Controles NIST

Controles NIST

1. 1 a 5

   • CCS1: Inventario de dispositivos autorizados
     • Gestiona todos los dispositivos en la red, solo los dispositivos autorizados tengan acceso.
     • AM-1
       • Dispositivos físicos y sistemas dentro de la organización
       • referencias
         • ISO 27001-2013
   • CCS2: Inventario de Software Autorizado y no Autorizado
     • Gestionar activamente todo el software en los sistemas
       • de forma que solo se pueda instalar y ejecutar software autorizado
     • AM-2
       • Plataforma de SW y aplicaciones dentro de la organización son inventariadas
       • referencias
         • 27001-2013
   • CCS3: Configuraciones Seguras de Software y Hardware
     • para
       • Dispositivos Móviles, Portátiles, Equipos de Escritorio y Servidores
     • Establece
       • activamente utilizando un proceso de gestión de cambios y configuraciones riguroso
     • AM-3
       • Flujos de datos y de la comunicación asignados en la organización
   • CCS4: Proceso Continuo de Identificación Y Remediación de Vulnerabilidades
     • obtener información sobre nuevas vulnerabilidades
       • identificarlas, remediarlas y reducir la ventana de oportunidad a los atacantes.
     • AM-4
       • Sistemas de información externos catalogados
       • referencias
         • 27001-2013 A 11.2.6
   • CCS5: Control sobre Privilegios Administrativos
     • Desarrollar procesos y utilizar herramientas
       • para
         • identificar, prevenir y corregir el uso y configuración de privilegios administrativos en ordenadores, redes y aplicaciones.
     • AM5
       • Recursos se priorizan en base a su importancia

2. 6 a 10

   • CCS6: Mantenimiento, Monitorización y Análisis de LOGs de Auditoría
     • ayudan a
       • detectar, entender o recuperarse de un ataque
     • AM-6
       • Roles y responsabilidades de ciberseguridad para el conjunto de los trabajadores
   • CCS7: Protección del Correo Electrónico y del Navegador
     • minimiza
       • la posibilidad de que los atacantes manipulen a los empleados
       • a través
         • de su interacción con el correo electrónico y el navegador.
   • CCS8: Defensas Contra el Malware Avanzado de Correo Electrónico y del Navegador
     • evita
       • instalación, difusión y ejecución de código malicioso en distintos puntos
     • fomenta
       • automatización para permitir una actualización rápida en la defensa, recopilación de datos y la corrección.
   • CCS9: Limitar y Controlar los Puertos de Red, Protocolos y Servicios
     • gestiona
       • uso de puertos, protocolos y servicios en los dispositivos que tengan red
         • para reducir
           • las vulnerabilidades disponibles a los atacantes.
   • CCS10: Capacidad de Recuperación de Datos
     • disponer
       • procesos, metodologías y herramientas adecuadas
         • para respaldar
           • información crítica y realizar pruebas de recuperación.

3. 11 a 15

   • CCS11: Configuraciones Seguras de Dispositivos de Red
     • establece
       • configuración base para los dispositivos de infraestructura de red
     • gestiona
       • utilizando un proceso de gestión de cambios y configuraciones riguroso
       • previene
         • atacantes explotar servicios y configuraciones vulnerables.
   • CCS12: Defensa Perimetral
     • desarrollar
       • estrategia para detectar, prevenir y corregir los flujos de transmisión de información
         • entre
           • redes de distintos niveles de seguridad
   • CCS13: Protección de los Datos
     • dispone
       • procesos y herramientas adecuadas para prevenir la fuga de información
         • mitiga
           • efectos cuando se ha producido un incidente de fuga de información
   • CCS14: Acceso Basado en la Necesidad de Conocer
     • el acceso
       • debe realizarse de acuerdo a una definición formal de que personas, sistemas y aplicaciones tienen la necesidad y el derecho de acceso.
   • CCS15: Control de Acceso Wireless
     • dispone de
       • procesos y herramientas para garantizar una seguridad adecuada en las redes Wifi y en los sistemas clientes
         • incluyendo
           • seguimiento y corrección de las medidas de seguridad

4. 16 a 20

   • CCS16: Control y Monitorización de Cuentas de Sistema
     • gestiona
       • el ciclo de vida de las cuentas de sistema y de aplicación
         • reduce
           • su utilización por parte de un atacante
   • CCS17 Verificación de las Habilidades de Seguridad y Formación Adecuada
     • identifica
       • conocimientos específicos, habilidades y capacidades necesarias en la organización para la defensa de los activos
         • evaluando
           • conocimientos específicos, habilidades y capacidades necesarias en la organización para la defensa de los activos
   • CCS18: Seguridad en el Ciclo de Vida de las Aplicaciones
     • gestiona
       • ciclo de vida de todas las aplicaciones, tanto las desarrolladas internamente como las de proveedores
         • para
           • prevenir, detectar y corregir vulnerabilidades técnicas.
   • CCS19: Gestión y Respuesta a Incidentes
     • protege
       • información y la reputación de la organización desarrollando e implementando una infraestructura
         • para contener
           • el daño de forma efectiva, expulsar al atacante, y restaurar la integridad de los sistemas y la red.
   • CCS20: Realizar Test de Penetración y Ejercicios de Ataque
     • probar
       • las defensas de la organización
         • mediante
           • simulación de un ataque, utilizando sus mismas acciones y objetivos.