos y políticas organizativas para desarrolladores y fabricantes de dispositivos de consumo conectados a Internet. La norma se publicó en junio de 2020 ^{[ 24 ]} y tiene como objetivo complementar otras normas más específicas. Dado que muchos dispositivos IoT de consumo manejan información de identificación personal (PII) , la implementación de esta norma contribuye al cumplimiento del Reglamento General de Protección de Datos (RGPD) de la UE. ^{[ 25 ]}

Las disposiciones sobre ciberseguridad de esta norma europea son:

1. No existen contraseñas predeterminadas universales.
2. Implementar un sistema para gestionar los informes de vulnerabilidades.
3. Mantén el software actualizado.
4. Almacene de forma segura los parámetros de seguridad confidenciales.
5. Comunícate de forma segura
6. Minimizar las superficies de ataque expuestas
7. Garantizar la integridad del software
8. Asegúrese de que los datos personales estén seguros.
9. Hacer que los sistemas sean resistentes a las interrupciones.
10. Examine los datos de telemetría del sistema.
11. Facilitar a los usuarios la eliminación de datos de usuario.
12. Facilitar la instalación y el mantenimiento de los dispositivos
13. Validar los datos de entrada

La evaluación de conformidad de estos requisitos básicos se realiza mediante la norma TS 103 701, que permite la autocertificación o la certificación por otro grupo. ^{[ 26 ]}

La serie de normas EN 18031, publicada por el Comité Europeo de Normalización (CEN) en colaboración con el Comité Europeo de Normalización Electrotécnica (CENELEC) , describe los requisitos esenciales de seguridad de la información para dispositivos y sistemas radioeléctricos. Al estar en consonancia con la Directiva de Equipos Radioeléctricos (2014/53/UE) y su Acto Delegado correspondiente, estas normas ayudan a fabricantes y partes interesadas a mantener el cumplimiento y la coherencia en los mercados europeos. Asimismo, establecen protocolos de ensayo comunes, criterios de rendimiento y directrices de seguridad, lo que facilita la interoperabilidad transfronteriza y responde a las necesidades cambiantes del sector.

La North American Electric Reliability Corporation (NERC) es responsable de desarrollar y hacer cumplir las normas de ciberseguridad para proteger la confiabilidad y la seguridad del sistema eléctrico de alta tensión de América del Norte, que abarca Estados Unidos, Canadá y el norte de Baja California, México. ^{[ 27 ]}

Sus estándares se centran en medidas de ciberseguridad para activos críticos, incluyendo la identificación de activos, perímetros de seguridad electrónica, capacitación del personal, respuesta a incidentes y planificación de recuperación. Los estándares clave de ciberseguridad se definen en la serie de Protección de Infraestructura Crítica (CIP) , específicamente CIP-002 a CIP-014 . ^{[ 28 ]}

El cumplimiento de estas normas es obligatorio para los operadores y propietarios de sistemas eléctricos bajo la jurisdicción de NERC, y la Comisión Federal Reguladora de Energía (FERC) supervisa su aplicación en Estados Unidos. El incumplimiento puede acarrear importantes sanciones económicas.

El Instituto Nacional de Estándares y Tecnología (NIST) , una agencia federal estadounidense dependiente del Departamento de Comercio , desempeña un papel fundamental en el desarrollo y mantenimiento de estándares, directrices y mejores prácticas de ciberseguridad. Creados inicialmente para garantizar la seguridad de los sistemas de información federales, los estándares del NIST han adquirido una gran influencia a nivel mundial, sirviendo como referencias fundamentales para programas de ciberseguridad en diversos sectores y países.

El enfoque del NIST hace hincapié en una metodología basada en el riesgo, centrada en cinco funciones clave: Identificar, Proteger, Detectar, Responder y Recuperar. Estos principios constituyen la base de muchas de sus directrices y marcos de trabajo, lo que permite a las organizaciones evaluar y gestionar eficazmente los riesgos de ciberseguridad. Si bien las agencias federales están obligadas a cumplir con los estándares del NIST, las organizaciones privadas de los sectores financiero, sanitario, manufacturero y otros suelen adoptarlos voluntariamente debido a su claridad, flexibilidad e integralidad.

Cyber ​​Essentials es un programa de garantía de la información del gobierno del Reino Unido, gestionado por el Centro Nacional de Ciberseguridad (NCSC) . Su objetivo es fomentar la adopción de buenas prácticas en seguridad de la información por parte de las organizaciones. Cyber ​​Essentials también incluye un marco de garantía y un conjunto sencillo de controles de seguridad para proteger la información frente a las amenazas provenientes de internet.

El Centro Australiano de Ciberseguridad ha desarrollado estrategias de mitigación priorizadas, denominadas Estrategias para Mitigar Incidentes de Ciberseguridad, para ayudar a las organizaciones a protegerse contra diversas amenazas cibernéticas. La más eficaz de estas estrategias se denomina las Ocho Esenciales. ^{[ 34 ]}

Las normas de la Oficina Federal de Seguridad de la Información ( Bundesamt für Sicherheit in der Informationstechnik , abreviada como BSI) constituyen un componente fundamental de la metodología de protección básica de TI ( IT - Grundschutz ). Contienen recomendaciones sobre métodos, procesos, procedimientos, enfoques y medidas para diversos aspectos de la seguridad de la información. Los usuarios de administraciones públicas, empresas, fabricantes o proveedores de servicios pueden utilizar las normas BSI para mejorar la seguridad de sus procesos de negocio y sus datos. ^{[ 35 ]}

• La norma BSI 100-4 abarca la gestión de la continuidad del negocio (BCM) .
• La norma BSI 200-1 define los requisitos generales para un sistema de gestión de la seguridad de la información (SGSI). Es compatible con la norma ISO 27001 y tiene en cuenta las recomendaciones de otras normas ISO, como la ISO 27002.
• La norma BSI 200-2 constituye la base de la metodología de BSI para establecer un sistema de gestión de seguridad de la información (SGSI) sólido. Establece tres procedimientos para implementar la protección básica de TI.
• La norma BSI 200-3 agrupa todos los pasos relacionados con el riesgo para implementar la protección básica de TI.

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un estándar de seguridad de la información para organizaciones que manejan tarjetas de crédito de las principales marcas. El Estándar PCI es obligatorio según las marcas de tarjetas, pero lo administra el Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago. El estándar se creó para reforzar los controles sobre los datos de los titulares de tarjetas y reducir el fraude con tarjetas de crédito.

La actualización de 2025 de PCI DSS (versión 4.0) introduce requisitos revisados ​​y una guía mejorada para las organizaciones que manejan datos de tarjetas de pago, incluidos controles más detallados y procedimientos de prueba de seguridad actualizados. ^{[ 36 ]}

UL 2900 es una serie de normas publicadas por UL . Estas normas incluyen requisitos generales de ciberseguridad (UL 2900-1), así como requisitos específicos para productos médicos (UL 2900-2-1), sistemas industriales (UL 2900-2-2) y sistemas de señalización de seguridad y protección de la vida (UL 2900-2-3).

La norma UL 2900 exige a los fabricantes que describan y documenten la superficie de ataque de las tecnologías utilizadas en sus productos. Requiere la elaboración de modelos de amenazas basados ​​en el uso previsto y el entorno de implementación. La norma exige medidas de seguridad eficaces que protejan los datos sensibles (personales) y otros activos, como los datos de mando y control. Asimismo, exige que se hayan eliminado las vulnerabilidades de seguridad del software, que se hayan seguido principios de seguridad, como la defensa en profundidad, y que la seguridad del software se haya verificado mediante pruebas de penetración.