Estrategias y Marcos de Referencia para la Ciberseguridad Empresarial

Frameworks y Marcos de Referencia

• CIS: 18 controles (56-74-23).
• CSA CCM: 17 dominios (197 controles).
• COBIT: 4 dominios, 7 principios de información y 5 recursos de TI.
• ISO 27001: 18 controles.
• ISO 27002: 14 dominios y 114 controles.
• NIST CSF: 5 funciones, 22 categorías, 108 subcategorías y 4 niveles de madurez.

Definiciones Fundamentales

Seguridad de la información: Conjunto de medidas preventivas y reactivas destinadas a proteger la información en cualquier soporte (físico o digital), garantizando su confidencialidad, integridad y disponibilidad.

Niveles de Madurez en Ciberseguridad

1. Inexistente: Sin conciencia, expuesto a vectores de ataque reales.
2. Inicial: Acciones orientadas a normativas, empleados confundidos.
3. En desarrollo: Plan comunicado, empleados reconocen y reportan incidentes.
4. Avanzada: Programa con apoyo directivo y revisiones periódicas.
5. Lifestyle: Mejora continua, enfoque en ROI y métricas de rendimiento.

Factores Críticos en Ciberseguridad

• Estrategia: Políticas bien definidas y adaptadas a amenazas reales.
• Información: Gestión de accesibilidad, prevención de robo o pérdida.
• Comunicación: Transmisión segura mediante cifrado y redes protegidas.
• Almacenamiento: Gestión de copias de seguridad (backups).
• Factor Humano: Capacitación y concienciación.

Estrategia de Ciberseguridad: 9 Pasos

1. Comprensión del panorama de amenazas.
2. Evaluación de la madurez actual e identificación de objetivos.
3. Aprovechamiento de estándares internacionales.
4. División en planes de prevención y detección.
5. Diseño de la arquitectura de ciberseguridad.
6. Plan formativo.
7. Obtención de métricas.
8. Mejora continua.
9. Ciclo PDCA (Plan-Do-Check-Act).

Objetivos y Líneas de Acción

Objetivos (ENC)

• Seguridad y resiliencia en servicios esenciales.
• Uso seguro frente al uso ilícito.
• Protección de ciudadanos y empresas.
• Fomento de la cultura de seguridad.
• Cooperación internacional.

Líneas de Acción

• Refuerzo de capacidades ante amenazas.
• Seguridad de activos estratégicos.
• Lucha contra el cibercrimen.
• Ciberseguridad para todos y empresas.
• Talento e industria.
• Cooperación internacional y cultura.

Gestión de Proyectos y SGSI

Fases del PDS

1. Alcance, activos y riesgos (umbral actual).
2. Estrategia corporativa.
3. Definición de proyectos e iniciativas.
4. Priorización de proyectos.
5. Aprobación.
6. Ejecución.

SGSI (Sistema de Gestión de Seguridad de la Información)

Marco compuesto por documentación, personal y controles en mejora continua para preservar la CID (Confidencialidad, Integridad y Disponibilidad) de la información de la organización.

Pasos para la Política de Seguridad

1. Introducción.
2. Principios de la política.
3. Compromiso de la dirección.
4. Roles y responsabilidades.
5. Normativas y políticas.
6. Excepciones.
7. Régimen sancionador.
8. Anexos.