Cinco marcos, una sola organización
Una empresa mediana puede tener que responder a la vez a una certificación (por ejemplo, ISO/IEC 27001), a un marco de referencia (como el NIST Cybersecurity Framework), a una lista de controles técnicos (como los CIS Controls), a los cuestionarios de seguridad de sus clientes y a la regulación de su sector.
Si cada uno se trata como un proyecto aparte, se acaba con cinco hojas de cálculo, cinco auditorías y los mismos controles descritos de cinco maneras.
El catálogo propio en el centro
La alternativa es un catálogo propio de controles, escrito en el lenguaje de la organización, y una tabla que relaciona cada control con los requisitos de cada marco:
- Un control ("todo acceso administrativo exige segundo factor") puede satisfacer requisitos de tres o cuatro marcos a la vez.
- Un marco nuevo no obliga a empezar de cero: se mapea contra el catálogo existente y solo aparecen los huecos.
- La evidencia se recoge una vez por control y sirve para todos los marcos que lo exigen.
Cómo se construye
- Partir de un marco amplio como esqueleto: suele ser el que exige la certificación más importante para el negocio.
- Escribir cada control en lenguaje propio, concreto y comprobable (con los mismos criterios que una norma que se pueda cumplir).
- Mapear los demás marcos contra ese catálogo.
- Revisar el mapa cada vez que un marco cambia de versión.
Lo que el marco no decide
Ningún marco dice cuánto riesgo está dispuesta a aceptar una organización ni qué proteger primero. Eso se decide en el nivel estratégico (como vimos en qué se decide en cada nivel) y se refleja en el catálogo: qué controles son obligatorios para todo y cuáles solo para los sistemas más críticos.
Un catálogo de controles bien mapeado es necesario, pero no suficiente: cada control tiene que poder demostrarse.
Cómo lo aplicamos: Ciberseguridad.