Estandares de ciberseguridad

1. ESTÁNDARES DE CIBERSEGURIDAD
Sesión N°1 – Organizaciones y estándares de ciberseguridad

2. ▪ Presentación del Curso
▪ Introducción a los Estándares de Ciberseguridad
▪ Estándares ISO
▪ Estándares NIST
Agenda

3. Estándares de Ciberseguridad
Presentación del Curso

4. ▪ Curso de 10 secciones
▪ Horario:
▪ Martes y Jueves
▪ 10:30 a 13:00
▪ Horario de Santiago de Chile (GMT-3)
▪ Break de 15 minutos a las 11:30
Características Generales

5. ▪ Sesión 1: Organizaciones y Estándares de Ciberseguridad
▪ Sesión 2: Sistema de Gestión de la Seguridad de la Información ISO 27.001
▪ Sesión 3: Estándares de Gestión de Riesgo
▪ Sesión 4: ISO 27.002 – Controles de Seguridad se la Información
▪ Sesión 5: ISO 27.035 - Gestión de Incidentes de Seguridad de la Información
▪ Sesión 6: ISO 22301 - Gestión de la Continuidad del Negocio
▪ Sesión 7: ISO 27.701 - Gestión de Privacidad
▪ Sesión 8: Cobit 2019 – Gobierno y Gestión de la Información y Tecnologías
▪ Sesión 9: NIST CSF – Framework de Ciberseguridad
▪ Sesión 10: Estándares de Ciberseguridad Gubernamentales
Detalle de Sesiones

6. ▪ Cinco evaluaciones
▪ Por cada semana existe una evaluación
▪ Se habilitaran los Jueves
▪ Se cerraran el Miércoles próximo
▪ Son test de 40 preguntas
▪ Opción múltiple – 4 alternativas
▪ Foco 75% teórico – 25% práctico
▪ Sincrónicos – Tienen 60 minutos de duración
▪ La nota final es un promedio de las 5 evaluaciones
Evaluaciones

7. ▪ Ingeniero Civil en Informática y Magister en Informática
© de la Universidad de Santiago de Chile, Diplomado en
Auditoría de Sistemas, Postitulado en Seguridad
Computacional y Gestión de Procesos de Negocios de la
Universidad de Chile.
▪ Especialista en gobernanza, gestión y control de
tecnologías de información empleando modelos como
COBIT, ITIL, ISO 27001 e ISO 22301. Posee
certificaciones internacionales CISA, CISM, COBIT, ISO
Lead Auditor 27001, ISO Lead Auditor BS 25599 e ITIL
V3, entre otras.
▪ Director de los Programas de Ciberseguridad de
Capacitación USACH.
Profesor del Curso - Carlos Lobos de Medina
https://www.linkedin.com/in/clobos/
carlos.lobos@usach.cl

8. Estándares de Ciberseguridad
Estándares de Ciberseguridad

9. ¿Cuáles estándares son los que UD conoce?

10. 1. Buscan satisfacer una necesidad
2. Establecen buenas prácticas en la materia
3. Tienen un propósito definido
4. Tienen un gran potencial de integración
¿Cuáles son los objetivos de un Estándar?

11. Buscan satisfacer una necesidad
1. Buscan satisfacer una necesidad
2. Establecen buenas prácticas en la materia
3. Tienen un propósito definido
4. Tienen un gran potencial de integración

12. Establecen Buenas Prácticas en la Materia
1. Necesidades transversales
▪ Calidad (ISO 9001)
▪ Salud y Seguridad Ocupacional (ISO 45.001)
2. Necesidades sectoriales
▪ Seguridad de la Información (ISO 27.001)
▪ Salud y Seguridad Ocupacional (ISO 45.001)
▪ Gestión ambiental (ISO 14.001)
3. Necesidades de industrias
▪ Seguridad en Cloud (ISO 27.017)
▪ Seguridad en Sector Eléctrico (ISO 27.019)
▪ Seguridad en Salud(ISO 27.799)
4. Necesidades especificas
▪ ……

13. Buscan satisfacer una necesidad
Fuente: https://www.iso.org/about-us.html

14. Establecen buenas prácticas en la materia
✓Son desarrolladas en diversos contextos
✓Requisitos, controles, framework, procesos, modelo de madurez,…..
✓Son desarrolladas por expertos y partes interesadas
✓Participan expertos en la materia más instituciones claves
✓Buscan dar lineamientos sobre la mejor práctica de la industria
✓Basado en el conocimiento experto
✓Basado en la necesidad de las organizaciones
✓Generalmente
✓Son neutrales tecnológicamente (agnósticas)

15. Para que sirven
Requisitos para
Sistemas de Gestión
Recomendaciones
de controles
Directrices para la
implementación
Modelos de
Madurez
Establecen un
Framework
▪ Definen requisitos para la implementación de un sistema de gestión.
▪ Son muy específicos, dice que DEBE hacerse, pero no dicen como!!
▪ Proporcionar directrices especificas para la implementación.
▪ Apoyo la implementación de procesos y componentes de un sistema de gestión.
▪ Otorgan lineamientos para la implementación de controles.
▪ Buen punto de referencia, si se usan en complemento con otros modelos mejor aún.
▪ Permiten evaluar las capacidades y niveles de madurez de la organización.
▪ Buen lineamiento para el desarrollo de GAP, auditoría y planes de implementación.
▪ Define un conjunto de lineamientos transversales para su uso.
▪ Normalmente obedecen a un conjunto de publicación para un fin de alto nivel.

16. Tienen un propósito definido
Requisitos para
Sistemas de Gestión
Recomendaciones
de controles
Directrices para la
implementación
Modelos de
Madurez
Establecen un
Framework
▪ Estándares ISO
basados en anexo SL
▪ Son Certificables
▪ ISO 9.001
▪ ISO 14.001
▪ ISO 20.000
▪ ISO 27.001
▪ ISO 22.301
▪ ISO 50.001
▪ …..
▪ Apoyan la adopción
de sistemas de
gestión o framework
▪ ISO 27.003
▪ ISO 27.004
▪ ISO 27.022
▪ ISO 22.310
▪ …..
▪ NIST 800-34
▪ NIST 800-53
▪ NIST 800-62
▪ NIST 800-82
▪ …
▪ Cobit Implementing
▪ Cobit Desing
▪ Definen controles
bajo el dominio de
definición
▪ ISO 27.002
▪ ISO 27.017
▪ ISO 27.032
▪ ….
▪ CIS v8
▪ …
▪ NIST 800-53
▪ Definen modelos de
madurez para
procesos en torno a
un dominio
▪ COBIT 2019
▪ ….
▪ CMMi
▪ …
▪ NIST CSF
▪ …
▪ CIS Maturity Model
▪ Definen métodos,
prácticas y
componentes para su
implementación.
▪ COBIT 2019
▪ NIST CSF
▪ CMMi
▪ ISA 62.443
▪ Mitre Attack
▪ PCI-DSS
▪ ….
▪ Estándares ISO?

17. Potencial de Integración
✓Principal valor del uso de estándares!!!
✓Desafío:
✓Conocer los marcos de referencia
✓Saber como poder integrarlos
✓Sacar lo mejor de cada uno
✓Como se integran
✓Desde las mismas normas ISO existen referencias de integración
✓Muchas publicaciones de integración entre normas

18. Ejemplos de Integración – Gestión de Incidencias
27001
▪ En el Anexo A establece 6 controles
▪ Establece que controlar, pero no como hacerlo
27002
▪ Define lineamientos de implementación de los controles del Anexo A
▪ Describe en mayor detalle los controles, pero a nivel de lineamiento
▪ Es un buen punto de partida, pero no da directrices concretas
27035-1
▪ Define lineamientos para la implementación del proceso
▪ Muy buen nivel de detalle a nivel de proceso y actividades
▪ Totalmente alineada con la ISO 27.002
27035-2
▪ Define el proceso en detalle, con actividades, roles y productos.
▪ Proporciona ejemplos para evaluar incidentes de seguridad
▪ Proporciona ejemplos de informes de incidentes
▪ Totalmente alineada con la ISO 27.002 e ISO 27.035-1

19. Ejemplos de Integración – Gestión de Continuidad
27001
▪ En el Anexo A establece 3 controles
▪ Establece que controlar, pero no como hacerlo
27002
▪ Define lineamientos de implementación de los controles del Anexo A
▪ Describe en mayor detalle los controles, pero a nivel de lineamiento
▪ Es un buen punto de partida, pero no da directrices concretas
22.301
▪ Define lineamientos para la implementación del SGCN
▪ Muy buen nivel de detalle a nivel de proceso y actividades
▪ La ISO 27.002 se alinea con estas definiciones
22.300
▪ 22.313 – Directrices de Implementación
▪ 22.317 – Directrices para el desarrollo del BIA
▪ 22.331 - Directrices para estrategias de continuidad del negocio
▪ 22.332 – Directrices para la implementación de planes de continuidad
▪ 22.398 – Directrices para el desarrollo de ejercicios

20. Ejemplos de Integración – NIST
27001
62.443

21. Problemas cuando trabajamos con estándares
✓No se comprende muchas veces su alcance
✓Son guías, directrices, modelos de madurez, controles, procesos, referencia, declaraciones,
frameworks, marcos, etc.
✓No se comprende su uso
✓Menudo problema!!!
✓Se espera más de lo que son
✓Principalmente por desconocimiento de como trabajan y se integran
✓Una gran carga documental
✓Sin duda que generan documentación, pero debe ser manejable

22. Estándares de Ciberseguridad
Estándares ISO

23. International Organization for Standardization - ISO
✓La Organización Internacional para la Estandarización es una organización
independiente, no gubernamental con presencia en 164 países.
✓En base a 784 comités técnicos y subcomité desarrollan buenas prácticas para soportar
la innovación y provee de soluciones para los desafíos globales.
✓Es conocida por la estandarización de normas y buenas prácticas en las más amplias
materias y alcances.
✓Las normas se crean en base a las necesidades globales, pudiendo estas ser una
estandarización de buenas prácticas existentes, una actualización de estas o algo
totalmente nuevo.
✓El acrónimo ISO proviene del vocablo griego ISO, el cual significa igual.

24. Proceso de creación de una norma
▪ https://www.iso.org/stages-and-
resources-for-standards-
development.html

25. Un poco de números
A nivel global ISO 27.001 en LATAM+España

26. Anexo SL
✓Desde el año 2012 a la fecha la publicación de las normas ISOs que definen
Sistemas de Gestión presenta una estructura común definida en el Anexo SL.
✓ Todas las normas ISO que definen sistemas
de gestión tienen esta estructura.
✓ Son además las normas certificables.

27. Beneficios del Anexo SL
✓La estandarización que poseen los sistemas de gestión facilita su adopción de manera integrada.
✓Muchos son los beneficios de estos:
✓ Desarrollar una política general única
✓ Emplear un único sistema de gestión documental
✓ Establecer mecanismos de revisión de la dirección integrado
✓ Realizar auditorías conjuntas a los sistemas de gestión
✓ Establecer mecanismos de mejora continua integrados
✓ …..
✓Hoy en día muchas organizaciones avanzan a:
✓ ISO 9.000 + ISO 27.001
✓ ISO 9.000 + ISO 20.000
✓ ISO 9.000 + ISO 27.001 + ISO 22.301
✓ ISO 9.000 + ISO 20.000 + ISO 27.001

28. Modelo PDCA - PHVA
✓Intrínsicamente todos los estándares ISO que definen Sistemas de Gestión poseen el enfoque
de mejora continua basado en el ciclo PDCA o circulo de calidad de Deming
✓El ciclo PDCA o PHVA en español se estructura en torno al planificar (plan), hacer (do), verificar
(check) y actuar (act).

29. Ejemplo general SGSI – ISO 27.001
Fuente: https://revista.aenor.com/348/isoiec-27001-y-ens-binomio-perfecto-para-la-ciberseguridad.html

30. Ecosistema de Normas
ISO 27014
Gobierno de la
Ciberseguridad
ISO 27701
Gestión de la
Privacidad
ISO 27033
Seguridad en Redes
ISO 27034
Seguridad en
Aplicaciones
ISO 27037
Evidencia
Electrónica
ISO 27.003
Directrices de
Implementación
ISO 27.004
Indicadores del
SGSI
ISO 27.022
Procesos del SGSI

31. Estándares de Ciberseguridad
Estándares NIST

32. Instituto Nacional de Estándares y Tecnología
✓El instituto Nacional de Estándares y Tecnologías, fundada en 1901, es una
agencia del Departamento de Comercio de los Estados Unidos.
✓Su objetivo es promover la innovación y competencia norteamericanas.
✓Emite una serie de normas técnicas y estándares, entre los que se encuentra el
Framework NIST para la Ciberseguridad en Infraestructuras Críticas.

33. Framework de Ciberseguridad – NIST CSF
5 Funciones 23 Categorías 108 Sub-Categorías

34. Referencias Normativas

35. Acerca del NIST CSF
✓Un excelente modelo de referencia para la Ciberseguridad.
✓Facilita la implementación en base a perfiles definidos para industrias.
✓Establece niveles de implementación, lo cual facilita su adopción.
✓No es una guía detallada de implementación se basa en otros marcos de
referencia. Si desea implementarse es muy importante el conocimiento de otros
modelos de referencia.

36. Estándares de Ciberseguridad
Consultas

37. Consultas
▪ Carlos Lobos de Medina
https://www.linkedin.com/in/clobos/
carlos.lobos@usach.cl

38. FUNDAMENTOS DE
ESTÁNDARES DE CIBERSEGURIDAD
Sesión N°1 – Organizaciones y estándares de ciberseguridad