CIS v8, NIST CSF v2, ISO 27001:2022

Comparación de alto nivel sobre los enfoques y aplicación de los marcos de referencia de seguridad de la información: CIS v8, NIST CSF v2, ISO/IEC 27001:2022.

Marco de Trabajo	Enfoque	Aplicación
CIS v8.1 5 de junio de 2024	Se centra en proporcionar un conjunto específico de controles críticos de seguridad que las organizaciones deben implementar para mejorar su preparación y respuesta en ciberseguridad. Contiene 18 controles específicos que abordan áreas como la administración de activos, la autenticación, la protección contra malware y la detección de amenazas. Propone 3 IG o grupos de implementación de acuerdo con la madurez y complejidad de la organización. Inventory and Control of Enterprise Assets Inventory and Control of Software Assets Data Protection Secure Configuration of Enterprise Assets and Software Account Management Access Control Management Continuous Vulnerability Management Audit Log Management Email and Web Browser Protections Malware Defenses Data Recovery Network Infrastructure Management Network Monitoring and Defense Security Awareness and Skills Training Service Provider Management Application Software Security Incident Response Management Penetration Testing Es voluntario y no requiere certificación externa.	Es ampliamente utilizado por organizaciones públicas y privadas para mejorar su preparación y respuesta a la seguridad cibernética.
NIST CSF v2 26 de febrero de 2024	Proporciona un conjunto completo de directrices no obligatorias para las organizaciones que buscan mejorar sus prácticas de seguridad cibernética. Cuenta con 6 funciones principales: Gobernanza (Govern) Identificación (Identify) Protección (Protect) Detección (Detect) Respuesta (Respond) Recuperación (Recover) Es voluntario y no requiere certificación externa.	Es especialmente relevante para las empresas que buscan un marco de referencia que se relacione con otros estándares como PCI DSS v4 o ISO/IEV 27001:2022.
ISO 27001:2022 25 de octubre de 2022	Es un estándar globalmente reconocido para sistemas de gestión de seguridad de la información (SGSI). Se centra en establecer un sistema de gestión que mantenga y mejore todo el sistema de seguridad de la información. Se basa en el ciclo Planificar, Hacer, Verificar, Actuar (PDCA), lo que garantiza una gestión integral de riesgos. Sus controles se agrupan en 4 grupos: Personas (8 controles): Estos controles se centran en aspectos relacionados con el personal, como la concienciación de seguridad, la formación y la gestión de recursos humanos. Organización (37 controles): Estos controles abordan la estructura organizativa, las políticas, los procedimientos y la gestión de riesgos. Tecnología (34 controles): Aquí encontramos controles relacionados con la seguridad de la información en sistemas, redes, aplicaciones y servicios. Físico (14 controles): Estos controles se refieren a la seguridad física de las instalaciones, equipos y activos. Requiere auditorías de certificación externas para obtener la certificación ISO 27001.	Es un estándar internacionalmente reconocido por su aplicación en el diseño de sistemas de gestión de seguridad de la información.

Fuentes:

• The 18 CIS Critical Security Controls (cisecurity.org)
• Cybersecurity Framework | NIST
• ISO/IEC 27001:2022 - Information security, cybersecurity and privacy protection — Information security management systems — Requirements

Conoce más en: ISO 27001, COBIT 2019, ITIL 4