1. Organizan las actividades básicas de ciberseguridad en su nivel más alto Las Funciones Las Categorías Las Subcategorias Las Referencias informativas.
2. Son subdivisiones de una función en grupos Las Funciones Las Categorías Las Subcategorias Las Referencias informativas.
3. Son las divisiones de una categoría en resultados específicos Las Funciones Las Categorías Las Subcategorias Las Referencias informativas.
4. Son normas, directrices y practicas comunes entre los sectores de infraestructura critica Las Funciones Las Categorías Las Subcategorias Las Referencias informativas.
5. Ayudan a una organización a expresar su gestión del riesgo de seguridad cibernética organizando información, habilitando decisiones de gestión de riesgos, abordando amenazas y el aprender de actividades previas. Las Categorías Las Funciones Las Subcategorias Las Referencias informativas.
6. Se alinean con las metodologías existentes para la gestión de incidentes y ayudan mostrar el impacto de las inversiones en seguridad cibernética Las Categorías Las Funciones Las Subcategorias Las Referencias informativas.
7. El núcleo del marco consta de cinco funciones simultaneas y continuas verdadero falso .
8. Entender la organización para poder gestionar el riesgo de ciberseguridad en cuanto a sistemas, personas, activos, datos y capacidades; corresponde a: Proteger Detectar Identificar Responder.
9. Implementar medidas de seguridad adecuadas para garantizar la entrega de servicios. También contempla limitar o contener el impacto de un posible evento de seguridad cibernética; corresponde a: Proteger Detectar Identificar Responder.
10. Implementar actividades para identificar oportunamente eventos de seguridad cibernética; corresponde a: Proteger Responder Identificar Detectar.
11. Tomar medidas con respecto a un incidente detectado de seguridad cibernética para contener su impacto; corresponde a: Proteger Responder Identificar Detectar.
12. Mantener los planes de resiliencia y restablecer cualquier servicio o capacidad que se vea afectado por un incidente de seguridad cibernética; corresponde a: Recuperar Responder Identificar Detectar.
13. Son las subdivisiones de una función en grupos de resultados de seguridad estrechamente vinculados a las necesidades programáticas y actividades particulares; corresponde a: Las Categorías Las Funciones Las Subcategorias Las Referencias informativas.
14. Los datos, el personal, los dispositivos, los sistemas y las instalaciones que permiten a la organización alcanzar los objetivos empresariales se identifican y se administran en forma coherente con su importancia relativa para los objetivos organizativos y la estrategia de la organización; corresponde a: Entorno Empresarial (ID.BE) Gestión de Activos (ID.AM) Gobernanza (ID.GV) Evaluación de riesgos (ID.RA).
15. Se entienden y se priorizan la misión, los objetivos, las partes interesadas y las actividades de la organización; esta información se utiliza para informar los roles, responsabilidades y decisiones de gestión de los riesgos de seguridad cibernética; corresponde a: Entorno Empresarial (ID.BE) Gestión de Activos (ID.AM) Gobernanza (ID.GV) Evaluación de riesgos (ID.RA).
16. Las políticas, los procedimientos y los procesos para administrar y monitorear los requisitos regulatorios, legales, de riesgo, ambientales y operativos de la organización se comprenden y se informan a la gestión del riesgo de seguridad cibernética; corresponde a: Entorno Empresarial (ID.BE) Gestión de Activos (ID.AM) Gobernanza (ID.GV) Evaluación de riesgos (ID.RA).
17. La organización comprende el riesgo de seguridad cibernética para las operaciones de la organización (incluida la misión, las funciones, la imagen o la reputación), los activos de la organización y las personas; corresponde a: Entorno Empresarial (ID.BE) Gestión de Activos (ID.AM) Gobernanza (ID.GV) Evaluación de riesgos (ID.RA).
18. Se establecen las prioridades, restricciones tolerancias de riesgo y suposiciones de la organización y se usan para respaldar las decisiones de riesgos operacionales; corresponde a: Estrategia de gestión de riesgos (ID.RM) Gestión de Activos (ID.AM) Gobernanza (ID.GV) Evaluación de riesgos (ID.RA).
19. Las prioridades, limitaciones, tolerancias de riesgo y suposiciones de la organización se establecen y se utilizan para respaldar las decisiones de riesgo asociadas con la gestión del riesgo de la cadena de suministro; corresponde a: Estrategia de gestión de riesgos (ID.RM) Gestión del riesgo de la cadena de suministro (ID.SC) Gobernanza (ID.GV) Evaluación de riesgos (ID.RA).
20. El acceso a los activos físicos y lógicos y a las instalaciones asociadas esta limitado a los usuarios, proceso y dispositivos autorizados, y se administra de forma coherente con el riesgo evaluado de acceso no autorizado a actividades autorizadas y transacciones; corresponde a: Estrategia de gestión de riesgos (ID.RM) Gestión del riesgo de la cadena de suministro (ID.SC) Gestión de identidad, autenticación y control de acceso (PR.AC) Evaluación de riesgos (ID.RA).
21. El personal y los socios de la organización reciben educación de concienciación sobre la seguridad cibernética y son capacitados para cumplir con sus deberes y responsabilidades relacionados con la seguridad cibernética, en conformidad con las políticas, los procedimientos y los acuerdos relacionados al campo; corresponde a: Estrategia de gestión de riesgos (ID.RM) Gestión del riesgo de la cadena de suministro (ID.SC) Gestión de identidad, autenticación y control de acceso (PR.AC) Concienciación y capacitación (PR.AT).
22. La información y los registros (datos) se gestionan en función de la estrategia de riesgo de la organización para proteger la confidencialidad, integridad y disponibilidad de la información; corresponde a: Seguridad de los datos (PR.DS) Gestión del riesgo de la cadena de suministro (ID.SC) Gestión de identidad, autenticación y control de acceso (PR.AC) Concienciación y capacitación (PR.AT).
23. Se mantiene y utilizan políticas de seguridad (que abordan el propósito, el alcance, los roles, las responsabilidades, el compromiso de la jefatura y la coordinación entre las entidades de la organización), procesos y procedimientos para gestionar la protección de los sistemas de información y los activos; corresponde a: Seguridad de los datos (PR.DS) Procesos y procedimientos de protección de la información (PR.IP) Gestión de identidad, autenticación y control de acceso (PR.AC) Concienciación y capacitación (PR.AT).
24. El mantenimiento y la reparación de los componentes del sistema de información y de control industrial se realizan de acuerdo con las políticas y los procedimientos corresponde a: Seguridad de los datos (PR.DS) Procesos y procedimientos de protección de la información (PR.IP) Mantenimiento (PR.MA) Concienciación y capacitación (PR.AT).
25. Las soluciones técnicas de seguridad se gestionan para garantizar la seguridad y la capacidad de recuperación de los sistemas y activos, en consonancia con las políticas, procedimientos y acuerdos relacionados; corresponde a: Tecnología de protección (PR.PT) Procesos y procedimientos de protección de la información (PR.IP) Mantenimiento (PR.MA) Concienciación y capacitación (PR.AT).
26. Se detecta actividad anómala y se comprende el impacto potencial de los eventos Anomalías y Eventos (DE.AE) Monitoreo Continuo de la Seguridad (DE.CM) Procesos de Detección (DE.DP) Planificación de la Respuesta (RS.RP).
27. El sistema de información y los activos son monitoreados a fin de identificar eventos de seguridad cibernética y verificar la eficacia de las medidas de protección; corresponde a: Anomalías y Eventos (DE.AE) Monitoreo Continuo de la Seguridad (DE.CM) Procesos de Detección (DE.DP) Planificación de la Respuesta (RS.RP).
28. Se mantienen y se aprueban los procesos y procedimientos de detección para garantizar el conocimiento de los eventos anómalos; corresponde a: Anomalías y Eventos (DE.AE) Monitoreo Continuo de la Seguridad (DE.CM) Procesos de Detección (DE.DP) Planificación de la Respuesta (RS.RP).
29. Los procesos y procedimientos de respuesta se ejecutan y se mantienen a fin de garantizar la respuesta a los incidentes de seguridad cibernética detectados; corresponde a: Anomalías y Eventos (DE.AE) Monitoreo Continuo de la Seguridad (DE.CM) Procesos de Detección (DE.DP) Planificación de la Respuesta (RS.RP).
30. Las actividades de respuesta se coordinan con las partes interesadas interna y externa (por ejemplo, el apoyo externo de organismos encargados de hacer cumplir la ley); corresponde a: Análisis (RS.AN) Comunicaciones (RS.CO) Mitigación (RS.MI) Mejoras (RS.IM) .
31. Se lleva a cabo el análisis para garantizar una respuesta eficaz y apoyar las actividades de recuperación; corresponde a: Análisis (RS.AN) Comunicaciones (RS.CO) Mitigación (RS.MI) Mejoras (RS.IM) .
32. Se realizan actividades para evitar la expansión de un evento, mitigar sus efectos y resolver el incidente, corresponde a: Análisis (RS.AN) Comunicaciones (RS.CO) Mitigación (RS.MI) Mejoras (RS.IM) .
33. Las actividades de respuesta de la organización se mejoran al incorporar las lecciones aprendidas de las actividades de detección y respuesta actuales y previas, corresponde a: Análisis (RS.AN) Comunicaciones (RS.CO) Mitigación (RS.MI) Mejoras (RS.IM) .
34. Los procesos y procedimientos de recuperación se ejecutan y se mantiene para asegurar la restauración de los sistemas o activos afectado por incidentes de seguridad cibernética, corresponde a: Mejoras (RS.IM) Comunicaciones (RC.CO) Planificación de la recuperación (RC.RP) Mejoras (RC.IM).
35. Dividen una categoría en resultados específicos de actividades técnicas o de gestión Las Funciones Las Categorías Las Subcategorias Las Referencias informativas.
36. Son secciones especificas de normas, directrices y practicas comunes que muestran un método para logar los resultados asociados con cada subcategoria Las Funciones Las Categorías Las Subcategorias Las Referencias informativas.
37. Las referencias informativas presentadas en el Núcleo del Marco son ilustrativas y no exhaustivas verdadero falso.
38. Las referencias informativas solo se asignan al nivel de control, aunque cualquier mejora de control posiblemente puede resultar útil para lograr un resultado de subcategoría verdadero falso.
39. Las asignaciones entre las subcategorías del Núcleo del Marco y las secciones especificadas en las Referencias Informativas NO tiene por objeto determinar definitivamente si las secciones especificadas en las Referencias Informativas proporcionan el resultado de Subcategoria deseado verdadero falso.
40. Controles de seguridad y privacidad para organizaciones y sistemas de información federales, corresponde a: ISO/IED 27001 COBIT 5 NIST SP800-53 Rev. 4 CIS CSC.
41. Técnicas de seguridad para Sistemas de gestión de seguridad de la información, corresponde a: ISO/IED 27001 COBIT 5 NIST SP800-53 Rev. 4 CIS CSC.
42. Objetivos de control para tecnologías de la información y afines ISACA ISO/IED 27001 COBIT 5 NIST SP800-53 Rev. 4 CIS CSC.
43. Controles de ciberseguridad y controles de seguridad críticos ISO/IED 27001 COBIT 5 NIST SP800-53 Rev. 4 CIS CSC.
|
