Domina los Controles NIST: Clave para Proteger tus Sistemas de Información

August 20, 2024
5 min read

¿Qué son los controles NIST?

Los controles NIST, también conocidos como Controles de Seguridad de Sistemas de Información y Redes (SP 800-53), son un conjunto de controles de seguridad desarrollados por el Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos. Estos controles proporcionan una guía detallada sobre las mejores prácticas de seguridad que se deben implementar para proteger los sistemas de información.

Beneficios de dominar los controles NIST

Dominar los controles NIST tiene varios beneficios, entre ellos:

Mejora de la seguridad de los sistemas de información.
Cumplimiento de regulaciones y estándares de seguridad.
Protección de datos confidenciales.
Reducción de riesgos de seguridad.
Mayor confianza de los clientes y socios comerciales.

Cómo dominar los controles NIST

Para dominar los controles NIST y proteger tus sistemas de información, sigue estos pasos:

Familiarízate con los controles NIST: Lee y comprende los diferentes controles NIST y su aplicación en tu entorno.
Evalúa tus sistemas de información: Realiza una evaluación de riesgos para identificar las vulnerabilidades y brechas de seguridad en tus sistemas.
Implementa los controles adecuados: Basándote en la evaluación de riesgos, implementa los controles NIST que sean relevantes para tu organización.
Monitorea y actualiza regularmente: Mantén un monitoreo constante de tus sistemas de información y actualiza los controles NIST según sea necesario.
Capacita a tu personal: Brinda capacitación y concientización sobre los controles NIST a tu personal para garantizar su correcta implementación.

Ejemplos de controles NIST

Familia	Descripción
Control de Acceso	Las organizaciones deben limitar el acceso a los sistemas de información, a los usuarios autorizados o procesos que representen usuarios autorizados, y a los tipos de transacciones y funciones que los usuarios autorizados pueden ejecutar.
Concientización y Entrenamiento	Las organizaciones deben asegurar que su personal: conoce los riesgos, sobre los datos y los sistemas de información, asociados con sus actividades y el marco regulatorio correspondiente y está entrenado para cumplir con sus responsabilidades.
Auditoría y Responsabilidad	Las organizaciones deben administrar registros apropiados para adelantar auditorías y asegurar que las acciones pueden ser atribuidas a los usuarios que las ejecutaron y por tanto son responsables de las mismas.
Valoración, Autorización y Monitoreo	Las organizaciones deben: evaluar periódicamente los controles de seguridad, diseñar e implementar planes para corregir deficiencias y definir los procedimientos para autorizar la operación de los sistemas de información y monitorear los controles.
Manejo de Configuraciones	Las organizaciones deben establecer configuraciones mínimas e inventarios de datos y de sistemas de información y hacer cumplir configuraciones seguras.
Plan de Contingencia	Las organizaciones deben establecer, implementar y mantener planes para respuestas de emergencia, operaciones de backup y recuperación para los sistemas de información.
Identificación y Autenticación	Las organizaciones deben identificar los usuarios de los sistemas de información y los procesos o dispositivos que pueden actuar en representación de usuarios y autenticar la identidad de estos para permitir el acceso a los sistemas de información de la organización.
Respuesta a Incidentes	Las organizaciones deben establecer su capacidad (preparación, detección, análisis, contención) para manejo de incidentes con los sistemas de información y documentar los incidentes.
Mantenimiento	Las organizaciones deben adelantar mantenimientos periódicos y ofrecer controles efectivos sobre las herramientas, técnicas y personal usados.
Protección de Medios	Las organizaciones deben proteger los medios usados por los sistemas de información (papel y digital), limitar el acceso a la información a usuarios autorizados y limpiar los medios de forma adecuada para darlos de baja o usarlos en otro contexto.
Protección Física y Ambiental	Las organizaciones deben limitar el acceso físico solo a usuarios autorizados, proteger la infraestructura de soporte, proteger los sistemas de información de peligros ambientales.
Planeación	Las organizaciones deben desarrollar, documentar, actualizar periódicamente e implementar planes de seguridad que describan los controles de seguridad instalados o planeados.
Gestión de Programas	Las organizaciones deben desarrollar, implementar y vigilar los programas de seguridad y privacidad de la información a nivel organizacional.
Seguridad del Personal	Las organizaciones deben asegurar que las personas en posiciones de responsabilidad cumplen con criterios de seguridad preestablecidos, asegurar que los sistemas de información están protegidos durante transferencias de personal y definir sanciones para las personas que no cumplan con las políticas establecidas.
Procesamiento de Datos Personales	Las organizaciones deben asegurar que los datos personales son manejados de acuerdo con las leyes establecidas y de forma transparente para los usuarios.
Valoración de Riesgos	Las organizaciones deben evaluar periódicamente los riesgos de las operaciones, activos, e individuos, resultantes de la operación de los sistemas de información.
Adquisición de Sistemas y Servicios	Las organizaciones deben asignar recursos para incorporar procesos que consideren los requerimientos de seguridad como parte del ciclo de vida de un sistema, establecer restricciones sobre el uso de software y asegurar que las empresas subcontratadas también usan medidas de seguridad apropiadas.
Protección de Sistemas y Comunicaciones	Las organizaciones deben proteger las comunicaciones en el perímetro externo y en perímetros internos relevantes y emplear arquitecturas que promuevan la seguridad de los sistemas de información.
Integridad de Sistemas y de la Información	Las organizaciones deben identificar, reportar y corregir errores en los datos o en los sistemas de información, ofrecer protección de código malicioso, y monitorear las alertas de seguridad.
Manejo de riesgos en la cadena de suministros	Las organizaciones deben proteger su cadena de suministros construyendo relaciones de confianza y comunicación con proveedores externos para contrarrestar problemas de producción no autorizada, falsificaciones, inserción de hardware o software malicioso y otras prácticas para alterar la integridad de los componentes en la cadena de suministros.

Tabla 1. Familias de controles propuestas por el instituto NIST. (NIST Joint Task Force, 2020):

Conclusión

Dominar los controles NIST es fundamental para proteger tus sistemas de información de posibles amenazas y vulnerabilidades. Al seguir los pasos mencionados anteriormente, podrás fortalecer la seguridad de tus sistemas y mantener la confidencialidad, integridad y disponibilidad de tus datos.

¡No esperes más y comienza a dominar los controles NIST para proteger tus sistemas de información!