Autor: ALESSANDRO RUGOLO* – ITALIA – Gentileza de OFCSReport

Exploremos cómo el Marco de Gestión de Riesgos (RMF) del NIST gestiona los riesgos cibernéticos a través de siete pasos clave, compárelo con otros marcos como NIS2 y DORA, y descubramos las mejores prácticas para mejorar su ciberseguridad y cumplimiento.

1. Introducción

El mundo digital se expande continuamente , con él, aumentan las amenazas a la seguridad de la información. Para abordar estos riesgos, es esencial adoptar un enfoque estructurado y sistemático. Una de las herramientas más efectivas en esta área es el Marco de Gestión de Riesgos (RMF) del NIST. Desarrollado por el Instituto Nacional de Estándares y Tecnologías (NIST), el NIST RMF es una herramienta crucial para gestionar los riesgos de la seguridad de la información y los sistemas. Este marco, dividido en siete pasos principales, guía a las organizaciones a través de un proceso sistemático para identificar, evaluar y mitigar los riesgos.

El NIST RMF incluye siete pasos básicos:

  • Preparar: Definir las bases para la gestión de riesgos, establecer los recursos y capacidades necesarios.
  • Categorizar: Determinar el impacto potencial en la confidencialidad, integridad y disponibilidad de los sistemas y la información.
  • Seleccionar: Elige y adapta los controles de seguridad y privacidad que necesitas.
  • Implementar: Aplicar los controles seleccionados y adaptados al sistema.
  • Evaluar: Evaluar la eficacia de los controles y medidas de seguridad.
  • Autorizar: Proporcionar autorización oficial para el uso del sistema basándose en la evaluación de riesgos.
  • Monitorear: Monitorear coninuamente los controles y el sistema para garantizar la seguridad y la idoneidad.

En este artículo exploraremos cada una de estas fases en detalle para comprender cómo el RMF del NIST ayuda a las organizaciones a gestionar los riesgos de forma eficaz y proactiva.

2. ¿Qué es el RMF del NIST?

El Marco de Gestión de Riesgos (RMF) del NIST es un sistema de gestión de riesgos diseñado para ayudar a las organizaciones a proteger la información y los sistemas a través de un proceso estructurado. Creado por el Instituto Nacional de Estándares y Tecnología (NIST), se formalizó en la publicación Especial 800-37 y representa una evolución de las pautas de seguridad anteriores, mejorando el enfoque de la gestión de riesgos a través de su adaptabilidad y estructura en prfundidad.

El NIST RMF se basa en un ciclo continuo de evaluación y mejora de las medidas de seguridad, promoviendo una integraciónde los controles de seguridad en el ciclo de vida de los sistemas de información. El enfoque modular del marco permite a las organizaciones personalizar las medidas de seguridad en función de sus necesidades y los riesgos específicos que enfrentan. Esto convierte al NIST RMF no sólo en una referencia regulatoria, sino también en una herramienta práctica para implementar y mantener políticas de seguridad adecuadas que cumplan con los estándares internacionales.

El marco es aplicable a diversos sectores y tamaños de organizaciones, incluidos organismos públicos y grandes empresas. Sin embargo, la complejidad y los requisitos del NIST RMF pueden hacerlo menos viable para las micro y pequeñas empresas, a las que puede resultar más útil adoptar enfoques de gestión de riesgos que sean menos complejos y más proporcionales a su tamaño y recursos.

3. Los siete pasos del NIF RMF

Prepararse

En el primer paso, el objetivo es sentar las bases para una gestión de riesgos eficaz. Esto significa dejar claro qué recursos y capacidades se necesitan, como herramientas y personal especializado. Es fundamental establecer una estructura de gobierno sólida, definiendo claramente las políticas de seguridad y los roles claves dentro de la organización. En la práctica, implica organizar todo lo necesario para garantizar que las medidas de seguridad estén bien gestionadas y coordinadas.

Clasificar por categorías

El segundo paso se centra en identificar el impacto potencial que la información y los sistemas pueden tener sobre la confidencialidad, la integridad y la disponibilidad, así como la probabilidad de que una amenaza pueda explotar una vulnerabilidad. Este proceso ayuda a comprender sólo la gravedad de un compromiso de datos o sistemas, sino también la probabilidad de que ocurra. Una vez que comprenda estos dos factores, deberá clasificar la información y los sistemas según su importancia y los riesgos asociados. Esto le ayuda a elegir los controles de seguridad más adecuados en función de la criticidad de la información y la probabilidad de un ataque.

Seleccione

En el tercer paso, es hora de seleccionar los controles de seguridad y privacidad que necesita para proteger su información y sus sistemas. Aquí utilizamos el catálogo de controles de la publicación especial NIST 800-53, que ofrece varias opciones para elegir. El objetivo es adoptar medidas que sean adecuadas para abordar los riesgos identificados en la fase de categorización. La elección de los controles debe tener en cuenta las necesidades específicas y el contexto de la organización.

Implementar

El cuarto paso implica integrar los controles de seguridad seleccionados en los sistemas empresariales. Esto significa aplicar medidas de seguridad de forma práctica, configurando el software y el hardware según lo previsto. Sin embargo, la implementación no siempres es sencilla. Pueden surgir problemas como la compatibilidad entre los sistemas existentes, la resistencia del personal al cambio y las limitaciones de recursos. Abordar estos desafíos es crucial para garantizar que los controles realmente funcionen.

Evaluar

El quinto paso implica evaluar la efectividad de los controles implementados. Es crucial verificar si las medidas tomadas realmente protegen la información y los sistemas como se esperaba. Esto se puede hacer mediante auditorías, pruebas de penetración y otras técnicas de evaluación. El uso de herramientas específicas para esta evaluación ayuda a garantizar que sus medidas de seguridad estén siempre al tanto de las amenazas en evolución.

Autorizar

En el sexto paso se trata de obtener la autorización formal para utilizar el sistema, en base a una evaluación global de riesgos y medidas de seguridad. Esto implica una revisión detallada de los resultados de la evaluación y una decisión final sobre si se acepta el riesgo residual. La documentación de este proceso y la aprobación de los gerentes son esenciales para garantizar que se hayan considerado y gestionado todos los riesgos.

Monitorear

El séptimo y último paso es el monitoreo continuo de los controles y riesgos. La seguridad no es una actividad única; es necesario mantener un programa de seguimiento constante para detectar nuevas amenazas y vulnerabilidades. Esto incluye actualizar los controles de seguridad y gestionar los cambios del sistema para responder eficazmente a los eventos de seguridad emergentes. En la práctica, se trata de garantizar que las medidas de seguridad sigan siendo efectivas a través del tiempo.

4. Mejores Prácticas y Consejos de Implementación

Constitución del Equipo de Implementación

Para una implementación efectiva del NIST RMF, es crucial establecer un equipo bien estructurado, compuesto por personal interno y externo. El personal interno, que tiene un conocimiento profundo de la estructura y los procesos de la organización, debe incluir expertos en ciberseguridad, analistas de riesgos, especialistas en cumplimiento de normas y gerentes de proyectos. Sin embargo, incluso las grandes organizaciones pueden tener dificultades para conseguir todas estas habilidades. En tales casos, la consulta con expertos externos, la formación del personal interno, la subcontratación de algunas tareas y la formación de alianzas estretégicas son soluciones útiles. Un equipo multidisciplinario bien equilibrado, con una comunicación clara y un proceso de gestión de conflictos, es crucial para el éxito de la implementación. La formación continua y la flexibilidad son claves para adaptarse a los cambios y nuevos retos que puedan surgir durante el proceso.

Errores comunes a evitar

Al implementar el NIST RMF, es fundamental evitar cometer algunos errores comunes que pueden comprometer la eficacia del marco en su aplicación específica.

Uno de los principales problemas es la falta o poca claridad de los objetivos y alcance del proyecto. Sin una visión precisa de qué se quiere proteger, qué recursos se necesitan y qué resultados se esperan, el proyecto puede resultar confuso y conducir a resultados insatisfactorios. Por el contrario, establecer los objetivos y el alcance en detalle ayuda a mantenerse enfocado en el rpyecto y monitorear el progreso de manera efectiva.

Otro problema frecuente es la subestimación de los recursos necesarios, tanto en términos de personal como de presupuesto. La asignación de recursos insuficientes puede comprometer la calidad de la implementación y los controles de seguridad. Es esencial garantizar que el presupuesto sea adecuado y que el personal asignado esté calificado y dedicado. También es importante considerar invertir en la capacitación y las herramientas necesarias para mantener los controles de seguridad.

La falta de integración con las políticas existentes es otro error común. No alinear el RMF del NIST con las políticas y procesos de seguridad ya implementados puede generar desalineaciones e ineficiencias. Es aconsejable revisar las políticas y procesos existentes para asegurar una buena integración del marco, asegurando así la coherencia entre el nuevo sistema y las prácticas que ya se utilizan.

Involucrar a todas las partes interesadas es esencial para el éxito de la implementación. La falta de implicación de las diferentes áreas del negocio y de sus ejecutivos puede provocar un apoyo insuficiente y dificultades operativas. Identificar e involucrar a todas las partes interesadas desde el principio y comunicar claramente los objetivos y responsabilidades ayuda a obtener el compromiso necesario y garantizar que todos comprendan la importancia del marco y su papel en el proceso.

Otro error es ignorar la necesidad de una evaluación y un seguimiento continuos. Tratar la implementación del NIST RMF como una actividad única sin un monitoreo regular puede hacer que los controles queden obsoletos o se vuelvan ineficaces. Implementar un plan de monitoreo continuo y evaluación periódica es fundamental para actualizar los controles y prácticas de seguridad en función de los cambios en riesgos, tecnologías y regulaciones.

La documentación inadecuada representa un problema adicional. No mantener la documentación completa puede dificultar la gestión y revisión de los controles y medidas de seguridad.Es importante documentar cada paso del proceso, incluidos los controles implementados, las evaluaciones de riesgos y las decisiones tomadas. La documentación clara y detallada es esencial para garantizar el cumplimiento y facilitar futuras revisiones o auditorias.

Descuidar la gestión del tiempo puede provocar retrasos e ineficiencias. Es esencial establecer un plan de tiempo detallado con plazos realistas y garantizar que el plan sea aprobado por un gerente de nivel apropiado. La gestión del tiempo debe controlarse cuidadosamente para cumplir los plazos y garantizar la coordinación entre las diferentes actividades.

Por último tampoco se debe subestimar el impacto de la implementación del proyecto en el personal. Pasar por alto cómo afectarán los cambios a las personas que administrarán y utilizarán los sistemas puede generar resistencia e ineficiencias. Es importante brindar capacitación adecuada y comunicar en forma clara los cambios, asegurando que el personal esté preparado para adoptar y mantener las nuevas prácticas y controles.

5. Casos Reales

Proporcionar ejemplos prácticos o estudios de casos es crucial para ilustrar cómo se puede aplicar el RMF del NIST en la realidad y mostrar cómo diferentes organizaciones han abordado los desafíos relacionados con su implementación. Estos ejemplos no sólo ofrecen una visión de situaciones concretas, sino que también ayudan a resaltar soluciones efectivas adoptadas por otras entidades.

Un ejemplo significativo de aplicación de este marco se puede encontrar en el sector público donde numerosas agencias gubernamentales han implementado con éxito este marco.Tal es el caso del Departamento de Defensa de EE.UU. (DoD) que ha adoptado el RMF del NIST como parte integral de su proceso de gestión de ciberseguridad. Mediante la adopción de este marco, el DoD pudo mejorar su capacidad para identificar, evaluar y mitigar riesgos y al mismo tiempo garantizar el cumplimiento de los estándares de seguridad y las regulaciones federales.

Otro estudio de caso interesante se refiere al Bank of America, una importante institución del sector financiero que utilizó el RMF del NIST para fortalecer su postura de seguridad y garantizarla protección de los datos confidenciales de sus clientes. Esta empresa comenzó con una minuciosa fase de preparación, creando un plan detallado y definiendo claramente los objetivos y recursos necesarios. Durante la implementación, enfrentó y resolvió desafíos importantes, como la integración de los controles de seguridad con los sistemas existentes y la capacitación del personal. El seguimiento continuo y la evaluación periódica eran cruciales para mantener la eficacia de los controles y adaptarse a los cambios en el panorama tecnológico y de riesgos. Lamentablemente, a pesar de todos los esfuerzos, a principios de 2024 Bank of America fue víctima de una importante filtración de datos.

La adopción del NIST RMF se considera una estrategia eficaz para mejorar la ciberseguridad y gestionar los riesgos.

Para las organizaciones que inician su proceso de implementación, considerar estos estudios de caso puede proporcionar inspiración y orientación práctica. Abordar los desafíos con una visión clara y una estrategia bien definida, basada en experiencias concretas, puede facilitar la implementación exitosa del NIST RMF y ayudar a lograr los objetivos de seguridad deseados.

6. Conclusiones

La implementación del Marco de Gestión de Riesgos (RMF) del NIST ofrece un enfoque detallado y estructurado para gestionar los riesgos de seguridad de la información. Con sus siete pasos el RMF NIST guía a las organizaciones a través de un proceso sistemático para identificar, evaluar y mitigar riesgos. La adopción de este marco le permite mejorar significativamente su postura de seguridad y garantizar el cumplimiento de los estándares internacionales.

Es importante señalar que el RMF NIST no es la única herramienta disponible para la gestión de riesgos. Algunos marcos alternativos son:

  • ISO/IEC 27001: Estándar Internacional para implementar un sistema de gestión de seguridad de la información.
  • COBIT: Un marco de gestión y gobernanza de la tecnología de la información.
  • CISA: Un marco centrado en auditar y evaluar sistemas de información.
  • FISMA: Específico para agencias gubernamentales estadounidenses para la protección de información sensible.
  • La legislación NIS2 y GDPR y la Directiva DORA: En particular la Directiva NIS2 de la Unión Europea representa una alternativa relevante para las organizaciones que operan en Europa.

Estos marcos ofrecen diferentes enfoques para la gestión de riesgos y la seguridad de la información, y pueden elegirse en función de las necesidades específicas de la organización.

La implementación exitosa del RMF NIST u otros marcos depende de establecer un equipo adecuado, desarrollar un plan detallado y evitar errores comunes. Es crucial integrar el marco con las políticas existentes e involucrar a todas las partes interesadas para garantizar una adopción efectiva y sostenible.

Los estudios de casos de organizaciones como el Departamento de Defensa de EE.UU. y el Bank of America ofrecen información valiosa sobre la forma de abordar los desafíos de implementación y optimizar la gestión de riesgos. Sin embargo, es fundamental explorar también alternativas como NIS2 o DORA y evaluar qué framework o combinación de herramientas se adapta mejor a las necesidades específicas de la organización.

Elegir NIST RMF, NIS2 u otro sistema de gestión de riesgos significa adoptar un enfoque estratégico hacia la ciberseguridad. Las organizaciones deben considerar sus necesidades, recursos y contextos específicos para seleccionar e implementar el marco más adecuado, contribuyendo así a una gestión de riesgos eficaz y una mayor resiliencia frente a las amenazas emergentes.

Finalmente, también es importante tener claras las críticas y limitaciones del NIST RMF, que incluyen la complejidad de la implementación y la necesidad de actualizaciones constantes para mantenerse al tanto de nuevas amenazas y tecnologías.

Para más información:

  1. Publicación especial del NIST 800-37 Rev. 2.-
  2. Publicación especial del NIST 800-53 Rev.5: Controles de seguridad y privacidad para organizaciones y sistemas de información.

Enlace al artículo orginal en el Sitio WEB de OFCS. Report

*ALESSANDRO RUGOLO – Presidente de SICYNT (Sociedad Italiana para el Desarrollo de cibercultura y las nuevas tecnologías). Apasionado por las nuevas tecnologías, el periodismo y el pensamiento estratégico. Autor de numerosos artículo sobre el ciberespacio, las nuevas tecnologías y las amenazas en general, autor del libro «El dominio cibernético, su importancia en un recorrido guiado por sus múltiples naturalezas: ciberseguridad, ciberinteligencia, ciberguerra, ciber influencia, ciber disuasión»…. Coordinador de la columna cibernética de la revista Difesaonline, miembro del Centro de Estudios de Privacidad y Nuevas Tecnologías, miembro del Centro de Estudios del Ejército, miembro de DeComponendisCifris. Oficial del Ejército.