Cuando busques formas de proteger tu organización de ciberataques, descubrirás que hay varios marcos para hacerlo.
Esto puede ser un poco abrumador y puede que no esté claro de entrada cuál se adapta mejor a las necesidades de tu organización.
En este artículo compararemos ISO 27001 y NIST Cybersecurity Framework (CSF) para ayudarle a determinar exactamente eso.
Comencemos examinando cada uno de los marcos individualmente.
¿Qué es el marco de ciberseguridad del NIST?
El Instituto Nacional de Estándares y Tecnología (NIST) es una agencia estadounidense anteriormente conocida como Oficina Nacional de Estándares.
En su página web, el NIST ofrece un útil infográfico que define claramente el CSF (Cyber Security Framework), un estándar voluntario que las organizaciones pueden utilizar para gestionar sus riesgos de ciberseguridad.
A medida que los sistemas de infraestructuras críticas se vuelven más intrincados, también se vuelven más vulnerables.
Cuando están en peligro, estos sistemas pueden suponer no sólo riesgos financieros, sino también riesgos para la reputación de las organizaciones, especialmente de aquellas que aún no cuentan con un marco de seguridad sólido
El NISC recibió el encargo de reforzar la resiliencia de las infraestructuras críticas a través de la Ley de Ciberseguridad de 2014.
El CSF es el resultado de la identificación del NIST:
“[Un] enfoque priorizado, flexible, repetible, basado en el rendimiento y rentable. Incluyendo medidas de seguridad de la información y controles que pueden ser adoptados voluntariamente por los propietarios y operadores de infraestructuras críticas para ayudarles a identificar, evaluar y gestionar los riesgos cibernéticos.”
¿Para qué se utiliza el NIST CSF?
El NIST CSF ayuda a las empresas a gestionar mejor sus riesgos de ciberseguridad. Les muestra cómo gestionar y reducir los riesgos de infraestructura de TI proporcionando directrices sobre cómo detectar, prevenir y responder a los ciberataques.
Dado que el CSF no es un marco certificable como la ISO 27001, puede ser más difícil demostrar a los clientes que su empresa tiene medidas para proteger sus datos.
>Cinco funciones del NIST CSF
Según la documentación oficial del NIST, el marco proporciona a las organizaciones una forma de:
- Describa su postura actual en materia de ciberseguridad.
- Describa su estado objetivo de ciberseguridad.
- Identificar y priorizar las oportunidades de mejora en el contexto de un proceso continuo y repetible.
- Evaluar el progreso hacia el estado objetivo.
- Comunicar entre las partes interesadas internas y externas sobre el riesgo de ciberseguridad.
¿Qué es la norma ISO 27001?
ISO 27001 es una norma internacional para la gestión de la seguridad de la información. Proporciona un marco que las empresas deben seguir para garantizar la eficacia de sus sistemas de seguridad de la información. ISO 27001 consta de 11 cláusulas, 7 de las cuales son requisitos obligatorios.
Hay 14 dominios de los controles ISO 27001. Ellos son:
- Políticas de seguridad de la información
- Organización de la seguridad de la información
- Seguridad de los Recursos Humanos
- Gestión de Activos
- Control de Acceso
- Criptografía
- Seguridad física y medioambiental
- Seguridad Operativa
- Seguridad en las comunicaciones
- Adquisición, Desarrollo y Mantenimiento de Sistemas
- Relaciones con proveedores
- Gestión de incidentes de seguridad de la información
- Aspectos de Seguridad de la Información en la Gestión de la Continuidad del Negocio
- Cumplimiento
Data Guard proporciona una guía detallada de los controles del Anexo A de ISO, un conjunto de controles de seguridad de la información que puede seleccionar en función de cuál se ajuste al ámbito de su organización.
¿Para qué sirve la norma ISO 27001?
ISO 27001 proporciona un marco que las empresas deben seguir para garantizar que sus sistemas de seguridad de la información (SGSI) son eficaces.
Es una norma voluntaria, pero muchas empresas optan por adoptarla para demostrar su compromiso con la seguridad de la información.
Las empresas reciben un certificado al final de su viaje ISO 27001, que puede ser utilizado para demostrar a los clientes que sus datos están seguros y protegidos.
Este es uno de los mayores diferenciadores entre ISO 27001 vs el Marco de Ciberseguridad del NIST.
Las similitudes entre la ISO 27001 y el Marco de Ciberseguridad del NIST
Los objetivos de ISO 27001 y NIST CSF son casi idénticos: garantizar la confidencialidad, integridad, disponibilidad y seguridad.
Pero ahí no acaban las similitudes.
La aplicación de cualquiera de estos marcos basados en el riesgo necesitaría la aceptación y el apoyo de la alta dirección. Ambos también deben ser mantenidos una vez implementados.
La buena noticia es que se integran fácilmente, porque tienen varios principios en común, por ejemplo, la identificación de riesgos, la implantación de controles y la supervisión del rendimiento.
Las diferencias entre ISO 27001 y NIST Cybersecurity Framework
Esencialmente el NIST CSF es un marco de seguridad voluntario y no certificable mientras que la ISO 27001, aunque también es voluntaria, requiere de una auditoría independiente para asegurar su cumplimiento y obtener una certificación.
Muchos dicen que las empresas menos maduras, como las start-ups, pueden utilizar el NIST CSF y más tarde graduarse a ISO 27001, aunque es posible implementar ambos. Esta tabla proporciona una visión básica de las diferencias entre ISO 27001 vs NIST CSF.
| NIST CSF | ISO 27001 | |
| Marco | 5 Funciones 23 Categorías | 11 Secciones 1 Anexo |
| Certificable | No | Sí |
| Documentos obligatorios | Ninguno especificado | Uno oficial: – Alcance del SGSI – Política y objetivos de seguridad de la información – Metodología de evaluación y tratamiento de riesgos – Declaración de aplicabilidad – Plan de tratamiento de riesgos – Informe de evaluación de riesgos – Definición de funciones y responsabilidades de seguridad – Inventario de activos – Uso aceptable de activos – Política de control de acceso – Procedimientos operativos para la gestión de TI – Principios de ingeniería de sistemas seguros – Política de seguridad de proveedores – Procedimiento de gestión de incidentes – Procedimientos de continuidad de negocio – Requisitos legales, reglamentarios y contractuales Consulta el artículo que escribimos sobre la documentos obligatorios para ISO 27001. |
| Coste | Gratis | Varía. Requiere gasto en plantillas, documentación, auditorías y certificación. +/- 50.000 euros |
Riesgo seguridad
Según el NIST, ‘riesgo’ se define como:
“Una medida del grado en que una entidad se ve amenazada por una circunstancia o evento potencial, y típicamente una función de: (i) los impactos adversos que surgirían si la circunstancia o evento ocurre; y (ii) la probabilidad de ocurrencia.”
La seguridad de riesgos, por lo tanto, consiste en cualquier medida adoptada para contrarrestar estas amenazas y también abarca la gestión de riesgos.
La gestión de riesgos es el núcleo de los marcos NIST e ISO. Cada uno de ellos tiene su propio lenguaje común que permite a las partes interesadas comprender e identificar los riesgos y cómo abordarlos.
El NIST se creó para ayudar a las agencias federales estadounidenses a gestionar sus riesgos, mientras que la ISO se utiliza internacionalmente para guiar a las organizaciones en el establecimiento y mantenimiento de un SGSI (Sistema de Gestión de la Seguridad de la Información).
Proceso de certificación
El NIST no tiene un certificado oficial, por lo que no existe un proceso de certificación.
Sin embargo, según Babbage Simmel, el NIST proporciona una guía de siete pasos para establecer nuevos programas de seguridad o mejorar los existentes.
Los siete pasos son:
- Prioridad y alcance
- Orientación
- Orientación
- Orientación
- Crear un perfil actual
- Realizar una evaluación de riesgos
- Crear un perfil objetivo
- Determinar, analizar y priorizar las lagunas
- Implementar el Plan de Acción
El proceso de certificación de la norma ISO 27001 es algo más complicado.
Según Kolide:
“La certificación ISO 27001 es un proceso de varios pasos, que requiere una gran cantidad de trabajo antes incluso de que un auditor se involucre.”
A continuación, ofrecen esta infografía simplificada del proceso:
¿Cómo se comparan los costes del marco de ciberseguridad Iso 27001 vs Nist?
Dado que no hay costes asociados con NIST CSF, es mejor para las nuevas empresas o aquellas empresas con bajos presupuestos para la seguridad.
Debido a la naturaleza evolutiva de los ciberataques, asignar un presupuesto a la implantación de un Sistema de Gestión de la Seguridad de la Información es definitivamente algo a tener en cuenta.
Por supuesto, el coste real depende de cómo se aborde la implantación de la norma ISO 27001. Hay un proceso de múltiples etapas involucradas y hay variables que permiten diversas cantidades de participación de partes externas, lo que significa que los costos pueden variar significativamente
En total, entre 40.000 y 60.000 euros para todo el proceso, desde la preparación hasta el mantenimiento.
¿Es ISO mejor que NIST?
ISO es mejor para las organizaciones más grandes, las que tienen presupuesto para marcos de seguridad y/o las que necesitan que sus clientes las tomen más en serio cuando se trata de protección de datos y ciberseguridad.
El NIST es suficiente para los que empiezan y es un buen primer paso para entender e implementar un marco de seguridad en tu empresa.
Iso 27001 vs Nist marco de ciberseguridad : ¿Cuál es el mejor para tu negocio?
Si su negocio es nuevo o si tiene un presupuesto bajo, entonces NIST probablemente sería más útil para su organización, pero si ha escalado o tiene un buen presupuesto para la ciberseguridad, entonces ISO 27001 es sin duda preferible.
Ser capaz de mostrar un certificado a las partes interesadas puede resultar muy valioso en los lanzamientos o en la retención de los clientes existentes
Cumplimiento simplificado: ISO 27001
Elegir la ISO 27001 le merecerá la pena a largo plazo.
Hacerlo no significa que vaya a complicar su proceso de seguridad. De hecho, simplificar la ISO 27001 es lo que mejor sabemos hacer en Compleye. Descubra cómo, utilizando un enfoque de cumplimiento ajustado de la ISO 27001, estamos haciendo que el cumplimiento sea (casi) divertido.
Por cierto, si está interesado en obtener más información sobre cómo se compara la ISO 27001 con la SOC 2, también hemos escrito sobre ello.
