Ir al contenido principal

CIS v8.1, NIST CSF v2, ISO 27001:2022

Comparación de alto nivel sobre los enfoques y aplicación de los marcos de referencia de seguridad de la información: CIS v8.1, NIST CSF v2, ISO/IEC 27001:2022.

Marco de Trabajo Enfoque Aplicación
CIS v8.1
5 de junio de 2024
Se centra en proporcionar un conjunto específico de controles críticos de seguridad que las organizaciones deben implementar para mejorar su preparación y respuesta en ciberseguridad. Contiene 18 controles específicos que abordan áreas como la administración de activos, la autenticación, la protección contra malware y la detección de amenazas. Propone 3 IG o grupos de implementación de acuerdo con la madurez y complejidad de la organización.
  1. Inventory and Control of Enterprise Assets
  2. Inventory and Control of Software Assets
  3. Data Protection
  4. Secure Configuration of Enterprise Assets and Software
  5. Account Management
  6. Access Control Management
  7. Continuous Vulnerability Management
  8. Audit Log Management
  9. Email and Web Browser Protections
  10. Malware Defenses
  11. Data Recovery
  12. Network Infrastructure Management
  13. Network Monitoring and Defense
  14. Security Awareness and Skills Training
  15. Service Provider Management
  16. Application Software Security
  17. Incident Response Management
  18. Penetration Testing

Es voluntario y no requiere certificación externa. 
 Es ampliamente utilizado por organizaciones públicas y privadas para mejorar su preparación y respuesta a la seguridad cibernética.
NIST CSF v2
26 de febrero de 2024
Proporciona un conjunto completo de directrices no obligatorias para las organizaciones que buscan mejorar sus prácticas de seguridad cibernética.

Cuenta con 6 funciones principales:
  1. Gobernanza (Govern)
  2. Identificación (Identify)
  3. Protección (Protect)
  4. Detección (Detect)
  5. Respuesta (Respond)
  6. Recuperación (Recover)
Es voluntario y no requiere certificación externa. 
Es especialmente relevante para las empresas que buscan un marco de referencia que se relacione con otros estándares como PCI DSS v4 o ISO/IEV 27001:2022.
ISO 27001:2022
25 de octubre de 2022
Es un estándar globalmente reconocido para sistemas de gestión de seguridad de la información (SGSI). Se centra en establecer un sistema de gestión que mantenga y mejore todo el sistema de seguridad de la información. Se basa en el ciclo Planificar, Hacer, Verificar, Actuar (PDCA), lo que garantiza una gestión integral de riesgos. Sus controles se agrupan en 4 grupos:
  • Personas (8 controles): Estos controles se centran en aspectos relacionados con el personal, como la concienciación de seguridad, la formación y la gestión de recursos humanos.
  • Organización (37 controles): Estos controles abordan la estructura organizativa, las políticas, los procedimientos y la gestión de riesgos.
  • Tecnología (34 controles): Aquí encontramos controles relacionados con la seguridad de la información en sistemas, redes, aplicaciones y servicios.
  • Físico (14 controles): Estos controles se refieren a la seguridad física de las instalaciones, equipos y activos.
Requiere auditorías de certificación externas para obtener la certificación ISO 27001.
Es un estándar internacionalmente reconocido por su aplicación en el diseño de sistemas de gestión de seguridad de la información.
Fuentes:
Etiquetas:

Comentarios

Publicar un comentario

Entradas populares de este blog

Reporte SOC 2 Type 2 en la seguridad de la información

La importancia del reporte SOC 2 Type 2 en la seguridad de la información En un entorno digital donde la confianza y la seguridad son fundamentales, las organizaciones deben demostrar que sus prácticas de protección de datos cumplen con estándares rigurosos. Uno de estos estándares es el SOC 2 (Service Organization Control 2) Type 2 , un informe que evalúa cómo una empresa maneja la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de los datos. Este reporte es esencial para empresas que manejan información sensible, ya que proporciona evidencia objetiva sobre su capacidad para proteger la información de sus clientes y socios comerciales. ¿Qué es un reporte SOC 2 Type 2? El SOC 2 Type 2  es un informe de auditoría que evalúa los controles internos de una organización  relacionados con la seguridad de la información. Desarrollado por la AICPA (American Institute of Certified Public Accountants), este informe sigue los Criterios de Servicios...
Publicar un comentario
Leer mas...

Managing Cyber Risks: Third-Party and End-User Challenges

🔐 Managing Cyber Risks: Third-Party and End-User Challenges Our organizations face a multitude of cyber threats that can compromise data integrity, disrupt operations, and damage reputations. Among the most challenging risks are those posed by third parties and end users. These risks often operate outside the direct control of the organization, yet their actions or inactions can have profound security implications. Understanding these risks and implementing effective controls is essential for building a resilient cybersecurity posture. 🔗  Third-Party Risks arises when organizations rely on external vendors, suppliers, or service providers who have access to our sensitive systems or data. These partners may not adhere to the same security standards, creating vulnerabilities that can be exploited by malicious actors. High-profile breaches, such as those involving supply chain attacks, have underscored the dangers of insufficient oversight in third-party relationships. The challeng...
Publicar un comentario
Leer mas...

Compendio de terminología computacional / Compendium of Computational Terminology

1a versión: 22/julio/2023 Actualizado: 28/mayo/2026 2FA: Two-Factor Authentication 3DEA: Triple Data Encryption Algorithm 3DES: Triple DES 3PS: Third Person Shooter AAM: Agentic Access Management AC: Access Control ACL: Access Control Lists AES: Advanced Encryption Standard AI: Artificial Intelligence AIoT: Artificial Intelligence of Things AitM:  Adversary-in-the-Middle AML: Anti-Money Laundering AOC: Attestation Of Compliance API: Application Programming Interface APT: Advanced Persistent Threat ASCII: American Standard Code for Information Interchange ASM: Attack Surface Management ASPM: Application Security Posture Management ASV: Approved Scanning Vendor for PCI ATM: Automated Teller Machine ATT$CK: Adversarial Tactics, Techniques, and Common Knowledge AV: Antivirus AWS: Amazon Web Service B2B: Business to Business B2C: Business to Consumer BAS: Breach and Attack Simulation BAU: Business As Usual BBP: Bug Bounty Program BCM: Business Continuity Management ...
Publicar un comentario
Leer mas...