Una estrategia de seguridad en la nube alineada al NIST

© 2023, Amazon Web Services, Inc. or its affiliates.
FUNDAMENTOS DE RESILIENCIA EN LA NUBE
Una estrategia de seguridad en la
nube alineada al marco de
ciberseguridad del NIST.
INCAE, 8 de abril, 2024
Solutions Architect, AWS
orojasf@amazon.com
Ó S C A R L U I S R O J A S F E R N Á N D E Z

Agenda
2
• ¿Qué es el NIST CF?
• Alineando los servicios de nube con el NIST CF
• Ejemplo

© 2024, Amazon Web Services, Inc. or its affiliates. All rights reserved.
¿Qué es el marco de ciberseguridad del NIST?
3
• Un marco de uso voluntario, compuesto por mejores prácticas que busca ayudar a
organizaciones de cualquier tamaño y en cualquier sector a mejorar la
ciberseguridad, la gestión de riesgos y la resiliencia de sus sistemas.
• Una taxonomía común para alinear los impulsores comerciales de la organización y
las consideraciones de seguridad específicas del uso de la tecnología.
• Utiliza estándares existentes para escalar, evolucionar conforme los avances
tecnológicos y los requisitos comerciales, y proporcionar economías de escala.
• Originalmente destinado a infraestructura crítica pero aplicable en todos los tipos de
organizaciones

Orden
Ejecutiva
Orden ejecutiva
presidencial
13636,
“Improving
Critical
Infrastructure
Cybersecurity,”
encarga al NIST
en Feb 2013
Legislación
El Acto de
Mejora de
Ciberseguridad
de 2014 reforzó
la legitimidad y
autoridad del
CFA mediante su
codificación y su
adopción
voluntaria como
ley.
En febrero de 2014, el Instituto
Nacional de Estándares y
Tecnología (NIST) publicó el “Marco
para mejorar la ciberseguridad de
las infraestructuras críticas” (o CSF),
un marco voluntario para ayudar a
organizaciones de cualquier tamaño
y sector a mejorar la ciberseguridad,
la gestión de riesgos y la resiliencia
de sus sistemas.
Originalmente destinado a
infraestructura crítica, pero más
aplicable en todos los tipos de
organizaciones.
Orden ejecutiva
Orden ejecutiva
presidencial 13800,
“Strengthening the
Cybersecurity of
Federal Networks
and Critical
Infrastructure”
requiere el uso del
CSF en TI a nivel
Federal

Basado en riesgos y centrado en resultados
• El núcleo (Core) representa un conjunto de prácticas, resultados y
controles de seguridad técnicos, operativos y de gestión de
ciberseguridad (denominados Referencias Informativas) que
respaldan las cinco funciones de gestión de riesgos.
Core
• Los niveles caracterizan la aptitud de una organización para
gestionar el riesgo de seguridad
Niveles (tiers)
• Los perfiles están destinados a contener la postura de riesgo "tal
cual" y "deseada" de la organización.
Perfiles
Identificar Proteger Detectar Responder Recuperar
Tier 4-
Adaptado
Tier 3-
Repetible
Tier 2-
Riesgo
informado
Tier 1-
Parcial
Actual (“As is”) Deseada
Estos tres elementos permiten a las organizaciones priorizar y abordar los
riesgos de ciberseguridad de acuerdo con las necesidades de su negocio

Identificar Proteger Detectar Responder Recuperar
Gestión de activos
Ambiente de
negocios
Gobernabilidad
Evaluación de
riesgos
Estrategia de
evaluación de
riesgos
Gestión de riesgos
de cadena de
suministros
Control de acceso
Entrenamiento y
concientización
Seguridad de los
datos
Protección de
información
Procesos y
procedimientos
Mantenimiento
Tecnología de
protección
Anomalías y
eventos
Monitoreo
contínuo de
seguridad
Procesos de
detección
Planeamiento de la
respuesta
Comunicaciones
Análisis
Mitigación
Mejoras
Planeamiento de la
recuperación
Mejoras
Comunicaciones
Subcategorías (108 actividades de
seguridad basadas en resultados)
NIST CSF | Core
23 Categorías

Soluciones de seguridad de AWS
7
Amazon Macie
AWS Key
Management
Service (KMS)
AWS CloudHSM
AWS Certificate
Manager
AWS Private CA
AWS Secrets
Manager
AWS Payment
Cryptography
Server-Side
Encryption
Protección
De datos
AWS Firewall
Manager
AWS Network
Firewall
AWS Shield
AWS WAF
Amazon VPC
AWS PrivateLink
AWS Systems
Manager
AWS Verified
Access
Protección de
Redes y apps
AWS Security Hub
Amazon GuardDuty
Amazon Security Lake
Amazon Inspector
Amazon Macie
Amazon Detective
Amazon CloudWatch
AWS Config
AWS CloudTrail
Detección y respuesta
AWS Identity and
Access Management
(IAM)
AWS IAM Identity
Center
AWS Organizations
AWS Directory Service
Amazon Cognito
AWS Resource Access
Manager
Amazon Verified
Permissions
Gestión de
identidades y acceso
AWS Artifact
AWS Audit
Manager
Cumplimiento
Regulatorio

Asset Management
(ID.AM)
Business
Environment (ID.BE)
Governance (ID.GV) Risk Assessment
(ID.RA)
Risk Management
Strategy (ID.RM)
Supply Chain Risk
Management (ID.SC)
NIST CSF: Identificar
Inventory
Lambda
Function
Event
(event-based)
Lambda
Function
Event
(event-based)
Enterprise
Agreement

NIST CSF: Proteger
Identity Management,
Authentication and
Access Control
(PR.AC)
Awareness and
Training (PR.AT)
Data Security
(PR.DS)
Information
Protection Processes
and Procedures
(PR.IP)
Maintenance
(PR.MA)
Protective
Technology (PR.PT)
AWS STS
MFA
token
Role
Permissions

NIST CSF: Detectar
Anomalies and
Events (DE.AE)
Security Continuous
Monitoring (DE.CM)
Detection Processes
(DE.DP)
Flow logs
Lambda
Function
Event
(event-based)

Response Planning
(RS.RP)
Communications
(RS.CO)
Analysis (RS.AN) Mitigation (RS.MI) Improvements
(RS.IM)
Organizational
response activities
are improved by
incorporating
lessons learned
from current and
previous
detection/respons
e activities.
AWS service
configurations and
Security
Automation are
updated/improved
.
NIST CSF: Responder
Filtering
rule
ACL
Subnet
Rule

NIST CSF: Recuperar
Recovery Planning
(RC.RP)
Improvements
(RC.IM)
Communications
(RC.CO)
Organizational
recover activities
are improved by
incorporating
lessons learned
from current and
previous
detection/respons
e activities.
AWS service
configurations and
Security
Automation are
updated/improved
.

How AWS helps you design resilient workloads

Ejemplo: AWS Security Hub.

Siguientes pasos.
https://www.oas.org/es/sms/cicte/docs/OEA-AWS-Marco-NIST-de-Ciberseguridad-ESP.pdf

¡Gracias!
Óscar Luis Rojas Fernández
orojasf@amazon.com

Láminas de
apoyo

Shared responsibility model
18
AWS
Security OF
the Cloud
AWS is responsible for protecting
the infrastructure that runs all the
services offered in the AWS Cloud.
Security IN
the Cloud
Customer responsibility is
determined by the AWS Cloud
services a customer selects.
Customers

Knowledge Test
• AWS Responsibility? or Customer Responsibility?
Configuring the
Security Group rules
that determine which
ports are open to an
EC2 Linux instance
Toggling on the
Server-side
encryption feature
for S3 buckets
Patching the operating
system on EC2 with the
latest security patches
Defining permissions
for different users,
groups, and roles in
AWS
Shredding disk drives
before they leave a
datacenter
Preventing packet
sniffing at the
hypervisor level
Maintaining a SOC2
report for AWS datacenter
control implementations

Una estrategia de seguridad en la nube alineada al NIST

Recomendados

Recomendados

Más contenido relacionado

Similar a Una estrategia de seguridad en la nube alineada al NIST

Similar a Una estrategia de seguridad en la nube alineada al NIST (20)

Último

Último (20)

Una estrategia de seguridad en la nube alineada al NIST