IASME

IASME Governance ( / aɪ ˈ æ z m i / eye- AZ -mee ^{[ 1 ]} ) es un estándar de garantía de la información diseñado para ser simple y asequible para ayudar a mejorar la ciberseguridad de las pequeñas y medianas empresas (PYME).

Los controles técnicos de gobernanza de IASME están alineados con el esquema Cyber ​​Essentials , y la certificación según el estándar IASME incluye la certificación Cyber ​​Essentials. El estándar de gobernanza de IASME se desarrolló en 2010 y ha demostrado ser muy eficaz para mejorar la seguridad de las cadenas de suministro de grandes organizaciones. Este estándar se corresponde estrechamente con la norma internacional de seguridad de la información ISO/IEC 27001 .

IASME Governance se desarrolló originalmente como una asociación entre el ámbito académico y las PYME que atrajo mucho interés por parte del gobierno y las pequeñas empresas. ^{[ 2 ]}

La investigación para el modelo IASME se llevó a cabo en el Reino Unido entre 2009 y 2010, ^{[ 3 ]} tras reconocerse que la norma internacional vigente de garantía de la información (ISO/IEC 27001) resultaba compleja para las pymes con recursos limitados, lo que constituía una debilidad en la cadena de suministro. IASME se desarrolló entre 2010 y 2011 y se lanzó ese mismo año. ^{[ 4 ]} Se ha revisado periódicamente para adaptarse a los cambios en el entorno de riesgos de las pymes. El proceso de desarrollo con las pymes se explicó en un documento publicado en una conferencia internacional sobre pymes. ^{[ 5 ]}

El estándar de gobernanza de IASME sigue el mismo patrón de implementación utilizado por la comunidad internacional de estándares, incluyendo los principios PDCA (Planificar-Hacer-Verificar-Actuar) ^{[ 6 ]} y el Sistema de Gestión de la Seguridad de la Información (SGSI), que proporciona un marco de gestión. Ambos se perfeccionan y se expresan en términos empresariales comprensibles para organizaciones de todos los tamaños.

El estándar de gobernanza de IASME se desarrolló y se puso a prueba con la ayuda de pequeñas empresas, principalmente en la región de West Midlands del Reino Unido, con resultados alentadores. ^{[ 7 ] [ 8 ]} Se ha demostrado que el estándar es útil para las pymes tanto en el Reino Unido como a nivel internacional. ^{[ 9 ]}

Las grandes organizaciones pueden utilizar el estándar de gobernanza de IASME en sus cadenas de suministro para comprender y reducir el riesgo asociado a los proveedores. David Booth, su creador, ha escrito un artículo que explica los beneficios para la cadena de suministro. ^{[ 10 ]} Tanto las grandes como las pequeñas organizaciones pueden utilizar la certificación IASME como alternativa al estándar ISO/IEC 27001.

La norma es gestionada por The IASME Consortium Ltd , que opera una red de más de 150 organismos de certificación ^{[ 11 ]} autorizados para certificar a las organizaciones candidatas. El conjunto de preguntas se puede descargar gratuitamente sin necesidad de registro y está licenciado bajo una licencia Creative Commons BY-NC-ND. ^{[ 12 ]}

La norma está disponible en dos niveles de garantía:

• Autoevaluación de la gobernanza de IASME
  • Los candidatos completan un cuestionario en línea con aproximadamente 160 preguntas sencillas sobre su organización. Este cuestionario es evaluado por un organismo de certificación que otorga la certificación si todas las respuestas cumplen con el estándar.
  • La evaluación incluye la certificación según el estándar Cyber ​​Essentials .
• Auditoría de gobernanza IASME (o "IASME Oro")
  • La organización candidata recibe la visita de un organismo de certificación de IASME que verifica el cumplimiento de la norma y, si procede, emite la certificación.

En 2017, la norma se actualizó para incluir preguntas adicionales que permitieran a las organizaciones cumplir con el Reglamento General de Protección de Datos (RGPD) .

La norma IASME Governance abarca los siguientes temas de seguridad de la información:

ISO/IEC 27001/2

La gobernanza de IASME es una norma basada en riesgos con un conjunto de controles similar al Anexo A de la norma ISO/IEC 27001. ^{[ 13 ]}

10 pasos del NCSC para la ciberseguridad

La gobernanza de IASME se corresponde muy estrechamente con los 10 pasos para la ciberseguridad del NCSC del gobierno del Reino Unido. ^{[ 14 ]} Existe una correspondencia entre ambos estándares. ^{[ 15 ]}

Marco de evaluación cibernética

El Marco de Evaluación Cibernética (CAF) ha sido desarrollado por el Gobierno del Reino Unido para permitir que las organizaciones demuestren su cumplimiento con la Directiva NIS . ^{[ 16 ]} El Estándar de Gobernanza de IASME se corresponde estrechamente con el CAF. ^{[ 17 ]}

Kit de herramientas de seguridad y protección de datos digitales del NHS

El kit de herramientas de seguridad y protección de datos digitales del NHS es una herramienta de autoevaluación en línea que permite a las organizaciones medir su desempeño en relación con los 10 estándares de seguridad de datos del National Data Guardian. La gobernanza de IASME se corresponde estrechamente con el kit de herramientas en la mayoría de los temas. ^{[ 18 ]}

La norma IASME se ha convertido en un foco de atención, ya que la amenaza a la seguridad de la información para las empresas del Reino Unido sigue aumentando, y las vulnerabilidades en sus sistemas continúan provocando costosas filtraciones de datos y fallos del sistema. El creciente número de artículos en periódicos y revistas sobre este tema refleja una mayor concienciación sobre la seguridad . ^{[ 19 ] [ 20 ]}

Los Estados de Jersey lo reconocen como un estándar de seguridad adecuado para la cadena de suministro del gobierno. ^{[ 21 ]}

IASME fue mencionada específicamente en un discurso de apertura en el evento Infosec Europe 2013 celebrado en Londres ^{[ 22 ]} y recibió un premio a la innovación de Computer Weekly Europe poco después. ^{[ 23 ]} En abril de 2019, IASME fue galardonada como Empresa Cibernética del Año en los Premios Nacionales de Ciberseguridad del Reino Unido. ^{[ 24 ]}

• RGPD
• Directiva NIS

• Conjunto de preguntas de autoevaluación sobre gobernanza de IASME (descarga gratuita) - Descarga gratuita de preguntas de autoevaluación de Cyber ​​Essentials
• Estándar de gobernanza de IASME - Descarga gratuita del estándar de IASME archivado el 25 de septiembre de 2018 en Wayback Machine.
• Investigación sobre la necesidad de IASME -
• Investigación sobre el desarrollo de IASME - IASME: Evolución de la gestión de la seguridad de la información para pymes
• Webinar: "¿Eres o has sido alguna vez una vulnerabilidad para tus clientes?" - Inicio - innovateuk