Normas de seguridad de la información

Los estándares de seguridad de la información (también estándares de seguridad cibernética ^[1] ) son técnicas generalmente descritas en materiales publicados que intentan proteger el entorno cibernético de un usuario u organización. ^[2] Este entorno incluye a los propios usuarios, redes, dispositivos, todo el software, procesos, información almacenada o en tránsito, aplicaciones, servicios y sistemas que pueden conectarse directa o indirectamente a las redes.

El objetivo principal es reducir los riesgos, incluida la prevención o mitigación de los ciberataques . Estos materiales publicados constan de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices, enfoques de gestión de riesgos, acciones, formación, mejores prácticas, garantías y tecnologías.

Los estándares de ciberseguridad existen desde hace varias décadas, ya que los usuarios y proveedores han colaborado en muchos foros nacionales e internacionales para implementar las capacidades, políticas y prácticas necesarias, generalmente a partir del trabajo del Consorcio de Stanford para la Investigación sobre Seguridad de la Información y Políticas en la década de 1990. ^[3]

Un estudio de adopción del marco de seguridad de EE. UU. de 2016 informó que el 70% de las organizaciones encuestadas consideraron el Marco de Ciberseguridad del NIST como la mejor práctica más popular para la seguridad informática de las tecnologías de la información (TI), pero muchas señalan que requiere una inversión significativa. ^[4] Las operaciones transfronterizas de exfiltración cibernética por parte de las agencias de aplicación de la ley para contrarrestar las actividades delictivas internacionales en la red oscura plantean cuestiones jurisdiccionales complejas que, en cierta medida, siguen sin respuesta. ^{[5] [6]} Es probable que las tensiones entre los esfuerzos de las fuerzas de seguridad nacionales para realizar operaciones transfronterizas de exfiltración cibernética y la jurisdicción internacional sigan proporcionando normas de ciberseguridad mejoradas. ^{[5] [7]}

Las subsecciones siguientes detallan los estándares internacionales relacionados con la ciberseguridad.

La norma ISO/IEC 27001, parte de la creciente familia de normas ISO/IEC 27000 , es una norma de sistemas de gestión de seguridad de la información (SGSI), cuya última revisión fue publicada en octubre de 2022 por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). Su nombre completo es ISO/IEC 27001:2022 – Seguridad de la información, ciberseguridad y protección de la privacidad - Sistemas de gestión de seguridad de la información - Requisitos .

La norma ISO/IEC 27001 ha sido adoptada de forma idéntica a la EN ISO/IEC 27001 por CEN y CENELEC. ^[8]

La norma ISO/IEC 27001 especifica formalmente un sistema de gestión destinado a poner la seguridad de la información bajo un control de gestión explícito.

La norma ISO/IEC 27002 incorpora la parte 1 de la norma BS 7799 sobre buenas prácticas de gestión de la seguridad. La última versión de la norma BS 7799 es la BS 7799-3. Por ello, a veces se hace referencia a la norma ISO/IEC 27002 como ISO 17799 o BS 7799 parte 1 y, a veces, se hace referencia a la parte 1 y a la parte 7. La parte 1 de la norma BS 7799 proporciona un esquema o una guía de buenas prácticas para la gestión de la ciberseguridad, mientras que la parte 2 de la norma BS 7799 y la norma ISO/IEC 27001 son normativas y, por tanto, proporcionan un marco para la certificación. La norma ISO/IEC 27002 es una guía de alto nivel sobre ciberseguridad. Resulta más beneficioso como orientación explicativa para la gestión de una organización obtener la certificación según la norma ISO/IEC 27001. Una vez obtenida, la certificación dura tres años. Según la organización auditora, es posible que no se realicen auditorías o que se realicen algunas auditorías intermedias durante los tres años.

La norma ISO/IEC 27001 (SGSI) sustituye a la norma BS 7799 parte 2, pero, dado que es compatible con versiones anteriores, cualquier organización que esté trabajando para obtener la norma BS 7799 parte 2 puede realizar fácilmente la transición al proceso de certificación ISO/IEC 27001. También existe una auditoría de transición disponible para facilitar que una organización, una vez que esté certificada según la norma BS 7799 parte 2, obtenga la certificación ISO/IEC 27001. La norma ISO/IEC 27002 ofrece recomendaciones de mejores prácticas sobre la gestión de la seguridad de la información para que las utilicen los responsables de iniciar, implementar o mantener sistemas de gestión de la seguridad de la información (SGSI). Establece los sistemas de seguridad de la información necesarios para implementar los objetivos de control de la norma ISO/IEC 27002. Sin la norma ISO/IEC 27001, los objetivos de control de la norma ISO/IEC 27002 son ineficaces. Los objetivos de control de la norma ISO/IEC 27002 se incorporan a la norma ISO 27001 en el Anexo A.

ISO/IEC 21827 (SSE-CMM – ISO/IEC 21827) es un estándar internacional basado en el Modelo de madurez de la capacidad de ingeniería de seguridad de sistemas (SSE-CMM) que puede medir la madurez de los objetivos de controles ISO.

Este estándar desarrolla lo que se denomina “ Criterios Comunes ”, que permite integrar y probar de forma segura muchos productos de software y hardware diferentes.

Las normas de ciberseguridad IEC/ISA 62443 definen procesos, técnicas y requisitos para los sistemas de automatización y control industrial (IACS). Los documentos de esta serie se desarrollan a través de una relación de colaboración entre el comité ISA99 y el IEC TC65 WG10, aplicando el proceso de creación de normas IEC en el que todos los comités nacionales involucrados acuerdan una norma común.

Todas las normas e informes técnicos IEC 62443 están organizados en cuatro categorías generales denominadas General , Políticas y procedimientos , Sistema y Componente .

1. La primera categoría incluye información fundamental como conceptos, modelos y terminología.
2. La segunda categoría de productos de trabajo está dirigida al propietario del activo y aborda diversos aspectos de la creación y el mantenimiento de un programa de seguridad del IACS eficaz.
3. La tercera categoría incluye productos de trabajo que describen las pautas y requisitos de diseño de sistemas para la integración segura de los sistemas de control. El núcleo de esta categoría es el modelo de diseño de zonas y conductos.
4. La cuarta categoría incluye productos de trabajo que describen el desarrollo de productos específicos y los requisitos técnicos de los productos del sistema de control.

La norma ISO/SAE 21434 «Vehículos de carretera: ingeniería de ciberseguridad» es una norma de ciberseguridad desarrollada conjuntamente por los grupos de trabajo de ISO y SAE . Propone medidas de ciberseguridad para el ciclo de vida de desarrollo de los vehículos de carretera. La norma se publicó en agosto de 2021. ^[9]

La norma está relacionada con la normativa de la Unión Europea (UE) sobre ciberseguridad que se está desarrollando actualmente. En coordinación con la UE, la CEPE está desarrollando una certificación para un "Sistema de Gestión de Ciberseguridad" (CSMS), que será obligatorio para la homologación de vehículos . La ISO/SAE 21434 es una norma técnica para el desarrollo de automóviles que puede demostrar el cumplimiento de dichas normativas.

Un derivado de esto es el trabajo del WP29 de la CEPE , que proporciona regulaciones para la ciberseguridad de los vehículos y las actualizaciones de software. ^[10]

La norma ETSI EN 303 645 proporciona un conjunto de requisitos básicos para la seguridad en dispositivos de Internet de las cosas (IoT) de consumo. Contiene controles técnicos y políticas organizativas para desarrolladores y fabricantes de dispositivos de consumo conectados a Internet. La norma se publicó en junio de 2020 ^[11] y está destinada a complementarse con otras normas más específicas. Dado que muchos dispositivos de IoT de consumo manejan información de identificación personal (PII) , la implementación de la norma ayuda a cumplir con el Reglamento General de Protección de Datos (GDPR) en la UE. ^[12]

Las disposiciones de ciberseguridad en esta norma europea son:

1. No existen contraseñas predeterminadas universales
2. Implementar un medio para gestionar los informes de vulnerabilidades
3. Mantenga el software actualizado
4. Almacene de forma segura parámetros de seguridad confidenciales
5. Comunicarse de forma segura
6. Minimizar las superficies de ataque expuestas
7. Garantizar la integridad del software
8. Asegúrese de que los datos personales estén seguros
9. Haga que los sistemas sean resistentes a las interrupciones
10. Examinar los datos de telemetría del sistema
11. Facilitar a los usuarios la eliminación de datos de usuario
12. Facilite la instalación y el mantenimiento de los dispositivos
13. Validar datos de entrada

La evaluación de la conformidad de estos requisitos básicos se realiza a través de la norma TS 103 701, que permite la autocertificación o la certificación por parte de otro grupo. ^[13]

Las subsecciones siguientes detallan los estándares y marcos nacionales relacionados con la ciberseguridad.

En 2003, el NERC creó un primer intento de crear estándares de seguridad de la información para la industria de la energía eléctrica, conocido como NERC CSS (Cyber ​​Security Standards). ^[14] Después de las directrices CSS, el NERC desarrolló y mejoró esos requisitos. El estándar de seguridad NERC moderno más reconocido es el NERC 1300, que es una modificación/actualización del NERC 1200. La versión más reciente del NERC 1300 se denomina CIP-002-3 a CIP-009-3 (CIP=Critical Infrastructure Protection). Estos estándares se utilizan para proteger los sistemas eléctricos masivos, aunque el NERC ha creado estándares en otras áreas. Los estándares de sistemas eléctricos masivos también proporcionan administración de seguridad de red y, al mismo tiempo, respaldan los procesos de mejores prácticas de la industria. ^[1]

1. El Marco de Ciberseguridad del NIST (NIST CSF) "ofrece una taxonomía de alto nivel de los resultados de la ciberseguridad y una metodología para evaluar y gestionar dichos resultados". Su objetivo es ayudar a las organizaciones del sector privado que proporcionan infraestructura crítica con orientación sobre cómo protegerla, junto con protecciones relevantes para la privacidad y las libertades civiles . ^[15]
2. La publicación especial 800-12 ofrece una amplia descripción general de las áreas de seguridad y control informático. También destaca la importancia de los controles de seguridad y las formas de implementarlos. Inicialmente, este documento estaba dirigido al gobierno federal, aunque la mayoría de las prácticas que se describen en él también se pueden aplicar al sector privado. En concreto, se escribió para aquellas personas del gobierno federal responsables de manejar sistemas sensibles. ^[2]
3. La publicación especial 800-14 describe los principios de seguridad comunes que se utilizan. Proporciona una descripción de alto nivel de lo que se debe incorporar en una política de seguridad informática. Describe lo que se puede hacer para mejorar la seguridad existente, así como también cómo desarrollar una nueva práctica de seguridad. En este documento se describen ocho principios y catorce prácticas. ^[3]
4. La publicación especial 800-26 ofrece asesoramiento sobre cómo gestionar la seguridad informática. Reemplazada por la NIST SP 800-53 rev3. Este documento destaca la importancia de las autoevaluaciones y las evaluaciones de riesgos. ^[4]
5. La publicación especial 800-37, actualizada en 2010, ofrece un nuevo enfoque de riesgo: "Guía para la aplicación del marco de gestión de riesgos a los sistemas de información federales"
6. La publicación especial 800-53 rev4, "Controles de seguridad y privacidad para sistemas y organizaciones de información federales", publicada en abril de 2013 y actualizada para incluir actualizaciones al 15 de enero de 2014, aborda específicamente los 194 controles de seguridad que se aplican a un sistema para hacerlo "más seguro".
7. La publicación especial 800-63-3, "Directrices de identidad digital", publicada en junio de 2017 y actualizada para incluir actualizaciones al 1 de diciembre de 2017, proporciona directrices para implementar servicios de identidad digital, incluida la verificación de identidad, el registro y la autenticación de usuarios. ^[5]
8. La Publicación Especial 800-82, Revisión 2, "Guía para la seguridad de los sistemas de control industrial (ICS)", revisada en mayo de 2015, describe cómo proteger múltiples tipos de sistemas de control industrial contra ataques cibernéticos, teniendo en cuenta al mismo tiempo los requisitos de rendimiento, confiabilidad y seguridad específicos de los ICS. ^[6]

La serie 140 de Estándares Federales de Procesamiento de Información ( FIPS ) son estándares de seguridad informática del gobierno de los EE. UU. que especifican los requisitos para los módulos de criptografía . Tanto FIPS 140-2 como FIPS 140-3 se aceptan como vigentes y activos.

Cyber ​​Essentials es un programa de garantía de la información del gobierno del Reino Unido que opera el Centro Nacional de Seguridad Cibernética (NCSC) . Alienta a las organizaciones a adoptar buenas prácticas en materia de seguridad de la información. Cyber ​​Essentials también incluye un marco de garantía y un conjunto simple de controles de seguridad para proteger la información de las amenazas provenientes de Internet.

El Centro Australiano de Seguridad Cibernética ha desarrollado estrategias de mitigación priorizadas, en forma de Estrategias para Mitigar Incidentes de Seguridad Cibernética, para ayudar a las organizaciones a protegerse contra diversas amenazas cibernéticas. Las más eficaces de estas estrategias de mitigación se denominan las Ocho Esenciales. ^[16]

Las normas de la Oficina Federal de Seguridad de la Información ( BSI ) son un componente básico de la metodología de protección de la base de TI ( IT - Grundschutz ). Contienen recomendaciones sobre métodos, procesos y procedimientos, así como enfoques y medidas para diversos aspectos de la seguridad de la información. Los usuarios de las autoridades públicas y las empresas, así como los fabricantes o proveedores de servicios, pueden utilizar las normas de la BSI para hacer que sus procesos comerciales y datos sean más seguros. ^[17]

• La norma BSI 100-4 cubre la gestión de la continuidad del negocio (BCM) .
• La norma BSI 200-1 define los requisitos generales para un sistema de gestión de seguridad de la información (SGSI). Es compatible con la norma ISO 27001 y tiene en cuenta las recomendaciones de otras normas ISO, como la ISO 27002.
• La norma BSI 200-2 constituye la base de la metodología de BSI para establecer un sistema de gestión de seguridad de la información (SGSI) sólido. Establece tres procedimientos para implementar la protección básica de TI.
• La norma BSI 200-3 agrupa todos los pasos relacionados con el riesgo en la implementación de la protección de línea base de TI.

Las subsecciones siguientes detallan los estándares y marcos de ciberseguridad relacionados con industrias específicas.

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un estándar de seguridad de la información para organizaciones que manejan tarjetas de crédito de marca de las principales cadenas de tarjetas. El Estándar PCI es obligatorio para las marcas de tarjetas, pero lo administra el Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago. El estándar fue creado para aumentar los controles en torno a los datos de los titulares de tarjetas con el fin de reducir el fraude con tarjetas de crédito.

UL 2900 es una serie de normas publicadas por UL . Las normas incluyen requisitos generales de ciberseguridad (UL 2900-1), así como requisitos específicos para productos médicos (UL 2900-2-1), sistemas industriales (UL 2900-2-2) y sistemas de señalización de seguridad y protección de la vida (UL 2900-2-3).

La norma UL 2900 exige que los fabricantes describan y documenten la superficie de ataque de las tecnologías utilizadas en sus productos. Requiere un modelado de amenazas basado en el uso previsto y el entorno de implementación. La norma exige la implementación de medidas de seguridad efectivas que protejan los datos confidenciales (personales), así como otros activos, como los datos de comando y control. También exige que se hayan eliminado las vulnerabilidades de seguridad en el software, se hayan seguido principios de seguridad como la defensa en profundidad y se haya verificado la seguridad del software mediante pruebas de penetración.

• Director de seguridad de la información
• Seguridad informática
• Seguridad del sistema de control
• Seguridad de la información
• Aseguramiento de la información
• Modelo Gordon-Loeb para inversiones en ciberseguridad

1. ^ Departamento de Seguridad Nacional, Comparación de los estándares de seguridad cibernética desarrollados por el sector del petróleo y el gas (5 de noviembre de 2004)
2. ^ Guttman, M., Swanson, M., Instituto Nacional de Normas y Tecnología; Administración de Tecnología; Departamento de Comercio de los EE. UU., Principios y prácticas generalmente aceptados para proteger los sistemas de tecnología de la información (800–14). (septiembre de 1996)
3. ^ Instituto Nacional de Estándares y Tecnología; Administración de Tecnología; Departamento de Comercio de EE. UU., Introducción a la seguridad informática: el manual del NIST, publicación especial 800-12.
4. ^ Swanson, M., Instituto Nacional de Estándares y Tecnología; Administración de Tecnología; Departamento de Comercio de EE. UU., Guía de autoevaluación de seguridad para sistemas de tecnología de la información (800–26).
5. ^ Grassi, P.; Garcia, M.; Fenton, J.; Instituto Nacional de Estándares y Tecnología; Departamento de Comercio de EE. UU., Directrices de identidad digital (800-63-3).
6. ^ Stouffer, K.; Pillitteri, V.; Lightman, S.; Abrams, M.; Hahn, A.; Instituto Nacional de Normas y Tecnología; Departamento de Comercio de EE. UU., Guía de seguridad de los sistemas de control industrial (ICS) (800–82).
7. ^ Consejo de Confiabilidad Eléctrica de América del Norte (NERC). http://www.nerc.com. Recuperado el 12 de noviembre de 2005.
8. ^ Consejo de Examen de Instituciones Financieras Federales (FFIEC). https://www.ffiec.gov. Consultado el 18 de abril de 2018.

• Seguridad cibernética IEC
• Seguridad de la información ISO 27001
• Normas CIP de NERC
• Presentación del profesor William Sanders, Universidad de Illinois
• Conferencia sobre políticas de ciberseguridad global
• Una guía de 10 minutos sobre el marco de ciberseguridad del NIST Archivado el 14 de abril de 2021 en Wayback Machine
• Sitio web del Consejo de Examen de Instituciones Financieras Federales (FFIEC)
• Controles de seguridad críticos del CIS
• Criterios comunes del NCSC del Reino Unido
• Desafíos de la norma ISO/SAE 21434 en el campo
• El futuro del mercado mundial de seguros cibernéticos