El Marco de Evaluación Cibernética del Reino Unido

Si su organización se encarga de mantener el suministro eléctrico, el suministro de agua o la respuesta de los servicios de emergencia, un ciberataque no es solo un problema informático, sino una crisis de seguridad pública. Esa es la realidad a la que se dirige el Marco de Evaluación Cibernética del Centro Nacional de Ciberseguridad del Reino Unido, y es por ello que un número cada vez mayor de organizaciones lo están adoptando como referencia para su resiliencia cibernética.

Diseñado inicialmente para los operadores de servicios esenciales, el CAF ha ido ganando popularidad mucho más allá del ámbito de las infraestructuras críticas. El Servicio Nacional de Salud (NHS), los operadores de telecomunicaciones, los departamentos del Gobierno central y un número cada vez mayor de organizaciones lo utilizan ahora para responder a una pregunta que, aunque parezca sencilla, no lo es en absoluto: ¿funcionan realmente nuestras medidas de seguridad?

Lo que distingue al CAF de muchos otros marcos de cumplimiento es su enfoque en los resultados, en lugar de en los insumos. No le pregunta si ha adquirido una herramienta concreta o si ha marcado una casilla concreta. Se pregunta si sus medidas de seguridad están dando los resultados esperados. Esa distinción es más importante que nunca, ya que las amenazas son cada vez más sofisticadas y la superficie de ataque se extiende a todos los ámbitos de la forma de trabajar de las personas.

Cuatro objetivos, catorce principios, un reto interrelacionado

La CAF estructura la ciberresiliencia en cuatro objetivos: gestionar los riesgos de seguridad, protegerse contra los ciberataques, detectar incidentes de ciberseguridad y minimizar el impacto de los incidentes. Dentro de esos cuatro objetivos se recogen catorce principios, cada uno de los cuales se evalúa en función de indicadores específicos que definen en qué consisten las buenas prácticas.

Lo que queda claro al examinar esos principios en su conjunto es que no describen controles técnicos aislados. Describen un sistema interconectado de gobernanza, protección, detección y respuesta, en el que cualquier punto débil en cualquiera de estos ámbitos socava el conjunto.

Tomemos como ejemplo el Objetivo A, que se refiere a la gestión de los riesgos de seguridad. La CAF espera que se garantice la rendición de cuentas a nivel directivo, una gestión dinámica de los riesgos basada en información real sobre amenazas, un conocimiento exhaustivo de sus activos (incluidos sus datos y su personal) y una visión clara de los riesgos de la cadena de suministro. Nada de eso se puede lograr con un único producto o con una revisión de riesgos que se realice una vez al año. Requiere señales continuas, inteligencia integrada y una línea de comunicación clara desde la sala de juntas hasta la primera línea.

Es en este punto donde muchas organizaciones encuentran dificultades. Disponen de herramientas que generan datos, pero carecen de esa visión global que permite convertir los datos en gobernanza. Realizan un seguimiento meticuloso de los activos del sistema, pero disponen de una visibilidad limitada sobre cómo circula la información confidencial a través de las plataformas de colaboración, el correo electrónico y el creciente conjunto de herramientas de inteligencia artificial que su personal utiliza a diario.

Las personas: el riesgo que el marco no puede pasar por alto

Uno de los cambios más significativos en nuestra forma de abordar el riesgo cibernético —y que el CAF refleja— es el reconocimiento de que las personas son tanto el objetivo principal como la variable principal. Los atacantes no se limitan a aprovechar las vulnerabilidades del software. Se aprovechan del comportamiento humano: la urgencia, la confianza, la curiosidad y la rutina.

Los principios de la CAF en materia de sensibilización y formación del personal, control de identidad y acceso, y seguridad de los datos apuntan todos ellos a esta realidad. Para alcanzar el indicador «cumplido» en estos ámbitos se necesita algo más que módulos de formación anuales. Para ello, es necesario comprender qué personas presentan un mayor riesgo, qué comportamientos lo provocan y cómo intervenir en el momento más decisivo.

Los estudios demuestran sistemáticamente que una pequeña proporción de usuarios (8%) es responsable de la gran mayoría (80%) de los incidentes de seguridad. Un marco basado en resultados como el CAF plantea, naturalmente, si su organización es capaz de identificar a esas personas, comprender su perfil de riesgo y tomar medidas significativas al respecto. Las campañas de sensibilización generales por sí solas no le permitirán «alcanzar el éxito».

Detección y respuesta: de un enfoque reactivo a uno resiliente

La última versión del CAF, la 4.0, reitera que la supervisión reactiva ya no resulta suficiente. Los objetivos C y D impulsan a las organizaciones hacia la detección proactiva de amenazas, la respuesta automatizada y una auténtica resiliencia operativa.

En la práctica, esto significa la capacidad de detectar amenazas que hayan logrado eludir las defensas iniciales, investigarlas rápidamente mediante herramientas modernas y activar flujos de trabajo de respuesta que contengan el daño antes de que se propague. Significa conservar los datos críticos en archivos a prueba de manipulaciones, de modo que sea posible su recuperación y se cumplan las obligaciones reglamentarias. Y eso implica aprender de cada incidente: analizar las causas fundamentales, ajustar los controles y cerrar el ciclo entre lo que ha ocurrido y los cambios que se llevan a cabo.

No se trata de objetivos ambiciosos. Son los criterios que establece la CAF para cualquier organización cuyos servicios sean relevantes para la seguridad pública y la vida cotidiana.

Un marco que merece la pena tomarse en serio

La fortaleza de la CAF radica en su negativa a permitir que las organizaciones se escuden tras los procesos de contratación pública. Adquirir una herramienta no es lo mismo que gestionar un riesgo. La instalación de un sensor no equivale a la detección de una amenaza. Tener una política no es lo mismo que gobernar con eficacia.

Para las organizaciones que se acercan al CAF —ya sea porque así lo exige la normativa o porque desean disponer de una medida fiable de su resiliencia—, la clave reside en pensar en términos de resultados interrelacionados. ¿Le proporciona su ecosistema de seguridad las pruebas, la visibilidad y la capacidad de respuesta que exige el marco normativo? ¿Puede demostrar no solo lo que tiene, sino también lo que consigue?

Ese es el bar. Y en un panorama de amenazas caracterizado por ataques generados por la inteligencia artificial, la ampliación de las superficies de colaboración y el riesgo humano persistente, para resolverlo se necesita algo más que marcar una casilla.

Para obtener más información, descargue el documento informativo sobre la solución «Marco de evaluación cibernética del Reino Unido» de Mimecast.