Objetivo y alcance
El objetivo de este documento es presentar un Marco de Ciberseguridad organizado y con referencias a estándares internacionales que contemplan la normativa nacional. Está basado en el Marco de Ciberseguridad definido por el Instituto Nacional de Estándares y Tecnología (NISTCSF) para la mejora de la ciberseguridad en infraestructuras críticas, y contextualizado a las organizaciones que requieren:
- Gestionar los riesgos inherentes a la seguridad de la información y al uso de la infraestructura tecnológica que le da soporte.
- Adoptar en forma urgente una política de gestión de seguridad de la información.
- Contar con una política de gestión de incidentes.
- Adoptar las medidas necesarias para lograr centros de datos seguros.
- Cumplir con la normativa vigente en materia de seguridad de la información: decretos 451/009, 452/009, 92/014 y leyes N°18331, N°18381, entre otras.
El Marco provee un enfoque integral para reducir el riesgo vinculado a las amenazas de ciberseguridad que puedan comprometer la seguridad de la información. Se encuentra alineado con las mejores prácticas internacionales, como ISO/IEC 27001:2013, COBIT 5 para Seguridad de la Información, NIST SP 800-53 rev.4 entre otros. Ha sido contextualizado teniendo en cuenta la normativa vigente y las mejores prácticas sugeridas por Agesic.
Se toma como referencia el marco definido por NIST con el cometido de que las respuestas a las amenazas cibernéticas, la gestión de los riesgos y la gestión de la seguridad de la información estén alineadas al nivel de estándares internacionales. Esto permite a las organizaciones alinear sus procesos de gestión de seguridad informática a nivel internacional en forma práctica y estableciendo objetivos claros. Cabe aclarar que el marco es flexible y adaptable a diferentes realidades e industrias y no solamente es utilizable en entornos de infraestructuras críticas.
El Marco puede ayudar a una organización a planificar su estrategia de gestión de riesgos de ciberseguridad y desarrollarla a lo largo del tiempo en función de su actividad, tamaño y otras características distintivas y elementos específicos. No es un documento estático, sino que se irá modificando de acuerdo a los cambios tecnológicos, la evolución de las amenazas y los cambios en las técnicas de gestión de riesgos.