La seguridad de la información se ha convertido en una preocupación fundamental para el sector de TI. Varios socios de Promove han informado de frecuentes solicitudes de sus clientes para obtener informes, como cuestionarios de diligencia debida, que describan los controles de seguridad de la información implementados en la empresa.
Esta demanda surge de las preocupaciones sobre los riesgos asociados con el intercambio de datos entre empresas y proveedores, impulsadas por el riesgo de que sus reputaciones sean dañadas por graves violaciones de seguridad y filtraciones de datos confidenciales.
Es importante recordar que en artículos anteriores abordamos este tema, resaltando la importancia no solo del gobierno corporativo sino también de los controles técnicos que las organizaciones deben implementar para reducir el riesgo de hackeos, fugas de datos y otros incidentes de seguridad.
Sin embargo, muchas empresas carecen de claridad sobre los controles necesarios y los detalles de su implementación. En estos casos, solemos recomendar a nuestros socios que se centren en los controles CIS.
Los Controles CIS, o Center for Internet Security Controls, son un conjunto de buenas prácticas para fortalecer la ciberseguridad de las organizaciones. Desarrollados por el Center for Internet Security (CIS), una organización sin fines de lucro, estos controles están diseñados para ayudar a las organizaciones a protegerse contra las amenazas cibernéticas más comunes y son ampliamente reconocidos y utilizados como estándar de la industria.
Al implementar controles CIS, una organización crea una base de acceso para cumplir con las regulaciones comunes de la industria, como PCI DSS, HIPAA, GDPR (LGPD europea), ISO 27001 y otras.
Los objetivos que se buscan con la implementación de estos controles incluyen:
La alineación de estos objetivos con los objetivos estratégicos de cualquier empresa de TI es clara, ¿no es así?
Los controles técnicos se dividen en tres categorías principales, denominadas Grupos de Implementación (IG), que reflejan la madurez y el nivel de prioridad de las prácticas de seguridad. Estos grupos representan una visión horizontal de los controles adaptados a diferentes tipos de organizaciones.
En concreto, definimos IG1 como "ciberhigiene esencial", el conjunto fundamental de medidas de ciberdefensa que toda empresa debería implementar. Cada IG se basa en el anterior: IG2 incluye IG1, y IG3 incluye todas las medidas anteriores.
Los controles del CIS se componen de 18 controles principales, cada uno subdividido en varias prácticas específicas denominadas "Salvaguardias" o "Subcontroles". Algunos ejemplos incluyen:
La implementación de los controles CIS puede realizarse por etapas, comenzando con los más básicos y progresando a medida que la organización madura. Un plan de implementación típico podría incluir:
Algunos beneficios que una organización puede esperar al confiar en los controles CIS para aumentar la seguridad de su información:
La implementación de controles CIS es una buena práctica para fortalecer la ciberseguridad de cualquier organización, proporcionando un marco claro y práctico para proteger los activos digitales y garantizar la continuidad del negocio en un panorama de amenazas cibernéticas en constante evolución.
Contamos con un equipo experimentado para diagnosticar y apoyar a su empresa en la definición de procesos y el establecimiento de una gobernanza sólida. Confíe en Promove para convertir a su empresa en un referente en seguridad de la información. ¡ Contáctenos!
El control estadístico de procesos es el conjunto de técnicas que miden cómo se comporta un proceso a lo largo del tiempo, separando las fluctuaciones...
CMMI AIM (Artificial Intelligence Maturity) es el marco para...
¡Sé el primero en comentar!