evaluación de seguridad de las tecnologías de la información

La evaluación de la seguridad de las tecnologías de la información es una evaluación planificada de los controles de seguridad para determinar si se implementan correctamente, si funcionan según lo previsto y dónde existen vulnerabilidades. ^{[ 1 ]}

La evaluación de la seguridad de las tecnologías de la información es una evaluación planificada de los controles de seguridad para determinar si se implementan correctamente, si funcionan según lo previsto y dónde existen vulnerabilidades. ^{[ 1 ]}

La práctica común organiza el trabajo en tres métodos: examen de documentos y configuraciones, entrevistas con el personal y pruebas bajo condiciones definidas. ^{[ 1 ]}

Los resultados de la evaluación respaldan los juicios sobre la efectividad del control, validan y priorizan los hallazgos técnicos y planifican correcciones con verificación o re-prueba posterior. ^{[ 1 ]}

La evaluación de seguridad es distinta de una evaluación de riesgos —que expresa el riesgo en términos de probabilidad e impacto— y de una auditoría. ^{[ 2 ]}

La evaluación de seguridad se refiere a una evaluación planificada de los controles de seguridad para comprobar si se implementan correctamente, si funcionan según lo previsto y dónde existen vulnerabilidades. ^{[ 1 ]}

La práctica común organiza el trabajo de evaluación en tres métodos: examen de documentos y configuraciones, entrevistas con el personal y pruebas bajo condiciones definidas. ^{[ 1 ]}

La evaluación de riesgos se trata por separado: el riesgo se suele expresar en términos de probabilidad e impacto, y el proceso identifica, estima y prioriza los riesgos para la toma de decisiones. ^{[ 2 ] [ 3 ]}

Una auditoría también es distinta: es una evaluación sistemática e independiente de la conformidad en el contexto de un sistema de gestión; las organizaciones pueden aplicar auditorías dentro de un SGSI al tiempo que utilizan evaluaciones para examinar la eficacia del control técnico. ^{[ 4 ] [ 5 ]}

Un informe de evaluación típico indica el alcance y los objetivos, explica los métodos utilizados y presenta hallazgos respaldados por evidencia; cuando corresponde, también señala el impacto potencial y la probabilidad, recomienda soluciones con prioridades y define un plan para la verificación o la repetición de la prueba. ^{[ 1 ]}

Para respaldar la reproducibilidad, los planes de evaluación y los registros de evidencia permiten a los revisores rastrear cada hallazgo hasta la técnica y los objetos de evaluación que lo produjeron. ^{[ 14 ]}

Los hallazgos suelen estar vinculados a un catálogo de control reconocido o a una guía de buenas prácticas para que los propietarios sepan exactamente qué cambiar; por ejemplo, NIST SP 800-53 o ISO/IEC 27002. ^{[ 12 ] [ 13 ]}

En la práctica, muchas organizaciones comunican los resultados con puntuaciones cualitativas o semicuantitativas; esto se alinea con las directrices generales de gestión de riesgos y el uso de la seguridad de la información. ^{[ 15 ] [ 2 ]}

El análisis cuantitativo también es posible cuando se definen un modelo y datos; Open FAIR es un enfoque ampliamente citado para expresar frecuencia y pérdida. ^{[ 16 ]}

La norma ISO/IEC 27005 conecta estas ideas con la gestión de riesgos de seguridad de la información y ayuda a mantener la coherencia terminológica dentro del contexto de un SGSI. ^{[ 3 ]}

Los artículos suelen describir tipos de herramientas —por ejemplo, escáneres de vulnerabilidades, análisis de composición de software, pruebas de aplicaciones dinámicas/interactivas, verificación de configuración y seguimiento de evidencias/problemas— en lugar de productos específicos. ^{[ 8 ] [ 17 ]}

El uso de una lente de control/práctica mantiene la descripción neutral y duradera porque los resultados se pueden asignar a catálogos establecidos como ISO/IEC 27002 y NIST SP 800-53. ^{[ 13 ] [ 12 ]}

Las evaluaciones se integran en el Marco de Gestión de Riesgos del NIST junto con la selección, implementación, autorización y monitoreo continuo de los controles; no son un evento único. ^{[ 18 ]}

El monitoreo continuo utiliza actividades de evaluación y otros datos a lo largo del tiempo, retroalimentando los resultados a las decisiones de riesgo y control en los niveles de organización, misión y sistema. ^{[ 19 ] [ 20 ]}

En muchos programas, este trabajo se coordina a través de un SGSI, que proporciona requisitos y gobernanza para evaluaciones y auditorías recurrentes. ^{[ 5 ]}