Evaluación de riesgos del NIST: Identificación y gestión de riesgos de seguridad

El Instituto Nacional de Estándares y Tecnología (NIST) es considerado el referente en seguridad de datos entre las agencias federales de EE. UU. Este marco permite fortalecer la seguridad mediante la implementación de medidas rigurosas para proteger los datos confidenciales.

Las empresas no están obligadas a obtener la certificación NIST. Sin embargo, las empresas que operan bajo la supervisión de los sistemas de información federales deben cumplir con la normativa NIST, y la evaluación de riesgos NIST es un componente crucial del proceso. La evaluación de riesgos ayuda a las organizaciones a identificar riesgos potenciales, evaluar su gravedad y mitigar su impacto en los procesos de negocio. Realizar una evaluación de riesgos NIST implica ciertas particularidades. 

Por suerte, existen soluciones de cumplimiento normativo que pueden ayudarte con esto. En este artículo, analizamos en detalle la evaluación de riesgos del NIST, sus metodologías, beneficios y costes. ¡Comencemos! 

¿Qué es NIST SP 800-30?

La norma NIST SP 800-30 es una publicación especializada que ofrece directrices claras para que las organizaciones realicen y mantengan evaluaciones de riesgos en sus sistemas. El marco utiliza un formato de lenguaje estándar que sigue un enfoque paso a paso para identificar riesgos a lo largo del ciclo de vida del desarrollo del sistema.

Esto permite una elaboración de informes de riesgos eficiente en toda la jerarquía de gestión de riesgos, ofreciendo al equipo de gestión de riesgos una comprensión clara de lo que se necesita para reforzar la defensa de los sistemas de seguridad de una organización contra amenazas internas y externas.

Metodología de evaluación de riesgos del NIST

Como se menciona en la jerarquía de gestión de riesgos, un enfoque simplificado de tres niveles facilita la comprensión del proceso de evaluación de riesgos del NIST.

Nivel 1: Este nivel analiza la organización en su conjunto, incluyendo los modelos de negocio, el diseño organizativo y los objetivos a largo plazo.

Nivel 2: Este nivel investiga áreas específicas como ventas y marketing para empresas, por lo que proporciona información contextual que puede ser muy útil en ocasiones.

Nivel 3: Este nivel se centra en aspectos técnicos como los sistemas de información, las aplicaciones y los flujos de datos.

La dificultad reside en asegurar que estos niveles se alineen entre sí, ya que comprender los riesgos relevantes en cada contexto es un requisito previo importante para realizar un análisis de riesgos eficaz. 

Como beneficio adicional, hemos recopilado la lista de 53 controles de la norma NIST 800 para ayudarle con la evaluación de riesgos. Échele un vistazo:

Proceso de evaluación de riesgos del NIST

El proceso de evaluación de riesgos del NIST ofrece un enfoque estructurado para identificar, gestionar y mitigar los riesgos en los sistemas de información de su organización. A continuación se presenta una versión simplificada del proceso:

Paso 1: Prepárese para la evaluación

El proceso de evaluación de riesgos comienza con una preparación exhaustiva. El objetivo es establecer un contexto para dicha evaluación. Las organizaciones utilizan esta estrategia de gestión de riesgos para recopilar información que les permita prepararse para la evaluación. La preparación para una evaluación de riesgos incluye las siguientes tareas:

• Identificar el propósito de la evaluación al comprender la información que pretende generar y las decisiones que ayuda a tomar. El propósito depende de si se trata de una evaluación inicial o un seguimiento desencadenado por una respuesta al riesgo o una anomalía detectada durante seguimiento de riesgos.
  
• Determinar el alcance de la evaluación Al considerar la relevancia organizacional, los plazos disponibles y los factores arquitectónicos y tecnológicos, definir el alcance ayuda a las organizaciones a determinar qué niveles se abarcan, las áreas afectadas y la naturaleza de dicho impacto.
  
• Identificar los supuestos y las limitaciones asociadas a la evaluación. Esto mejora la claridad en la evaluación de riesgos, aumenta la transparencia en el modelo de riesgo elegido, fomenta la reproducibilidad y promueve la colaboración entre organizaciones.
  
• Identificar las fuentes de información sobre amenazas, vulnerabilidades e impactos. Se utilizará en la evaluación de riesgos. Esta información descriptiva ayuda a las organizaciones a determinar la relevancia de la información sobre amenazas y vulnerabilidades.
  
• Identificar el modelo de riesgo y métricas relevantesLas organizaciones pueden definir uno o más modelos de riesgo para el ejercicio de evaluación de riesgos. Para que los resultados de la evaluación sean más recíprocos, los modelos de riesgo de cada organización pueden incluir o traducirse en los factores de riesgo definidos en los apéndices, tales como amenaza, vulnerabilidad, impacto, probabilidad y condición predisponente.

Experimente la ventaja de Sprinto: Sprinto es una plataforma inteligente de automatización del cumplimiento normativo que simplifica su trabajo al incorporar un programa NIST aprobado, evaluar los controles de seguridad y proporcionar un enfoque integrado para la gestión de riesgos. Su enfoque integral para la gestión de riesgos mejora la eficiencia al automatizar la recopilación de evidencia, el mantenimiento de registros y la generación de informes de evaluación de riesgos para auditorías internas del NIST.

Fuente: Publicación especial del NIST

Paso 2: Realización de la evaluación de riesgos 

Este paso tiene como objetivo identificar los riesgos de seguridad de la información que se pueden priorizar según su nivel de riesgo y utilizar para tomar decisiones informadas sobre la respuesta a dichos riesgos. Algunas de las tareas específicas que implica la realización de evaluaciones de riesgos incluyen las siguientes:

Identificar las fuentes de amenazas: Esto implica identificar y evaluar las características de las fuentes de amenazas, sus capacidades y los posibles efectos sobre las amenazas no adversarias.

Identificar eventos de amenaza: Identificar posibles eventos de amenaza, su relevancia y las fuentes de amenaza asociadas. Los eventos de amenaza se identifican mediante las fuentes de amenaza iniciales (TTP) para eventos adversarios en caso de ataques. Las organizaciones deben definir estos eventos, como el Nivel 1 para impactos a nivel organizacional, el Nivel 2 para el cruce de límites del sistema y el Nivel 3 para sistemas de información.

Identificar vulnerabilidades y condiciones predisponentes: Se trata de vulnerabilidades y condiciones con alta probabilidad de generar resultados negativos. Las evaluaciones de vulnerabilidad ayudan a comprender la susceptibilidad de las organizaciones, los procesos de negocio y los sistemas de información ante las amenazas identificadas.

Determinar la probabilidad: Evaluar la probabilidad de eventos de amenaza teniendo en cuenta (i) los atributos de las fuentes de amenaza que inician los eventos, (ii) las vulnerabilidades identificadas y (iii) la susceptibilidad de la organización, considerando las salvaguardas/contramedidas planificadas o implementadas para disuadir tales eventos.

Análisis de impacto: Evaluar el impacto potencial de los eventos de amenaza identificados, teniendo en cuenta (i) los atributos de las fuentes de amenaza que inician los eventos, (ii) las vulnerabilidades/condiciones predisponentes identificadas y (iii) la susceptibilidad, reflejando las salvaguardas/contramedidas planificadas o implementadas para mitigar dichos eventos.

Determinación del riesgo: Evalúe el riesgo organizacional que representan los eventos de amenaza identificados, considerando (i) el impacto potencial resultante de los eventos y (ii) la probabilidad de que ocurran. La evaluación de los niveles de riesgo de las amenazas identificadas genera la información utilizada en el Paso 1 del Marco de Gestión de Riesgos del NIST , ya que el paso de categorización que abre el RMF depende directamente de las calificaciones de impacto que produce la evaluación de riesgos.

Paso 3: Comunicar y compartir los resultados de la evaluación de riesgos.

La tercera fase del proceso de evaluación de riesgos implica comunicar los resultados y difundir la información relacionada con el riesgo. El objetivo es proporcionar a los responsables de la toma de decisiones información pertinente sobre el riesgo, esencial para tomar decisiones informadas y eficaces. El nivel de madurez del Marco de Seguridad de la Información (CSF) de la NIST en el que se encuentren las organizaciones suele influir en el formato de esta comunicación, ya que las organizaciones de mayor nivel integran la presentación de informes de riesgos en las reuniones periódicas del consejo, mientras que las de menor nivel aún la consideran un documento de cumplimiento puntual. Esta fase abarca las siguientes tareas específicas:

• Comunicar los resultados de la evaluación de riesgos

• Compartir la información de la evaluación de riesgos para respaldar otras actividades de gestión de riesgos.

Paso 4: Mantener la evaluación de riesgos

Este paso tiene como objetivo permitir que la organización se mantenga al día con el conocimiento específico sobre los riesgos que enfrenta. Los resultados de cualquier evaluación de riesgos sirven como base para las decisiones sobre la gestión y la respuesta ante los riesgos. 

Las organizaciones mantienen sus evaluaciones de riesgos para reflejar el monitoreo continuo de los mismos, lo que permite una evaluación constante de las decisiones relativas a la gestión de riesgos, como la adquisición o autorización de sistemas de información. El monitoreo de riesgos incluye tareas como evaluar la eficacia de las respuestas para hacer frente a los riesgos, reconocer el impacto en los sistemas organizacionales y confirmar el cumplimiento. Algunas tareas específicas asociadas con el mantenimiento de una evaluación de riesgos son:

• Supervisar los factores de riesgo identificados durante la evaluación de riesgos y los cambios que se hayan producido con el tiempo.
• Cuando cambien los riesgos ambientales, actualice la documentación completa de toda la evaluación de riesgos.

Experimente la ventaja de Sprinto: la solución de automatización del cumplimiento normativo de Sprinto le ayuda a establecer un proceso sólido de evaluación de riesgos que supervisa los controles de seguridad y le permite agilizar la preparación para las auditorías y cumplir con los marcos de seguridad pertinentes.

Beneficios de la evaluación de riesgos del NIST

La evaluación de riesgos del NIST es una guía fundamental para las empresas que navegan por las complejidades de la ciberseguridad. Este marco integral de gestión de riesgos ofrece a las empresas que buscan mejorar su postura de seguridad varias ventajas clave, que van desde la promoción de la mejora continua hasta el fortalecimiento de la preparación para el cumplimiento normativo. A continuación, se presentan algunas de ellas:

Enfoque integral: Este marco garantiza un enfoque sistemático que abarca todos los aspectos principales de la evaluación de riesgos, como la caracterización y la mitigación del sistema. Además, fomenta el monitoreo, la reevaluación y la modificación continuos. La actualización de 2024 del NIST CSF 2.0 añadió una sexta función de Gobernanza que aborda explícitamente la responsabilidad y la supervisión de estas actividades de reevaluación, formalizando así lo que anteriormente se esperaba que los equipos gestionaran por sí mismos.

Adaptabilidad: El marco de evaluación de riesgos del NIST posee un alto grado de adaptabilidad, lo que lo hace adecuado para organizaciones de diversos sectores y tamaños. Sus características intuitivas, niveles de implementación y perfiles de riesgo sirven como un modelo fácil de comprender que facilita una rápida adopción y una orientación continua.

Enfoque en las partes interesadas: El Marco NIST está diseñado para facilitar la comprensión pública, teniendo en cuenta tanto a las partes interesadas técnicas como a las empresariales. En consonancia con sus objetivos organizacionales, su enfoque de gestión de riesgos contribuye a una comunicación y toma de decisiones más claras entre técnicos y ejecutivos. Esto se traduce en una mejor comunicación y toma de decisiones, y simplifica la asignación del presupuesto de seguridad en toda la organización.

Mayor cumplimiento normativo: El Marco NIST sienta una base sólida para la práctica de la ciberseguridad en las empresas. Al adoptar este marco, las organizaciones estarán mejor preparadas para afrontar los requisitos de cumplimiento futuros, lo que les permitirá cumplir con mayor facilidad a largo plazo. En este sentido, nuevos estándares como NYDFS 23 y NYCR 500 citaron recientemente el Marco NIST, facilitando la transición a dicho marco, ya que estas organizaciones ya lo utilizan.

¿Cuánto cuesta la evaluación de riesgos del NIST?

El costo de la certificación NIST depende de factores como el tamaño y la complejidad de la organización, así como del alcance de la evaluación. En promedio, las empresas invierten entre $5,000 y $20,000 en el proceso de auditoría y evaluación específico para los diferentes marcos de NIST.

Sin embargo, si la evaluación inicial revela problemas que requieren una solución inmediata, el costo de la certificación NIST puede aumentar de $35,000 a $115,000 . Nuevamente, el precio depende del tamaño de la empresa y la magnitud de los problemas.

Lea también: Los 7 mejores programas de cumplimiento con NIST

Reflexiones finales

Realizar una evaluación de riesgos según las directrices del NIST es fundamental para fortalecer la resiliencia de su empresa frente a los ciberataques. El enfoque del NIST, basado en la mejora continua, garantiza que la gestión de riesgos se integre en la cultura organizacional, proporcionando una sólida defensa contra amenazas en constante evolución.

Si bien la certificación NIST implica numerosos pasos, la plataforma de automatización de cumplimiento de Sprinto colabora de forma fluida con auditores y partes interesadas, facilitando así la preparación para la certificación NIST. La plataforma capacita a los empleados sobre los requisitos de cumplimiento de NIST, realiza pruebas y documenta la evidencia, lo que permite auditorías más rápidas y precisas. En resumen, la plataforma acelera el cumplimiento de la certificación NIST, facilita la evaluación de los controles de seguridad y la alineación con diversos estándares y regulaciones.

Solicite una demostración hoy mismo para agilizar el proceso de cumplimiento normativo de su organización con la normativa NIST.

Preguntas frecuentes