Marco de gestión de riesgos

El Marco de Gestión de Riesgos (RMF, por sus siglas en inglés) es una guía, estándar y proceso del gobierno federal de los Estados Unidos para gestionar el riesgo y ayudar a proteger los sistemas de información (computadoras y redes). El RMF fue desarrollado por el Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) y proporciona un proceso estructurado que integra las actividades de seguridad de la información , privacidad y gestión de riesgos en el ciclo de vida del desarrollo del sistema . ^{[ 1 ]}^{[ 2 ]} El RMF es un aspecto importante para que un sistema obtenga su Autorización para Operar (ATO, por sus siglas en inglés).

Descripción general

El documento principal que describe el RMF es la Publicación Especial 800-37 del NIST . ^{[ 1 ]}^{[ 3 ]} Los pasos del RMF se vinculan con varias otras normas y directrices del NIST, incluida la Publicación Especial 800-53 del NIST .

El proceso RMF incluye los siguientes pasos:

Prepárese para ejecutar el RMF estableciendo un contexto y fijando prioridades para gestionar el riesgo de seguridad y privacidad tanto a nivel organizacional como de sistema. ^{[ 4 ]}^{[ 5 ]}
Categorizar el sistema de información y los datos que procesa, almacena y transmite, basándose en un análisis de impacto. ^{[ 6 ]}^{[ 7 ]}^{[ 8 ]}
Seleccione un conjunto básico de controles de seguridad para el sistema de información según su categorización de seguridad. Adapte y complemente los controles básicos según sea necesario, basándose en una evaluación de riesgos organizacionales y las condiciones locales específicas. Si corresponde, se agregan superposiciones en este paso. ^{[ 2 ]}^{[ 9 ]}
Implementar los controles de seguridad identificados en el paso anterior. ^{[ 2 ]}
Evaluar : Un evaluador externo evalúa si los controles se implementan correctamente y son efectivos. ^{[ 10 ]}
Autorización : Según los resultados de la evaluación, se otorga o se deniega al sistema una Autorización para Operar (ATO). Si persisten ciertos problemas, la ATO puede posponerse. Por lo general, las ATO se otorgan por un período máximo de tres años, tras el cual debe repetirse el proceso. ^{[ 1 ]}
Supervise continuamente los controles de seguridad para garantizar su eficacia constante, tal como se describió anteriormente en el proceso. ^{[ 5 ]}

Historia

La Ley Federal de Gestión de la Seguridad de la Información de 2002 (FISMA 2002) se promulgó para salvaguardar la seguridad económica y nacional de los Estados Unidos a través de una mejor seguridad de la información . ^{[ 11 ]}

Posteriormente, el Congreso aprobó la Ley de Modernización de la Seguridad de la Información Federal de 2014 (FISMA 2014) para mejorar la legislación original, otorgando al Departamento de Seguridad Nacional (DHS) mayor autoridad sobre la seguridad de la información federal y definiendo las funciones de la Oficina de Administración y Presupuesto (OMB) en la gestión de las prácticas de seguridad de la información de las agencias federales. ^{[ 12 ]}

La FISMA exige la protección de la información y los sistemas de información contra el acceso, uso, divulgación, interrupción, modificación o destrucción no autorizados, garantizando la confidencialidad, la integridad y la disponibilidad. ^{[ 13 ]} El Título III de la FISMA 2002 encomendó al NIST el desarrollo de normas, directrices y requisitos de seguridad de la información y gestión de riesgos. ^{[ 6 ]}^{[ 7 ]}^{[ 8 ]}^{[ 9 ]}

El RMF, descrito en la Publicación Especial 800-37 del NIST y publicado por primera vez en febrero de 2010, está diseñado para ayudar a las organizaciones a gestionar los riesgos de ciberseguridad y cumplir con varias leyes y regulaciones de EE. UU., incluida la Ley Federal de Modernización de la Seguridad de la Información de 2014 , la Ley de Privacidad de 1974 y las Normas Federales de Procesamiento de la Información , entre otras. ^{[ 1 ]} En diciembre de 2019, se publicó la revisión 2 de la Publicación Especial 800-37 del NIST, que introdujo un paso de Preparación en el proceso general.

Riesgos

A lo largo de su ciclo de vida, un sistema de información se enfrenta a diversos tipos de riesgos que pueden afectar su postura de seguridad. El proceso RMF ayuda a la identificación y resolución temprana de estos riesgos. En términos generales, los riesgos se pueden clasificar en riesgos de infraestructura, de proyecto, de aplicación, de activos de información , de continuidad del negocio, de subcontratación, externos y estratégicos. Los riesgos de infraestructura se refieren a la fiabilidad de los ordenadores y las redes, mientras que los riesgos de proyecto implican presupuestos, plazos y calidad del sistema. Los riesgos de aplicación se relacionan con el rendimiento y la capacidad del sistema. Los riesgos de activos de información se refieren a la posible pérdida o divulgación no autorizada de datos. Los riesgos de continuidad del negocio se centran en mantener la fiabilidad y el tiempo de actividad del sistema. Los riesgos de subcontratación implican el impacto de los proveedores de servicios externos en el sistema. ^{[ 14 ]}

Los riesgos externos son factores que escapan al control del sistema de información y que pueden afectar su seguridad. Los riesgos estratégicos están asociados a la necesidad de que las funciones del sistema de información se alineen con la estrategia empresarial que el sistema respalda. ^{[ 15 ]}

Actualizaciones de la revisión 2

Los objetivos clave para la actualización de la Revisión 2 del RMF incluyeron los siguientes: ^{[ 16 ]}

Mejorar la comunicación entre las actividades de gestión de riesgos a nivel ejecutivo (alta dirección) y las que se realizan a nivel de sistema y operativo;
Institucionalizar las actividades preparatorias críticas de gestión de riesgos en todos los niveles para facilitar una ejecución más eficaz y rentable del Marco de Gestión de Riesgos (RMF);
Demostrar cómo el Marco de Ciberseguridad del NIST puede alinearse con el RMF e implementarse a través de los procesos de gestión de riesgos establecidos por el NIST;
Integrar la gestión de riesgos de privacidad en el Marco de Gestión de Riesgos (RMF) para abordar mejor las responsabilidades de protección de la privacidad;
Promover el desarrollo de software y sistemas confiables y seguros mediante la alineación de los procesos de ingeniería de sistemas en NIST SP 800-160 Volumen 1, ^{[ 17 ]} con las tareas relevantes en el RMF;
Incorporar conceptos de gestión de riesgos de la cadena de suministro (SCRM) relacionados con la seguridad en el RMF, abordando riesgos como componentes falsificados, manipulación, inserción de código malicioso y malas prácticas de fabricación a lo largo del ciclo de vida del desarrollo del sistema (SDLC); y
Permitir un enfoque de selección de controles generado por la organización para complementar el enfoque tradicional de selección de controles de referencia, apoyando el uso del catálogo de controles consolidado en NIST SP 800-53 Revisión 5. ^{[ 2 ]}

La revisión 2 también introdujo un nuevo paso de "Preparación" (paso 0) para mejorar la efectividad, la eficiencia y la rentabilidad de los procesos de gestión de riesgos de seguridad y privacidad. ^{[ 16 ]}

Véase también

Referencias

1 2 3 4 Grupo de Trabajo Conjunto (diciembre de 2018), SP 800-37 Rev. 2 - Marco de gestión de riesgos para sistemas de información y organizaciones: un enfoque del ciclo de vida del sistema para la seguridad y la privacidad , NIST , doi : 10.6028/NIST.SP.800-37r2
1 2 3 4 Grupo de Trabajo Conjunto (septiembre de 2020), SP 800-53 Rev. 5 - Controles de seguridad y privacidad para sistemas y organizaciones de información , NIST , doi : 10.6028/NIST.SP.800-53r5
↑ Grupo de Trabajo Conjunto (febrero de 2010), SP 800-37 Rev. 1 - Guía para la aplicación del marco de gestión de riesgos a los sistemas de información federales: un enfoque del ciclo de vida de la seguridad , NIST , doi : 10.6028/NIST.SP.800-37r1
↑ Iniciativa de Transformación del Grupo de Trabajo Conjunto (septiembre de 2012), SP 800-30 Rev. 1 - Guía para la realización de evaluaciones de riesgos , NIST , doi : 10.6028/NIST.SP.800-30r1
1 2 Dempsey, Kelley; Chawla, Nirali; Johnson, L.; Johnston, Ronald; Jones, Alicia; Orebaugh, Angela; Scholl, Matthew; Stine, Kevin (septiembre de 2011), SP 800-137 - Monitoreo continuo de seguridad de la información (ISCM) para sistemas y organizaciones de información federales , NIST , doi : 10.6028/NIST.SP.800-137
1 2 Stine, Kevin; Kissel, Richard; Barker, William; Fahlsing, Jim; Gulick, Jessica (agosto de 2008), SP 800-60 Vol. 1 Rev. 1 - Guía para la asignación de tipos de información y sistemas de información a categorías de seguridad , NIST , doi : 10.6028/NIST.SP.800-60v1r1
1 2 Stine, Kevin; Kissel, Richard; Barker, William; Lee, Annabelle; Fahlsing, Jim (agosto de 2008), SP 800-60 Vol. 2 Rev. 1 - Guía para la asignación de tipos de información y sistemas de información a categorías de seguridad: Apéndices , NIST , doi : 10.6028/NIST.SP.800-60v2r1
1 2 NIST (febrero de 2004), FIPS 199 - Estándares para la categorización de seguridad de la información federal y los sistemas de información , doi : 10.6028/NIST.FIPS.199
1 2 NIST (marzo de 2006), FIPS 200 - Requisitos mínimos de seguridad para la información y los sistemas de información federales , doi : 10.6028/NIST.FIPS.200
↑ Grupo de Trabajo Conjunto (enero de 2022), SP 800-53A Rev. 5 - Evaluación de los controles de seguridad y privacidad en sistemas y organizaciones de información , NIST , doi : 10.6028/NIST.SP.800-53Ar5
↑ Ley Pública 107–347 (texto) (PDF)
↑ "Ley Federal de Modernización de la Seguridad de la Información" . CISA . Consultado el 26 de julio de 2024 .
↑ Ley Pública 113–283 (texto) (PDF)
↑ Samejima, M.; Yajima, H. (2012). Marco de gestión de riesgos de TI para la continuidad del negocio mediante el análisis de cambios del sistema de información . Conferencia Internacional IEEE sobre Sistemas, Hombre y Cibernética (SMC). pp. 1670–1674 . doi : 10.1109/ICSMC.2012.6377977 .
↑ Ji, Zhigang (2009). Un estudio empírico sobre el marco de riesgo basado en el sistema de información empresarial . Conferencia Internacional de Ingeniería de Información Biomédica del Futuro (FBIE) de 2009. pp. 187–190 . doi : 10.1109/FBIE.2009.5405879 .
1 2 División de Seguridad Informática, Laboratorio de Tecnología de la Información (18 de diciembre de 2018). "Actualización de RMF: NIST publica SP 800-37 Rev. 2 | CSRC" . CSRC | NIST . Consultado el 26 de julio de 2021 .
↑ Ross, Ron; McEvilley, Michael; Winstead, Mark (noviembre de 2022), SP 800-160 Vol. 1 Rev. 1 - Ingeniería de sistemas seguros y confiables , doi : 10.6028/NIST.SP.800-160v1r1

Enlaces externos

Descripción general del marco de gestión de riesgos
Marco de Ciberseguridad (CSF) del NIST

[800-37-1] 1 2 3 4 Grupo de Trabajo Conjunto (diciembre de 2018), SP 800-37 Rev. 2 - Marco de gestión de riesgos para sistemas de información y organizaciones: un enfoque del ciclo de vida del sistema para la seguridad y la privacidad , NIST , doi : 10.6028/NIST.SP.800-37r2

[800-53-2] 1 2 3 4 Grupo de Trabajo Conjunto (septiembre de 2020), SP 800-53 Rev. 5 - Controles de seguridad y privacidad para sistemas y organizaciones de información , NIST , doi : 10.6028/NIST.SP.800-53r5

[3] Grupo de Trabajo Conjunto (febrero de 2010), SP 800-37 Rev. 1 - Guía para la aplicación del marco de gestión de riesgos a los sistemas de información federales: un enfoque del ciclo de vida de la seguridad , NIST , doi : 10.6028/NIST.SP.800-37r1

[4] Iniciativa de Transformación del Grupo de Trabajo Conjunto (septiembre de 2012), SP 800-30 Rev. 1 - Guía para la realización de evaluaciones de riesgos , NIST , doi : 10.6028/NIST.SP.800-30r1

[800-137-5] 1 2 Dempsey, Kelley; Chawla, Nirali; Johnson, L.; Johnston, Ronald; Jones, Alicia; Orebaugh, Angela; Scholl, Matthew; Stine, Kevin (septiembre de 2011), SP 800-137 - Monitoreo continuo de seguridad de la información (ISCM) para sistemas y organizaciones de información federales , NIST , doi : 10.6028/NIST.SP.800-137

[800-60v1-6] 1 2 Stine, Kevin; Kissel, Richard; Barker, William; Fahlsing, Jim; Gulick, Jessica (agosto de 2008), SP 800-60 Vol. 1 Rev. 1 - Guía para la asignación de tipos de información y sistemas de información a categorías de seguridad , NIST , doi : 10.6028/NIST.SP.800-60v1r1

[800-60v2-7] 1 2 Stine, Kevin; Kissel, Richard; Barker, William; Lee, Annabelle; Fahlsing, Jim (agosto de 2008), SP 800-60 Vol. 2 Rev. 1 - Guía para la asignación de tipos de información y sistemas de información a categorías de seguridad: Apéndices , NIST , doi : 10.6028/NIST.SP.800-60v2r1

[fips-199-8] 1 2 NIST (febrero de 2004), FIPS 199 - Estándares para la categorización de seguridad de la información federal y los sistemas de información , doi : 10.6028/NIST.FIPS.199

[fips-200-9] 1 2 NIST (marzo de 2006), FIPS 200 - Requisitos mínimos de seguridad para la información y los sistemas de información federales , doi : 10.6028/NIST.FIPS.200

[10] Grupo de Trabajo Conjunto (enero de 2022), SP 800-53A Rev. 5 - Evaluación de los controles de seguridad y privacidad en sistemas y organizaciones de información , NIST , doi : 10.6028/NIST.SP.800-53Ar5

[11] Ley Pública 107–347 (texto) (PDF)

[12] "Ley Federal de Modernización de la Seguridad de la Información" . CISA . Consultado el 26 de julio de 2024 .

[13] Ley Pública 113–283 (texto) (PDF)

[14] Samejima, M.; Yajima, H. (2012). Marco de gestión de riesgos de TI para la continuidad del negocio mediante el análisis de cambios del sistema de información . Conferencia Internacional IEEE sobre Sistemas, Hombre y Cibernética (SMC). pp. 1670–1674 . doi : 10.1109/ICSMC.2012.6377977 .

[15] Ji, Zhigang (2009). Un estudio empírico sobre el marco de riesgo basado en el sistema de información empresarial . Conferencia Internacional de Ingeniería de Información Biomédica del Futuro (FBIE) de 2009. pp. 187–190 . doi : 10.1109/FBIE.2009.5405879 .

[rev2-16] 1 2 División de Seguridad Informática, Laboratorio de Tecnología de la Información (18 de diciembre de 2018). "Actualización de RMF: NIST publica SP 800-37 Rev. 2 | CSRC" . CSRC | NIST . Consultado el 26 de julio de 2021 .

[17] Ross, Ron; McEvilley, Michael; Winstead, Mark (noviembre de 2022), SP 800-160 Vol. 1 Rev. 1 - Ingeniería de sistemas seguros y confiables , doi : 10.6028/NIST.SP.800-160v1r1

[ 1 ]

[ 2 ]

[ 3 ]

[ 4 ]

[ 5 ]

[ 6 ]

[ 7 ]

[ 8 ]

[ 9 ]

[ 10 ]

[ 11 ]

[ 12 ]

[ 13 ]

[ 14 ]

[ 15 ]

[ 16 ]

[ 17 ]